Was wir prüfen
Alles unten ist das, was unser System wirklich bei jedem Server macht, nur mit öffentlichen Daten. Es ist keine Sicherheitszertifizierung, und wir vergeben keine Gesamtnote.
Entwickler passt zum Repo
Wir vergleichen den im Official MCP Registry eingetragenen Namen mit dem Besitzer des GitHub-Repos oder einer vom Registry bestätigten Domain. Passt es nicht, hat ihn evtl. jemand anderes erneut eingetragen.
Wird gepflegt
Wir lesen die letzte Codeänderung auf GitHub. Über 6 Monate = Vorsicht · über 1 Jahr oder archiviert = nicht bestanden.
Hat eine Lizenz
Wir lesen den Lizenztyp, den GitHub im Repo erkennt. Keine Datei = nicht bestanden · der eigene Cloud-Server des Entwicklers zählt hier nicht.
Cloud-Adresse antwortet
Wir senden eine MCP-Startanfrage und fragen die Tool-Liste ab, mit bis zu 6 Sekunden Wartezeit, ohne Schlüssel oder fremde Daten. Die 2.000 meistgenutzten täglich, der Rest reihum.
OAuth-Anmeldung
Wir prüfen, ob der Server eine Anmeldung anbietet, die die KI-App für dich übernimmt, oder ob ein Schlüssel von Hand eingefügt werden muss.
Keine versteckten Anweisungen in Tool-Beschreibungen
Wir lesen jede Tool-Beschreibung eines Cloud-Servers und suchen Text, der die KI zu Dingen bringen will, die du nicht verlangt hast.
Kopierbare Befehle bestehen unsere Prüfung
Jeder Befehl und jede Konfiguration zum Kopieren muss zuerst bestehen: nur erlaubte Programme (npx, uvx, docker und wenige mehr), keine Shell-Verkettung, die Paketversion existiert wirklich auf npm, PyPI oder Docker, Adressen nutzen https. Nicht bestanden = kein Kopier-Button.
Veröffentlichte Schwachstellen (OSV.dev)
Wir fragen die offene Datenbank OSV.dev, ob die empfohlene npm- oder PyPI-Version Schwachstellen-Einträge hat, und prüfen alle 7 Tage neu. Nur diese Paketversion, nicht alle Abhängigkeiten. Schlägt die Abfrage fehl, zeigen wir „noch nicht geprüft“.
Antwortverlauf
Wir speichern pro Server und Tag ein Ergebnis der Cloud-Adresse für 30 Tage und zeigen ab 3 Einträgen „hat bei N der letzten M Prüfungen geantwortet“ über die letzten 7. Das ist keine Verfügbarkeit rund um die Uhr.
Ergebnisse als JSON
Die Ergebnisse jedes Servers stehen unter /api/servers/<slug>/checks.json, ohne Schlüssel.
Entwickler: neue Prüfung anfordern oder falsche Angaben melden
Nutze den Button im Prüfbereich deiner Server-Seite. Anmeldung nötig; bis zu 3 Anfragen pro Konto und Tag. Unser Team liest jede.