GitHits
Search public open-source code, documentation, metadata, vulnerabilities, changelogs, and examples.
Weavatrix Online extension: guarded sync, advisories, malware review, architecture contracts.
Elige la app de IA que usas y copia la configuración.
Pasó 3/3 revisiones · Funciona en tu computadora · ✓ Comandos revisados el 13 nov 2026
Primero: ¿qué IA usas?
Elige tu app y los pasos aparecen abajo.
Funciona con Claude, pero hay que preparar algo antes
Necesitas una clave de Weavatrix Online (créala en el sitio del autor) · 1 ajuste(s) que rellenar (WEAVATRIX_SYNC_URL) · Instala Node.js en tu computadora primero (una sola vez) · Solo en la app de Claude para computadora (Windows o Mac), no en la web ni en el móvil
Copia este mensaje en un chat de Claude. La IA revisa tu equipo, te dice qué archivo va a cambiar y espera tu visto bueno cada vez.
Instala el MCP server Weavatrix Online para Claude en este equipo, en este orden: 1) Comprueba Node.js con node -v. Si falta, dime que lo instale desde https://nodejs.org/en/download; no lo instales tú. 2) Usa solo esta configuración (ya revisada por PopNx MCP): { "mcpServers": { "weavatrix-online": { "command": "npx", "args": [ "-y", "weavatrix-online" ], "env": { "WEAVATRIX_SYNC_URL": "your-value", "WEAVATRIX_SYNC_TOKEN": "your-value" } } } } 3) Dime la ruta completa del archivo que vas a cambiar o el comando que vas a ejecutar y espera mi visto bueno. 4) En WEAVATRIX_SYNC_TOKEN, WEAVATRIX_SYNC_URL deja "your-value" y dime que pegue yo el valor real en el archivo o en el campo de la app. Nunca me pidas escribir una clave en el chat. 5) Haz lo acordado y comprueba que las herramientas de Weavatrix Online aparecen de verdad.Este mensaje no lleva tu clave. Si hace falta una, la IA te pedirá que la pegues tú en el archivo o en el campo de la app.
¿Ya está instalado? Compruébalo primero · Abre la Terminal, escribe este comando y pulsa Enter
node -vMac: pulsa ⌘ + Espacio, escribe Terminal y pulsa Enter
Windows: abre Inicio, escribe Windows PowerShell y elige Abrir
Si no está instalado: Abre la página oficial de descargas, elige la versión LTS y el instalador de clics: .pkg en Mac · .msi en Windows. Haz doble clic y sigue hasta el final. No necesitas ningún comando curl
Abrir la página de descarga de Node.js ↗
Al terminar, cierra la Terminal, ábrela de nuevo y ejecuta el mismo comando. Debe aparecer un número de versión: node -v
Se instala una vez y sirve para todo lo que usa Node.js
Abre el sitio del autor, crea una cuenta y una clave de API para el siguiente paso. Consulta precios y planes gratis en su sitio.
Son ajustes del programa, no claves. No hace falta registrarse; rellénalos como explica el autor.
WEAVATRIX_SYNC_URL Cloud or compatible self-hosted sync endpointLas descripciones siguen en el inglés original.
SettingsDeveloperEdit Config
{
"mcpServers": {
"weavatrix-online": {
"command": "npx",
"args": [
"-y",
"weavatrix-online"
],
"env": {
"WEAVATRIX_SYNC_URL": "your-value",
"WEAVATRIX_SYNC_TOKEN": "your-value"
}
}
}
}Pega la clave solo en el campo de la app; nunca en un chat ni se la envíes a nadie
Usa Weavatrix Online y dime qué puedes hacer por mí; luego muéstrame una cosa✓ Si Claude dice que está usando Weavatrix Online o muestra una herramienta de Weavatrix Online en la respuesta, ya está conectado
El comando de arriba funciona sin estos valores. Añádelos solo si quieres cambiar algo, según la descripción del autor.
