GitDiagram
Architecture diagrams, explanations and Mermaid source for public GitHub repositories.
Se ejecuta en la nube✓ del servicio · gitdiagram.comProbado por el equipo de PopNx
A2a Auditor
What it does
Scans Agent2Agent (A2A) protocol code for webhook SSRF, missing auth, and credential exposure
- Connects Se ejecuta en tu computadora
- Account or key No key needed
- Category Herramientas para desarrolladores
Instalación
Elige la app de IA que usas y copia la configuración.
Pasó 3/3 revisiones · Funciona en tu computadora · ✓ Comandos revisados el 13 nov 2026
Primero: ¿qué IA usas?
Elige tu app y los pasos aparecen abajo.
Funciona con Claude, pero hay que preparar algo antes
Instala Node.js en tu computadora primero (una sola vez) · Solo en la app de Claude para computadora (Windows o Mac), no en la web ni en el móvil
Que la IA lo instale
Copia este mensaje en un chat de Claude. La IA revisa tu equipo, te dice qué archivo va a cambiar y espera tu visto bueno cada vez.
Instala el MCP server A2a Auditor para Claude en este equipo, en este orden: 1) Comprueba Node.js con node -v. Si falta, dime que lo instale desde https://nodejs.org/en/download; no lo instales tú. 2) Usa solo esta configuración (ya revisada por PopNx MCP): { "mcpServers": { "a2a-auditor": { "command": "npx", "args": [ "-y", "@guardbee/mcp-a2a-auditor" ] } } } 3) Dime la ruta completa del archivo que vas a cambiar o el comando que vas a ejecutar y espera mi visto bueno. 4) No hace falta clave. 5) Haz lo acordado y comprueba que las herramientas de A2a Auditor aparecen de verdad.Este mensaje no lleva tu clave. Si hace falta una, la IA te pedirá que la pegues tú en el archivo o en el campo de la app.
Instala Node.js (si no lo tienes)
¿Ya está instalado? Compruébalo primero · Abre la Terminal, escribe este comando y pulsa Enter
node -v- Aparece un número de versión, p. ej. v26.13.1 = ya está instalado, sáltate este paso
- Aparece "command not found" (en Windows, "is not recognized") = aún no está instalado, o acabas de instalarlo y debes cerrar y volver a abrir la Terminal
Cómo abrir la Terminal
Mac: pulsa ⌘ + Espacio, escribe Terminal y pulsa Enter
Windows: abre Inicio, escribe Windows PowerShell y elige Abrir
Si no está instalado: Abre la página oficial de descargas, elige la versión LTS y el instalador de clics: .pkg en Mac · .msi en Windows. Haz doble clic y sigue hasta el final. No necesitas ningún comando curl
Abrir la página de descarga de Node.js ↗
Al terminar, cierra la Terminal, ábrela de nuevo y ejecuta el mismo comando. Debe aparecer un número de versión:
node -vSe instala una vez y sirve para todo lo que usa Node.js
Abre el archivo de configuración de la app de Claude de escritorio
SettingsDeveloperEdit Config
Pega esta configuración y guarda el archivo
{ "mcpServers": { "a2a-auditor": { "command": "npx", "args": [ "-y", "@guardbee/mcp-a2a-auditor" ] } } }Cierra Claude y vuelve a abrirlo
Pruébalo
Usa A2a Auditor y dime qué puedes hacer por mí; luego muéstrame una cosa✓ Si Claude dice que está usando A2a Auditor o muestra una herramienta de A2a Auditor en la respuesta, ya está conectado
Nombres de menú comprobados con la ayuda de Anthropic el 11 nov 2026 · tu pantalla puede variar un poco según la versión
ChatGPT todavía no puede conectar A2a Auditor
A2a Auditor se instala en tu computadora, pero ChatGPT solo conecta servidores que funcionan en la web
Lo que puedes hacer en su lugar
A · Usa una app que pueda conectar A2a Auditor
- Instala Node.js en tu computadora primero (una sola vez) · Solo en la app de Claude para computadora (Windows o Mac), no en la web ni en el móvil
- Instala Node.js en tu computadora primero (una sola vez)
- Instala Node.js en tu computadora primero (una sola vez)
- Instala Node.js en tu computadora primero (una sola vez)
B · Otros en Herramientas para desarrolladores que funcionan con ChatGPT
Elegidos entre los más usados de la misma categoría, solo los que se conectan con una dirección y sin clave
- Sentry✓ ChatGPT
- Compiler Explorer✓ ChatGPT
- GitDiagram✓ ChatGPT
Funciona con Claude Code, pero hay que preparar algo antes
Instala Node.js en tu computadora primero (una sola vez)
Que la IA lo instale
Copia este mensaje en un chat de Claude Code. La IA revisa tu equipo, te dice qué archivo va a cambiar y espera tu visto bueno cada vez.
