# Security Posture Auditor Finde das Geheimnis, das du bereits verschickt hast, bevor es jemand anderes tut. | | | | --- | --- | | Version | 1.0.0 | | Price | 39 USD | | Licence | Single-seat | | Entry point | `server.py` | | Source | Von Grund auf neu in Englisch implementiert; Logik verweist auf das lokale Anbieter-Toolkit, ohne es zu ändern | ## What it does Read-only MCP server that scans repositories for leaked secrets, checks role permissions, audits URLs against SSRF rules, and reports a wallet read-only posture. ## Tools | Tool | Description | | --- | --- | | `scan_secrets` | Durchsucht ein Verzeichnisbaum nach API-Schlüsseln, privaten Schlüsseln und Anmeldeinformationen. Liefert redigierte Ergebnisse. | | `check_permissions` | Vergleicht deklarierte Rollenberechtigungen mit einer Least-Privilege-Policy. | | `ssrf_audit` | Prüft URLs nach einer Richtlinie, die private, Loopback- und Link-Local-Ziele verweigert. | | `read_only_report` | Berichtet über die Read-Only-Posture eines Verzeichnisses und optional eines Berechtigungs-Manifests. | ## Netzwerk Keine ausgehenden Netzwerk-Anfragen. ## Sicherheit - Read-only: Es wird keine Datei geschrieben und kein Prozess gestartet. - Funde werden redigiert, bevor sie zurückgemeldet werden. - Pfade sind auf das von dir übergebene Root-Verzeichnis beschränkt. ## Anforderungen - Python 3.10 oder höher - Kein Konto, kein API-Schlüssel, keine Telemetrie ## Agenten-Fähigkeiten | Skill | Purpose | | --- | --- | | `pre-publish-security-gate` | Führe vor der Veröffentlichung die Leak- und Berechtigungsprüfungen aus. | ## Tests ```bash python -m pytest -q # Suite von Tests für diesen Server ``` Jeder Sicherheitsanspruch oben bezieht sich auf einen existierenden Test: - `test_path_traversal_blocked` - `test_no_subprocess_spawn` - `test_placeholder_is_not_a_finding` ## Lizenz und Ausschlüsse - Single-Seat-Lizenz, sofern im oberen Abschnitt keine Team-Lizenz angegeben ist. - Kein Shell-Execute, kein Browser- oder Konto-Automatisierung, kein Schlüssel-Schutz. - Die Ausschlussliste wird in `security/EXCLUSIONS.md` im Team-Bundle veröffentlicht, damit ein Prüfer sie unabhängig überprüfen kann.