WEAVATRIX_CAPABILITIES_URL Optional explicit endpoint capability document URL; defaults to /api/v1/capabilities on the sync origin with legacy /api/health fallbackWEAVATRIX_ARCHITECTURE_URL Optional explicit architecture-contract URLWEAVATRIX_PRECISION Core semantic precision: lsp (default) or offWEAVATRIX_ADVISORY_STORE Optional local advisory-cache file overrideLas descripciones siguen en el inglés original.
Nombres de menú comprobados con la ayuda de Anthropic el 11 nov 2026 · tu pantalla puede variar un poco según la versión
ChatGPT todavía no puede conectar Weavatrix Online
Weavatrix Online se instala en tu computadora, pero ChatGPT solo conecta servidores que funcionan en la web
A · Usa una app que pueda conectar Weavatrix Online
B · Otros en Ciberseguridad que funcionan con ChatGPT
Elegidos entre los más usados de la misma categoría, solo los que se conectan con una dirección y sin clave
Funciona con Claude Code, pero hay que preparar algo antes
Necesitas una clave de Weavatrix Online (créala en el sitio del autor) · 1 ajuste(s) que rellenar (WEAVATRIX_SYNC_URL) · Instala Node.js en tu computadora primero (una sola vez)
Copia este mensaje en un chat de Claude Code. La IA revisa tu equipo, te dice qué archivo va a cambiar y espera tu visto bueno cada vez.
Instala el MCP server Weavatrix Online para Claude Code en este equipo, en este orden: 1) Comprueba Node.js con node -v. Si falta, dime que lo instale desde https://nodejs.org/en/download; no lo instales tú. 2) Usa solo esta configuración (ya revisada por PopNx MCP): claude mcp add --scope user weavatrix-online --env WEAVATRIX_SYNC_URL=your-value --env WEAVATRIX_SYNC_TOKEN=your-value -- npx -y weavatrix-online 3) Dime la ruta completa del archivo que vas a cambiar o el comando que vas a ejecutar y espera mi visto bueno. 4) En WEAVATRIX_SYNC_TOKEN, WEAVATRIX_SYNC_URL deja "your-value" y dime que pegue yo el valor real en el archivo o en el campo de la app. Nunca me pidas escribir una clave en el chat. 5) Haz lo acordado y comprueba que las herramientas de Weavatrix Online aparecen de verdad.Este mensaje no lleva tu clave. Si hace falta una, la IA te pedirá que la pegues tú en el archivo o en el campo de la app.
¿Ya está instalado? Compruébalo primero · Abre la Terminal, escribe este comando y pulsa Enter
node -vMac: pulsa ⌘ + Espacio, escribe Terminal y pulsa Enter
Windows: abre Inicio, escribe Windows PowerShell y elige Abrir
Si no está instalado: Abre la página oficial de descargas, elige la versión LTS y el instalador de clics: .pkg en Mac · .msi en Windows. Haz doble clic y sigue hasta el final. No necesitas ningún comando curl
Abrir la página de descarga de Node.js ↗
Al terminar, cierra la Terminal, ábrela de nuevo y ejecuta el mismo comando. Debe aparecer un número de versión: node -v
Se instala una vez y sirve para todo lo que usa Node.js
Abre el sitio del autor, crea una cuenta y una clave de API para el siguiente paso. Consulta precios y planes gratis en su sitio.
Son ajustes del programa, no claves. No hace falta registrarse; rellénalos como explica el autor.
WEAVATRIX_SYNC_URL Cloud or compatible self-hosted sync endpointLas descripciones siguen en el inglés original.
Mac: pulsa Command+Espacio y escribe Terminal · Windows: abre PowerShell
claude mcp add --scope user weavatrix-online --env WEAVATRIX_SYNC_URL=your-value --env WEAVATRIX_SYNC_TOKEN=your-value -- npx -y weavatrix-onlineCambia “your-value” por tu clave antes de pulsar Enter
Pega la clave solo en el campo de la app; nunca en un chat ni se la envíes a nadie
Deberías ver Weavatrix Online en la lista como conectado
Usa Weavatrix Online y dime qué puedes hacer por mí; luego muéstrame una cosa✓ Si Claude Code dice que está usando Weavatrix Online o muestra una herramienta de Weavatrix Online en la respuesta, ya está conectado
El comando de arriba funciona sin estos valores. Añádelos solo si quieres cambiar algo, según la descripción del autor.