Instala el MCP server A2a Auditor para Claude Code en este equipo, en este orden: 1) Comprueba Node.js con node -v. Si falta, dime que lo instale desde https://nodejs.org/en/download; no lo instales tú. 2) Usa solo esta configuración (ya revisada por PopNx MCP): claude mcp add --scope user a2a-auditor -- npx -y @guardbee/mcp-a2a-auditor 3) Dime la ruta completa del archivo que vas a cambiar o el comando que vas a ejecutar y espera mi visto bueno. 4) No hace falta clave. 5) Haz lo acordado y comprueba que las herramientas de A2a Auditor aparecen de verdad.Este mensaje no lleva tu clave. Si hace falta una, la IA te pedirá que la pegues tú en el archivo o en el campo de la app.
Instala Node.js (si no lo tienes)
¿Ya está instalado? Compruébalo primero · Abre la Terminal, escribe este comando y pulsa Enter
node -v- Aparece un número de versión, p. ej. v26.13.1 = ya está instalado, sáltate este paso
- Aparece "command not found" (en Windows, "is not recognized") = aún no está instalado, o acabas de instalarlo y debes cerrar y volver a abrir la Terminal
Cómo abrir la Terminal
Mac: pulsa ⌘ + Espacio, escribe Terminal y pulsa Enter
Windows: abre Inicio, escribe Windows PowerShell y elige Abrir
Si no está instalado: Abre la página oficial de descargas, elige la versión LTS y el instalador de clics: .pkg en Mac · .msi en Windows. Haz doble clic y sigue hasta el final. No necesitas ningún comando curl
Abrir la página de descarga de Node.js ↗
Al terminar, cierra la Terminal, ábrela de nuevo y ejecuta el mismo comando. Debe aparecer un número de versión:
node -vSe instala una vez y sirve para todo lo que usa Node.js
Abre la Terminal
Mac: pulsa Command+Espacio y escribe Terminal · Windows: abre PowerShell
Pega este comando y pulsa Enter
claude mcp add --scope user a2a-auditor -- npx -y @guardbee/mcp-a2a-auditorEscribe /mcp en Claude Code
Deberías ver A2a Auditor en la lista como conectado
Pruébalo
Usa A2a Auditor y dime qué puedes hacer por mí; luego muéstrame una cosa✓ Si Claude Code dice que está usando A2a Auditor o muestra una herramienta de A2a Auditor en la respuesta, ya está conectado
Nombres de menú comprobados con la ayuda de Anthropic el 11 nov 2026 · tu pantalla puede variar un poco según la versión
Funciona con Cursor, pero hay que preparar algo antes
Instala Node.js en tu computadora primero (una sola vez)
Que la IA lo instale
Copia este mensaje en un chat de Cursor. La IA revisa tu equipo, te dice qué archivo va a cambiar y espera tu visto bueno cada vez.
Instala el MCP server A2a Auditor para Cursor en este equipo, en este orden: 1) Comprueba Node.js con node -v. Si falta, dime que lo instale desde https://nodejs.org/en/download; no lo instales tú. 2) Usa solo esta configuración (ya revisada por PopNx MCP): { "mcpServers": { "a2a-auditor": { "command": "npx", "args": [ "-y", "@guardbee/mcp-a2a-auditor" ] } } } 3) Dime la ruta completa del archivo que vas a cambiar o el comando que vas a ejecutar y espera mi visto bueno. 4) No hace falta clave. 5) Haz lo acordado y comprueba que las herramientas de A2a Auditor aparecen de verdad.Este mensaje no lleva tu clave. Si hace falta una, la IA te pedirá que la pegues tú en el archivo o en el campo de la app.
