Design partners · feedback semanal, três meses
Fale conoscoComeçar grátis

Ferramenta grátis · sem cadastro

MCP Scanner: o que as tools deste servidor podem fazer?

Cole a URL de um servidor MCP público. A gente conecta, lista as tools e aponta as que podem apagar, escrever, exportar, enviar dados para fora, executar código, movimentar dinheiro ou lidar com credenciais. Só rodamos initialize e tools/list: nenhuma tool é chamada.

Ao verificar, você confirma que é dono deste servidor ou tem autorização para acessá-lo. O scanner lê só o que o servidor publica (initialize e tools/list), nunca chama uma tool e não guarda a URL nem o resultado. Privacidade

Como funciona

  • Enviamos initialize e tools/list para a URL (MCP Streamable HTTP). As tools nunca são chamadas.
  • Cada tool é classificada pelo nome, descrição, schema de entrada e anotações. A nota vai de 0 a 100: a tool mais arriscada define a nota e cada outra tool sinalizada soma um pouco.
  • Uma URL de repo do GitHub funciona quando o repo tem um server.json (formato do registro MCP) com uma URL remota streamable-http.
  • Só https. Endereços privados, locais e de metadados de nuvem são recusados, também depois do DNS e em redirecionamentos. Timeouts curtos e limite de 1 MB.

Heurística, não veredito. O resultado se baseia só no que o servidor diz sobre as próprias tools, o que pode estar incompleto ou errado. Nota baixa não quer dizer que o servidor é seguro, e nota alta não é um achado de vulnerabilidade. Isto não é auditoria nem certificação de segurança, e o resultado é fornecido no estado em que se encontra, sem garantias. O Vulnify não faz varredura de código em busca de vulnerabilidades.

Uso aceitável. Só verifique servidores dos quais você é dono ou que tem autorização para acessar. Não use o scanner para sondar, sobrecarregar ou obter acesso a sistemas, nem para contornar limites de uso. Podemos bloquear usos abusivos. As requisições saem dos servidores da Vulnify com o User-Agent VulnifyMcpScanner/1.0.

Operadores de servidores: dúvidas ou denúncias de abuso vão para security@vulnify.io. Para excluir o seu servidor do scanner, escreva de um endereço do domínio dele; atendemos em até 5 dias úteis.