WEAVATRIX_CAPABILITIES_URL Optional explicit endpoint capability document URL; defaults to /api/v1/capabilities on the sync origin with legacy /api/health fallbackWEAVATRIX_ARCHITECTURE_URL Optional explicit architecture-contract URLWEAVATRIX_PRECISION Core semantic precision: lsp (default) or offWEAVATRIX_ADVISORY_STORE Optional local advisory-cache file overrideLas descripciones siguen en el inglés original.
Nombres de menú comprobados con la ayuda de Anthropic el 11 nov 2026 · tu pantalla puede variar un poco según la versión
Funciona con Cursor, pero hay que preparar algo antes
Necesitas una clave de Weavatrix Online (créala en el sitio del autor) · 1 ajuste(s) que rellenar (WEAVATRIX_SYNC_URL) · Instala Node.js en tu computadora primero (una sola vez) · No hay botón de un clic: pega la configuración y completa los valores tú
Copia este mensaje en un chat de Cursor. La IA revisa tu equipo, te dice qué archivo va a cambiar y espera tu visto bueno cada vez.
Instala el MCP server Weavatrix Online para Cursor en este equipo, en este orden: 1) Comprueba Node.js con node -v. Si falta, dime que lo instale desde https://nodejs.org/en/download; no lo instales tú. 2) Usa solo esta configuración (ya revisada por PopNx MCP): { "mcpServers": { "weavatrix-online": { "command": "npx", "args": [ "-y", "weavatrix-online" ], "env": { "WEAVATRIX_SYNC_URL": "your-value", "WEAVATRIX_SYNC_TOKEN": "your-value" } } } } 3) Dime la ruta completa del archivo que vas a cambiar o el comando que vas a ejecutar y espera mi visto bueno. 4) En WEAVATRIX_SYNC_TOKEN, WEAVATRIX_SYNC_URL deja "your-value" y dime que pegue yo el valor real en el archivo o en el campo de la app. Nunca me pidas escribir una clave en el chat. 5) Haz lo acordado y comprueba que las herramientas de Weavatrix Online aparecen de verdad.Este mensaje no lleva tu clave. Si hace falta una, la IA te pedirá que la pegues tú en el archivo o en el campo de la app.
¿Ya está instalado? Compruébalo primero · Abre la Terminal, escribe este comando y pulsa Enter
node -vMac: pulsa ⌘ + Espacio, escribe Terminal y pulsa Enter
Windows: abre Inicio, escribe Windows PowerShell y elige Abrir
Si no está instalado: Abre la página oficial de descargas, elige la versión LTS y el instalador de clics: .pkg en Mac · .msi en Windows. Haz doble clic y sigue hasta el final. No necesitas ningún comando curl
Abrir la página de descarga de Node.js ↗
Al terminar, cierra la Terminal, ábrela de nuevo y ejecuta el mismo comando. Debe aparecer un número de versión: node -v
Se instala una vez y sirve para todo lo que usa Node.js
Abre el sitio del autor, crea una cuenta y una clave de API para el siguiente paso. Consulta precios y planes gratis en su sitio.
Son ajustes del programa, no claves. No hace falta registrarse; rellénalos como explica el autor.
WEAVATRIX_SYNC_URL Cloud or compatible self-hosted sync endpointLas descripciones siguen en el inglés original.