Instala Node.js (si no lo tienes)
¿Ya está instalado? Compruébalo primero · Abre la Terminal, escribe este comando y pulsa Enter
node -v- Aparece un número de versión, p. ej. v26.13.1 = ya está instalado, sáltate este paso
- Aparece "command not found" (en Windows, "is not recognized") = aún no está instalado, o acabas de instalarlo y debes cerrar y volver a abrir la Terminal
Cómo abrir la Terminal
Mac: pulsa ⌘ + Espacio, escribe Terminal y pulsa Enter
Windows: abre Inicio, escribe Windows PowerShell y elige Abrir
Si no está instalado: Abre la página oficial de descargas, elige la versión LTS y el instalador de clics: .pkg en Mac · .msi en Windows. Haz doble clic y sigue hasta el final. No necesitas ningún comando curl
Abrir la página de descarga de Node.js ↗
Al terminar, cierra la Terminal, ábrela de nuevo y ejecuta el mismo comando. Debe aparecer un número de versión:
node -vSe instala una vez y sirve para todo lo que usa Node.js
Abre el chat de IA de Cursor en modo Agent
Pruébalo
Usa A2a Auditor y dime qué puedes hacer por mí; luego muéstrame una cosa✓ Si Cursor dice que está usando A2a Auditor o muestra una herramienta de A2a Auditor en la respuesta, ya está conectado
Nombres de menú comprobados con la ayuda de Cursor el 11 nov 2026 · tu pantalla puede variar un poco según la versión
Funciona con VS Code, pero hay que preparar algo antes
Instala Node.js en tu computadora primero (una sola vez)
Que la IA lo instale
Copia este mensaje en un chat de VS Code. La IA revisa tu equipo, te dice qué archivo va a cambiar y espera tu visto bueno cada vez.
Instala el MCP server A2a Auditor para VS Code en este equipo, en este orden: 1) Comprueba Node.js con node -v. Si falta, dime que lo instale desde https://nodejs.org/en/download; no lo instales tú. 2) Usa solo esta configuración (ya revisada por PopNx MCP): { "servers": { "a2a-auditor": { "type": "stdio", "command": "npx", "args": [ "-y", "@guardbee/mcp-a2a-auditor" ] } } } 3) Dime la ruta completa del archivo que vas a cambiar o el comando que vas a ejecutar y espera mi visto bueno. 4) No hace falta clave. 5) Haz lo acordado y comprueba que las herramientas de A2a Auditor aparecen de verdad.Este mensaje no lleva tu clave. Si hace falta una, la IA te pedirá que la pegues tú en el archivo o en el campo de la app.
Instala Node.js (si no lo tienes)
¿Ya está instalado? Compruébalo primero · Abre la Terminal, escribe este comando y pulsa Enter
node -v- Aparece un número de versión, p. ej. v26.13.1 = ya está instalado, sáltate este paso
- Aparece "command not found" (en Windows, "is not recognized") = aún no está instalado, o acabas de instalarlo y debes cerrar y volver a abrir la Terminal
Cómo abrir la Terminal
Mac: pulsa ⌘ + Espacio, escribe Terminal y pulsa Enter
Windows: abre Inicio, escribe Windows PowerShell y elige Abrir
Si no está instalado: Abre la página oficial de descargas, elige la versión LTS y el instalador de clics: .pkg en Mac · .msi en Windows. Haz doble clic y sigue hasta el final. No necesitas ningún comando curl
Abrir la página de descarga de Node.js ↗
Al terminar, cierra la Terminal, ábrela de nuevo y ejecuta el mismo comando. Debe aparecer un número de versión:
node -vSe instala una vez y sirve para todo lo que usa Node.js
Abre el chat de IA de VS Code en modo Agent
Pruébalo
Usa A2a Auditor y dime qué puedes hacer por mí; luego muéstrame una cosa✓ Si VS Code dice que está usando A2a Auditor o muestra una herramienta de A2a Auditor en la respuesta, ya está conectado
Nombres de menú comprobados con la ayuda de VS Code el 11 nov 2026 · tu pantalla puede variar un poco según la versión
Otras apps que usan MCP, como Windsurf, Zed o Gemini CLI, añaden servidores de forma distinta. Míralo en la lista de apps
Ver todas las apps que usan MCP →
La configuración JSON está en “Para desarrolladores”, abajo
Para desarrolladores: comandos de Terminal y configuración JSON
Instalado en tu computadora
Claude Code
claude mcp add --scope user a2a-auditor -- npx -y @guardbee/mcp-a2a-auditorClaude Desktop (claude_desktop_config.json)
{
"mcpServers": {
"a2a-auditor": {
"command": "npx",
"args": [
"-y",
"@guardbee/mcp-a2a-auditor"
]
}
}
}Cursor (~/.cursor/mcp.json)
{
"mcpServers": {
"a2a-auditor": {
"command": "npx",
"args": [
"-y",
"@guardbee/mcp-a2a-auditor"
]
}
}
}VS Code (mcp.json)
{
"servers": {
"a2a-auditor": {
"type": "stdio",
"command": "npx",
"args": [
"-y",
"@guardbee/mcp-a2a-auditor"
]
}
}
}Esta configuración se genera a partir de la ficha del creador en el registro. Si el README dice otra cosa, sigue el README.
