Ferramenta grátis · no navegador
Sua configuração do Claude Code / MCP é perigosa?
Cole um settings.json do Claude Code, uma config MCP (.mcp.json, claude_desktop_config.json ou mcp.json do Cursor), ou um comando de CLI. Você recebe uma nota de 0 a 100, um nível e uma correção em linguagem clara para cada achado.
Sua configuração é analisada no seu navegador. Ela não é enviada, guardada nem compartilhada com a Vulnify ou terceiros, e não vai para o endereço da página. Se você permitir a análise, o Cloudflare Web Analytics (sem cookies) conta a visita à página, nunca o que você colou. Mesmo assim, tire segredos antes de colar.
Adicione aprovação em tempo de execução ao seu agente
Um arquivo de config mostra o que o agente pode fazer. O Vulnify responde permitir, revisar ou bloquear quando uma tool call está para rodar.
Ou audite no terminal:
npx @vulnify/cli auditO que a nota olha
- Flags de pular permissões, bypassPermissions e CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS no shell que inicia o Claude.
- Allows de shell com curinga, como Bash(*), além de rm, curl enviado a um shell, e sudo.
- Uma deny list ausente, e leitura ou escrita em .env e ~/.ssh.
- Servidores MCP lançados com npx ou uvx e sem versão fixa.
- Servidores de filesystem com raiz em /, num diretório pessoal, ou num caminho de segredo.
- Tokens escritos em env ou headers, e web fetch sem limite de domínio.
Regras de deny são lidas antes das de allow. Uma regra de allow não abre um buraco numa regra de deny. Esta página só vê o texto que você cola.