~/.cursor/mcp.json
Pega esta configuración, completa los valores vacíos y guarda
{
"mcpServers": {
"weavatrix-online": {
"command": "npx",
"args": [
"-y",
"weavatrix-online"
],
"env": {
"WEAVATRIX_SYNC_URL": "your-value",
"WEAVATRIX_SYNC_TOKEN": "your-value"
}
}
}
}En la configuración de Weavatrix Online, WEAVATRIX_SYNC_TOKEN, WEAVATRIX_SYNC_URL está vacío; añade tu clave y guarda
Pega la clave solo en el campo de la app; nunca en un chat ni se la envíes a nadie
Usa Weavatrix Online y dime qué puedes hacer por mí; luego muéstrame una cosa✓ Si Cursor dice que está usando Weavatrix Online o muestra una herramienta de Weavatrix Online en la respuesta, ya está conectado
El comando de arriba funciona sin estos valores. Añádelos solo si quieres cambiar algo, según la descripción del autor.
WEAVATRIX_CAPABILITIES_URL Optional explicit endpoint capability document URL; defaults to /api/v1/capabilities on the sync origin with legacy /api/health fallbackWEAVATRIX_ARCHITECTURE_URL Optional explicit architecture-contract URLWEAVATRIX_PRECISION Core semantic precision: lsp (default) or offWEAVATRIX_ADVISORY_STORE Optional local advisory-cache file overrideLas descripciones siguen en el inglés original.
Nombres de menú comprobados con la ayuda de Cursor el 11 nov 2026 · tu pantalla puede variar un poco según la versión
Funciona con VS Code, pero hay que preparar algo antes
Necesitas una clave de Weavatrix Online (créala en el sitio del autor) · 1 ajuste(s) que rellenar (WEAVATRIX_SYNC_URL) · Instala Node.js en tu computadora primero (una sola vez) · No hay botón de un clic: pega la configuración y completa los valores tú
Copia este mensaje en un chat de VS Code. La IA revisa tu equipo, te dice qué archivo va a cambiar y espera tu visto bueno cada vez.
Instala el MCP server Weavatrix Online para VS Code en este equipo, en este orden: 1) Comprueba Node.js con node -v. Si falta, dime que lo instale desde https://nodejs.org/en/download; no lo instales tú. 2) Usa solo esta configuración (ya revisada por PopNx MCP): { "servers": { "weavatrix-online": { "type": "stdio", "command": "npx", "args": [ "-y", "weavatrix-online" ], "env": { "WEAVATRIX_SYNC_URL": "your-value", "WEAVATRIX_SYNC_TOKEN": "your-value" } } } } 3) Dime la ruta completa del archivo que vas a cambiar o el comando que vas a ejecutar y espera mi visto bueno. 4) En WEAVATRIX_SYNC_TOKEN, WEAVATRIX_SYNC_URL deja "your-value" y dime que pegue yo el valor real en el archivo o en el campo de la app. Nunca me pidas escribir una clave en el chat. 5) Haz lo acordado y comprueba que las herramientas de Weavatrix Online aparecen de verdad.Este mensaje no lleva tu clave. Si hace falta una, la IA te pedirá que la pegues tú en el archivo o en el campo de la app.
¿Ya está instalado? Compruébalo primero · Abre la Terminal, escribe este comando y pulsa Enter
node -vMac: pulsa ⌘ + Espacio, escribe Terminal y pulsa Enter
Windows: abre Inicio, escribe Windows PowerShell y elige Abrir
Si no está instalado: Abre la página oficial de descargas, elige la versión LTS y el instalador de clics: .pkg en Mac · .msi en Windows. Haz doble clic y sigue hasta el final. No necesitas ningún comando curl
Abrir la página de descarga de Node.js ↗
Al terminar, cierra la Terminal, ábrela de nuevo y ejecuta el mismo comando. Debe aparecer un número de versión: node -v
Se instala una vez y sirve para todo lo que usa Node.js
Abre el sitio del autor, crea una cuenta y una clave de API para el siguiente paso. Consulta precios y planes gratis en su sitio.
Son ajustes del programa, no claves. No hace falta registrarse; rellénalos como explica el autor.
WEAVATRIX_SYNC_URL Cloud or compatible self-hosted sync endpointLas descripciones siguen en el inglés original.