De un vistazo
- Estrellas de GitHubi
- 2 (Estrellas de todo el repositorio)
Este repositorio tiene varias fichas MCP; sus estrellas cuentan una sola vez en las clasificaciones - Descargas por semanai
- 256/sem
- Conexión
- Se ejecuta en tu computadora
- Última versióni
- 0.3.1
- Categoríai
- Herramientas para desarrolladores
- Publicado en el registroi
- 30 oct 2026
- Último cambio de códigoi
- 12 nov 2026
- Creador
- GuardBee
- Paquetes
npm: @guardbee/mcp-a2a-auditor- Estado en el registro
- Activo
Qué apps pueden usarlo
Según cómo se conecta este servidor y la documentación de cada app, comprobado el 10 nov 2026.
Se ejecutan en tu computadora en
ClaudeGooseLM StudioMsty StudioCherry StudioCursorVS Code + GitHub CopilotVisual StudioWindsurf (Devin Desktop)ZedKiroClineContinueJetBrains AI AssistantClaude CodeCodex CLIGemini CLIOpenCodenodecodeWarpLibreChatRaycast
Qué puede hacer
Se ejecuta en tu computadora; la lista de herramientas aparece en tu app de IA después de instalarlo.
Revisiones básicasi
Revisamos información que cualquiera puede ver; no hemos leído el código. Las revisiones que no aplican no se cuentan. · Revisado el 15 nov 2026
- ✓ Superada
El creador coincide con el repo
El nombre en el registro se verificó con la cuenta de GitHub GuardBee, dueña del repo
- ✓ Superada
Sigue en mantenimiento
Último cambio de código: hace 3 días
- ✓ Superada
Tiene licencia
Usa MIT
- – No aplica
El endpoint responde
Este se ejecuta en tu computadora; no hay endpoint en internet
- – No aplica
Inicio de sesión con OAuth
Se ejecuta en tu computadora y usa ajustes locales en su lugar
- … Aún sin revisar
Sin instrucciones ocultas en las descripciones de herramientas
Se ejecuta en tu computadora; solo podemos leer listas de herramientas de endpoints en internet
Vulnerabilidades publicadas (OSV.dev)
Aún no revisado
Creadores: pedir otra revisión o avisar de un dato erróneo
Conversación
Pregunta, comparte un consejo o avisa de que no funciona. Ordenado por lo que la gente marcó como útil.
Aún no hay publicaciones. Sé la primera persona en preguntar o compartir.
Lo publicado aquí lo escriben usuarios, no el equipo de PopNx.
Reseñas de usuarios
Aún no hay reseñas
Comparado con otros en Herramientas para desarrolladoresi
- Más estrellas que el 0% de los otros 5911 servidores de esta categoría
- Publicado en el registro más recientemente que el 63% de los otros 5911 servidores de esta categoría
- Revisiones básicas iguales o mejores que el 100% de los otros 5911 servidores de esta categoría
Comparado con todos los servidores activos de esta categoría en el registro. Las estrellas solo cuentan cuando quien lo publica es dueño del repo.
Preguntas frecuentes
¿Es seguro A2a Auditor?
Superó 3 de 3 revisiones básicas aplicables. No hemos leído el código. Antes de agregar una clave o un token, revisa qué acceso pide el servidor y usa una clave que tenga solo los permisos que necesitas.