MCP: Open User Configuration
Pega esta configuración, completa los valores vacíos y guarda
{
"servers": {
"weavatrix-online": {
"type": "stdio",
"command": "npx",
"args": [
"-y",
"weavatrix-online"
],
"env": {
"WEAVATRIX_SYNC_URL": "your-value",
"WEAVATRIX_SYNC_TOKEN": "your-value"
}
}
}
}En la configuración de Weavatrix Online, WEAVATRIX_SYNC_TOKEN, WEAVATRIX_SYNC_URL está vacío; añade tu clave y guarda
Pega la clave solo en el campo de la app; nunca en un chat ni se la envíes a nadie
Usa Weavatrix Online y dime qué puedes hacer por mí; luego muéstrame una cosa✓ Si VS Code dice que está usando Weavatrix Online o muestra una herramienta de Weavatrix Online en la respuesta, ya está conectado
El comando de arriba funciona sin estos valores. Añádelos solo si quieres cambiar algo, según la descripción del autor.
WEAVATRIX_CAPABILITIES_URL Optional explicit endpoint capability document URL; defaults to /api/v1/capabilities on the sync origin with legacy /api/health fallbackWEAVATRIX_ARCHITECTURE_URL Optional explicit architecture-contract URLWEAVATRIX_PRECISION Core semantic precision: lsp (default) or offWEAVATRIX_ADVISORY_STORE Optional local advisory-cache file overrideLas descripciones siguen en el inglés original.
Nombres de menú comprobados con la ayuda de VS Code el 11 nov 2026 · tu pantalla puede variar un poco según la versión
Otras apps que usan MCP, como Windsurf, Zed o Gemini CLI, añaden servidores de forma distinta. Míralo en la lista de apps
Ver todas las apps que usan MCP →
La configuración JSON está en “Para desarrolladores”, abajo
Claude Code
claude mcp add --scope user weavatrix-online --env WEAVATRIX_SYNC_URL=your-value --env WEAVATRIX_SYNC_TOKEN=your-value -- npx -y weavatrix-onlineClaude Desktop (claude_desktop_config.json)
{
"mcpServers": {
"weavatrix-online": {
"command": "npx",
"args": [
"-y",
"weavatrix-online"
],
"env": {
"WEAVATRIX_SYNC_URL": "your-value",
"WEAVATRIX_SYNC_TOKEN": "your-value"
}
}
}
}Cursor (~/.cursor/mcp.json)
{
"mcpServers": {
"weavatrix-online": {
"command": "npx",
"args": [
"-y",
"weavatrix-online"
],
"env": {
"WEAVATRIX_SYNC_URL": "your-value",
"WEAVATRIX_SYNC_TOKEN": "your-value"
}
}
}
}VS Code (mcp.json)
{
"servers": {
"weavatrix-online": {
"type": "stdio",
"command": "npx",
"args": [
"-y",
"weavatrix-online"
],
"env": {
"WEAVATRIX_SYNC_URL": "your-value",
"WEAVATRIX_SYNC_TOKEN": "your-value"
}
}
}
}WEAVATRIX_SYNC_URL obligatorio envWEAVATRIX_SYNC_TOKEN secreto obligatorio envWEAVATRIX_CAPABILITIES_URL envWEAVATRIX_ARCHITECTURE_URL envWEAVATRIX_PRECISION envWEAVATRIX_ADVISORY_STORE envLas descripciones siguen en el inglés original.
Esta configuración se genera a partir de la ficha del creador en el registro. Si el README dice otra cosa, sigue el README.
npm: weavatrix-onlineSegún cómo se conecta este servidor y la documentación de cada app, comprobado el 10 nov 2026.
Se ejecutan en tu computadora en
ClaudeGooseLM StudioMsty StudioCherry StudioCursorVS Code + GitHub CopilotVisual StudioWindsurf (Devin Desktop)ZedKiroClineContinueJetBrains AI AssistantClaude CodeCodex CLIGemini CLIOpenCodenodecodeWarpLibreChatRaycast
Se ejecuta en tu computadora; la lista de herramientas aparece en tu app de IA después de instalarlo.
Revisamos información que cualquiera puede ver; no hemos leído el código. Las revisiones que no aplican no se cuentan. · Revisado el 15 nov 2026
El nombre en el registro se verificó con la cuenta de GitHub Weavatrix, dueña del repo
Último cambio de código: hace 3 meses
Usa MIT
Este se ejecuta en tu computadora; no hay endpoint en internet
Se ejecuta en tu computadora y usa ajustes locales en su lugar
Se ejecuta en tu computadora; solo podemos leer listas de herramientas de endpoints en internet
Aún no revisado
Pregunta, comparte un consejo o avisa de que no funciona. Ordenado por lo que la gente marcó como útil.
Aún no hay publicaciones. Sé la primera persona en preguntar o compartir.
Lo publicado aquí lo escriben usuarios, no el equipo de PopNx.
Aún no hay reseñas
Comparado con todos los servidores activos de esta categoría en el registro. Las estrellas solo cuentan cuando quien lo publica es dueño del repo.
Superó 3 de 3 revisiones básicas aplicables. No hemos leído el código. Antes de agregar una clave o un token, revisa qué acceso pide el servidor y usa una clave que tenga solo los permisos que necesitas.
Debes completar: WEAVATRIX_SYNC_TOKEN
Se ejecuta en tu computadora. Tu app de IA lo inicia cuando hace falta, y los datos no pasan por los servidores del creador (a menos que el propio servidor llame a un servicio en línea).
El repo de GitHub cambió por última vez hace 3 meses, y la última versión (0.3.4) llegó al registro hace 3 meses.
Las apps compatibles con MCP, como Claude Desktop, Claude Code, Cursor y VS Code. También necesitas Node.js en tu computadora.
En la misma categoría: GitHits, Dependency Management MCP Server, Snyk MCP, Draugr, Spotdb
Misma categoría, otros creadores, comandos ya revisados. Primero los oficiales, luego por estrellas.
Cómo leer una tarjeta:↓ Descargas por semanai★ Estrellas de GitHubiTres pilares: reseñas · revisiones · usoiActualizado = fecha en que se publicó la última versión en el registroi
Search public open-source code, documentation, metadata, vulnerabilities, changelogs, and examples.
Sonatype component intelligence: versions, security analysis, and Trust Score recommendations
Easily find and fix security issues in your applications leveraging Snyk platform capabilities.
Security scanning for AI agents: SAST, SCA, secrets, IaC, DAST, ranked by real risk.
Ephemeral data sandbox for AI workflows with guardrails and security
Copiado tal cual del repo del creador. PopNx MCP no lo ha revisado ni lo respalda. Se quitaron HTML, imágenes y scripts. Los enlaces llevan fuera de este sitio.
Take repository intelligence across a network without handing the network your repository.
The explicit network boundary of the Weavatrix ecosystem. Core and Refactor remain separate installs.
Weavatrix Online is the MIT-licensed MCP connector for Weavatrix Cloud and compatible customer-controlled endpoints. It keeps analysis local, produces an inspectable source-free payload, and requires an exact short-lived confirmation before that payload can leave the machine.
The public Online profile exposes 7 MCP tools for endpoint discovery, advisories, malware review, architecture contracts, and controlled synchronization. The local weavatrix-js graph engine is an implementation detail: its tools are not re-exported, so installing Core, Refactor, and Online together does not duplicate their catalogs in an agent's context.