¿Qué claves o códigos necesita?
El registro no indica ninguna clave obligatoria, aunque algunos servidores te piden iniciar sesión la primera vez que los usas.
¿Se ejecuta en mi computadora o en la nube?
Se ejecuta en tu computadora. Tu app de IA lo inicia cuando hace falta, y los datos no pasan por los servidores del creador (a menos que el propio servidor llame a un servicio en línea).
¿Sigue en mantenimiento?
El repo de GitHub cambió por última vez hace 3 días, y la última versión (0.3.1) llegó al registro hace 16 días.
¿Qué apps pueden usarlo?
Las apps compatibles con MCP, como Claude Desktop, Claude Code, Cursor y VS Code. También necesitas Node.js en tu computadora.
¿Qué puedo usar en su lugar?
En la misma categoría: GitDiagram, Appllama, Cloudflare MCP, Omnara, Repowise
Alternativas parecidas
Misma categoría, otros creadores, comandos ya revisados. Primero los oficiales, luego por estrellas.
Cómo leer una tarjeta:↓ Descargas por semanai★ Estrellas de GitHubiTres pilares: reseñas · revisiones · usoiActualizado = fecha en que se publicó la última versión en el registroi
Appllama
Study screens, flows and paywalls from top-earning iOS apps, then build from what wins.
Se ejecuta en la nube✓ del servicio · appllama.io
Cloudflare MCP
Cloudflare MCP servers
Se ejecuta en la nube✓ del servicio · mcp.cloudflare.comProbado por el equipo de PopNx
Omnara
Deploy durable AI agents with Omnara, an open-source managed-agent platform.
Se ejecuta en la nube✓ del servicio · omnara.com
Repowise
Codebase intelligence for AI coding agents: graph, git history, docs, decisions, code health.
Computadora o nube✓ del servicio · repowise.dev
- GitDiagram — Funciona en la nube, sin instalar nada · Sin clave
- Appllama — Funciona en la nube, sin instalar nada · Sin clave
- Cloudflare MCP — Funciona en la nube, sin instalar nada · Sin clave · En el directorio de Claude
- Omnara — Funciona en la nube, sin instalar nada · Sin clave
- Repowise — En la nube o instalado en tu equipo · Sin clave
README del creador
Abrir el README
Copiado tal cual del repo del creador. PopNx MCP no lo ha revisado ni lo respalda. Se quitaron HTML, imágenes y scripts. Los enlaces llevan fuera de este sitio.
@guardbee/mcp-a2a-auditor
🇬🇧 English | 🇹🇷 Türkçe | 🇨🇳 中文 | 🇯🇵 日本語 | 🇰🇷 한국어 | 🇧🇷 Português | 🇪🇸 Español | 🇩🇪 Deutsch
An MCP (Model Context Protocol) server that scans an agent's own Agent2Agent (A2A) protocol implementation for anti-patterns — not invented from the spec text, but read directly out of the reference SDKs (@a2a-js/sdk, a2a-sdk) and their own official sample code.
A2A doesn't have an MCP-style "Security Considerations" section yet to quote. So instead of guessing, this package's patterns come from three things found in the reference SDK source itself: the official push-notification sender fetches a client-supplied webhook URL with no host check at all, the official *sample* agent ships with an empty security scheme and a literal noAuthentication request handler, and the Python SDK's AgentCard(...) constructor treats its two security kwargs as fully optional — silently meaning "no auth" if you don't pass them.
Telemetry is off by default. With
GUARDBEE_TELEMETRY=1it sends the server, tool, success, duration and short parameter values such as a file path; longer strings and fields likecontent,tokenorpasswordare replaced with a placeholder. See@guardbee/mcp-telemetry.
Claude ──► a2a-auditor ──► Your A2A agent's source│ ├─ webhook-ssrf (push-notification webhook URL fetched with no allowlist) ├─ missing-authentication (Agent Card / request handler requires no auth at all) └─ credential-exposure (literal credential inside publicly-served Agent Card metadata)
Why these three specifically
Webhook SSRF because the reference DefaultPushNotificationSender does exactly const url = pushConfig.url; ... fetch(url, ...) — pushConfig.url is set by whichever client subscribed to task updates, and the SDK fetches it with zero host validation. A caller can point a server running this code at an internal service, a cloud metadata endpoint, or anything else reachable from the server's network.