Installing or starting Online does not synchronize anything. preview_sync makes no network request; sync_graph accepts only the still-valid preview for the same repository, destination, payload, and graph.
| Product | Install | Boundary |
|---|---|---|
weavatrix | npm or Cargo | Native local-first MCP product. Both package managers distribute the same local Weavatrix server and engine. |
weavatrix-rust | Cargo | Protocol-independent Rust repository-intelligence engine for library and CLI use; it does not own MCP transport. |
weavatrix-refactor | npm or Cargo | Native extension-only transactional refactoring; it uses the Rust graph engine internally. |
weavatrix-online | npm | This optional network extension: source-free Cloud/self-hosted workflows over an internal local graph runtime. |
Online currently uses the JavaScript graph/runtime package internally:
weavatrix-online 0.3.4
└─ weavatrix-js 0.3.x (internal; no Core tools re-exported)
It does not proxy the native weavatrix executable, import weavatrix-refactor, or copy either engine. Use weavatrix when the graph must remain entirely local. Use weavatrix-online when endpoint status, remotely managed architecture contracts, advisory refresh, or explicit source-free synchronization is part of the workflow.
The repository now contains one portable plugin bundle at plugins/weavatrix-online plus native marketplace manifests for all four clients. The plugin starts the pinned npm release and includes an optional, compact skill with one lazily loaded card per Online method.
codex plugin marketplace add Weavatrix/weavatrix-online --sparse .agents/plugins plugins/weavatrix-online
codex plugin add weavatrix-online@weavatrix-online
claude plugin marketplace add Weavatrix/weavatrix-online --sparse .claude-plugin plugins claude plugin install weavatrix-online@weavatrix-online
grok plugin marketplace add Weavatrix/weavatrix-online
Cursor can load the bundle locally from ~/.cursor/plugins/local/weavatrix-online; public marketplace discovery starts after the listing is reviewed and approved.
Run the pinned release without a global install:
npx -y weavatrix-online@0.3.4 C:\path\to\repository
The command starts a stdio MCP server. The first positional argument is the repository to analyze. An existing graph can be supplied explicitly:
npx -y weavatrix-online@0.3.4 C:\graphs\repository\graph.json C:\path\to\repository
The npm package is intentionally an executable MCP product; it does not advertise a nonexistent JavaScript library entry point.
[mcp_servers.weavatrix_online]
command = "npx" args = ["-y", "weavatrix-online@0.3.4", "C:\\path\\to\\repository"]
[mcp_servers.weavatrix_online.env] WEAVATRIX_SYNC_URL = "https://app.weavatrix.com/api/v1/graphs/sync" WEAVATRIX_SYNC_TOKEN = "load-from-runtime-secret-storage"
{
"mcpServers": { "weavatrix-online": { "command": "npx", "args": [ "-y", "weavatrix-online@0.3.4", "C:\\path\\to\\repository" ], "env": { "WEAVATRIX_SYNC_URL": "https://app.weavatrix.com/api/v1/graphs/sync", "WEAVATRIX_SYNC_TOKEN": "load-from-runtime-secret-storage" } } } }
Keep bearer tokens in the MCP client's runtime secret storage. Do not put them in Git, a committed .env, release logs, or checked-in MCP configuration.
| Tool | Network | Evidence and effect |
|---|---|---|
online_status | Yes | Discovers endpoint capabilities, payload versions, limits, and auth mode without repository evidence. |
refresh_advisories | Yes | Inventories exact dependency coordinates, queries OSV, validates returned records, and atomically refreshes the local cache. |
scan_dependency_vulnerabilities | No | Matches the current inventory against that cache. Missing, stale, partial, or mismatched coverage remains NOT_CHECKED or PARTIAL. |
scan_dependency_malware | No | Performs bounded static review of installed dependency files. Findings require review and are never a compromise verdict. |
pull_architecture_contract | Yes | Fetches the owner-approved target for the active opaque repository ID, validates it, and updates the local graph cache. |
preview_sync | No | Serializes the exact allowlisted payload, hashes it, and issues a five-minute confirmation token. |
sync_graph | Yes | Sends only the payload approved by preview_sync; dry_run:false and the matching token are mandatory. |
Install Weavatrix Core for read-only repository intelligence and Weavatrix Refactor for guarded source changes. Their methods remain in their owning products.
Check endpoint compatibility before doing any repository work:
{"name":"online_status","arguments":{"timeout_ms":10000}}
Refresh advisory evidence, then evaluate it locally:
{"name":"refresh_advisories","arguments":{"timeout_ms":20000}}
{"name":"scan_dependency_vulnerabilities","arguments":{"max_age_days":30}}
Review the exact upload without sending it:
{"name":"preview_sync","arguments":{"payload_version":3}}
After a human or trusted controller approves the displayed destination, section summary, counts, size, and body hash, use the returned token:
{
"name": "sync_graph", "arguments": { "payload_version": 3, "dry_run": false, "confirm_token": "token-returned-by-preview_sync", "timeout_ms": 30000 } }
Changing the graph, repository, destination, payload, or expiry state invalidates that approval. A rejected or unavailable endpoint leaves the graph local.
local repository
│ ▼ local graph + derived evidence │ ▼ preview_sync ── inspect destination, sections, counts, size, and SHA-256 │ ▼ explicit approval │ ▼ sync_graph ── capability negotiation ── approved endpoint
The connector enforces:
NOT_CHECKED and PARTIAL states when evidence is incomplete.The sync payload contains bounded graph topology and selected derived evidence. It excludes source bodies, snippets, absolute host paths, environment values, credentials, Git remotes, and fields outside the wire allowlist. “Source-free” does not mean anonymous: review the displayed repository identity, destination, counts, sections, and hash before approval.
| Variable | Required | Meaning |
|---|---|---|
WEAVATRIX_SYNC_URL | For Online network workflows | Cloud or compatible self-hosted sync endpoint. |
WEAVATRIX_SYNC_TOKEN | For Cloud/authenticated endpoints | Scoped bearer token sent only to the approved endpoint. |
WEAVATRIX_CAPABILITIES_URL | No | Explicit capability document; otherwise /api/v1/capabilities with legacy /api/health fallback. |
WEAVATRIX_ARCHITECTURE_URL | No | Explicit owner-approved architecture-contract endpoint. |
WEAVATRIX_PRECISION | No | Local semantic precision: lsp (default) or off. |
WEAVATRIX_GRAPH_HOME | No | Override local graph/cache storage. |
WEAVATRIX_ADVISORY_STORE | No | Override the local advisory-cache file. |
Compatible endpoints must implement the versioned capability and sync contracts. Capability discovery itself sends no repository evidence.
Advisory refresh covers pinned npm, PyPI, Go, Maven/Gradle, and crates.io coordinates found in bounded repository manifests. A clean zero is allowed only when the current inventory matches a complete, current Online cache.
Malware review is static and bounded. It can identify evidence such as download-and-execute lifecycle scripts, reverse-shell patterns, decoded execution, miner indicators, credential-file reads, or suspicious exfiltration endpoints. It cannot prove execution, provenance, credential exposure, safety, or compromise.
Architecture contracts are validated locally before becoming active.
Report vulnerabilities privately through GitHub Security Advisories.
The connector is a strict modular ports-and-adapters system:
policy
└─ discovery adapters └─ security cache and evidence services └─ Online actions └─ MCP composition and executable
policy: destination validation, version matching, inventory identities, and malware evidence rules;discovery: bounded manifest and installed-package adapters;security: atomic advisory state, cached matching, scanning, and reporting;online-actions: capability, contract, advisory, preview, and sync use cases;composition: extension registration, launcher, and stdio executable.The checked-in architecture contract enforces zero runtime cycles, production files at or below 300 physical lines, and functions at or below 100 physical lines, with no exceptions and no violation baseline.
npm ci --ignore-scripts
npm test npm run verify:release npm audit npm pack --dry-run --json
The release gate verifies package identity, dependency ranges, exact installed versions, MCP Registry metadata, checked-in release notes, MIT licensing, the published file allowlist, and tag/version agreement. CI repeats the tests, security audit, and package dry-run on Node.js 24.
MIT. Weavatrix Online and its internal weavatrix-js runtime are independently versioned MIT-licensed packages.