Missing authentication because the SDK's own sample agent (src/samples/agents/movie-agent) ships with securitySchemes: {}, securityRequirements: [], and userBuilder: UserBuilder.noAuthentication — a copy-paste-friendly shape that looks like a placeholder but is, functionally, "accept every request from anyone." The Python SDK has the same failure mode via absence rather than an explicit empty value: AgentCard(...) never requires security_schemes/security_requirements, so a real agent built by following the reference examples can end up with no authentication and no error telling you so.
Credential exposure because an Agent Card is served publicly — anyone who can reach /.well-known/agent-card.json (or the equivalent discovery response) can read it, no authentication required to *fetch the card itself*. A literal API key sitting in that JSON is effectively public.
Features
- 3 categories: webhook-ssrf, missing-authentication, credential-exposure
- Both TypeScript and Python A2A code — the SDKs use different idioms for the same failure (empty object vs. absent kwargs), so this checks both, not just one language
- Two of the six checks track data flow across a few lines instead of matching a single call site: the webhook check follows a
urlvariable back to apushConfig.url-shaped assignment before flagging thefetch()that uses it, and the credential check extracts the full Agent Card object span (brace-matched) before searching inside it for a literal secret — so it doesn't just flag anyapiKey:anywhere in the file - SARIF 2.1.0 output — CI/CD integration (GitHub Code Scanning, etc.)
- Config file support via
guardbee.yml - 18 unit tests — a positive and a negative (false-positive) scenario for every pattern, including a regression test for a real bug found during development (
\bAgentCarddoesn't match insidemovieAgentCard— no word boundary between a lowercase and uppercase letter — fixed to match the class name as a suffix instead). End-to-end verified against fixtures with all patterns deliberately planted in both TypeScript and Python (caught all of them), and against the entire guardbee-mcp monorepo (461 files — zero findings in any real code; the only matches were this package's own test fixtures, pattern-definition source, and manifest description text)
Quick Start
Claude Desktop / MCP Client
{"mcpServers": { "guardbee-a2a-auditor": { "command": "npx", "args": ["-y", "@guardbee/mcp-a2a-auditor"] } } }
CLI (CI/CD)
npx @guardbee/mcp-a2a-auditor scan ./src --fail-on=high --format=sarif > results.sarifMCP Tools
| Tool | Description |
|---|---|
scan_text | Scans a code snippet |
scan_file | Scans a single file |
scan_directory | Recursively scans a directory |
list_patterns | Lists all supported patterns by category |
Detected Patterns
| Category | Pattern | Severity |
|---|---|---|
| webhook-ssrf | webhook_url_direct_fetch_no_allowlist | critical |
| webhook-ssrf | webhook_url_indirect_fetch_no_allowlist | critical |
| missing-authentication | no_authentication_user_builder | critical |
| missing-authentication | empty_agent_card_security | high |
| missing-authentication | python_agent_card_no_auth | high |
| credential-exposure | agent_card_credential_in_metadata | high |
Configuration (guardbee.yml)
a2a-auditor:fail-on: high # any | critical | high | medium | none max-files: 5000 exclude:
- ".test.ts"
Limitations (by design)
- Heuristic, not a full A2A conformance test. This finds specific anti-patterns taken from the reference SDK's own source, not a live protocol conformance check against a running agent. A2A is a young, fast-moving spec — new failure modes will show up over time that aren't covered here yet.
- The data-flow checks (indirect webhook fetch, Agent Card credential span) use a bounded text window and bracket-matching, not a real parser — a
urlvariable assigned through a more indirect chain (e.g. passed through a helper function) won't be traced correctly, and neither will an Agent Card object spread across multipleObject.assign()-style merges instead of one literal. - Naming-convention dependent. The checks look for identifiers shaped like
pushConfig.url,*AgentCard,UserBuilder.noAuthentication— code that renames these away from the SDK's own conventions won't be recognized, the same limitation every pattern-based scanner in this family has.
Development
npm run buildnpm test # 18 unit tests
License
MIT — GuardBee
Feedback
Questions, ideas, or a false positive? Start a thread in GitHub Discussions or open an issue. If GuardBee is useful to you, a ⭐ on the repository helps others find it.