Prototyp · Vorschau: alle Server aus der offiziellen Registry, alle 30 Minuten synchronisiert. Bewertungen und Benutzerkonten folgen in einem späteren Schritt.
PopNx MCPMCP-Server für alle, die KI nutzen · in einfachen Worten erklärt

Attestd MCP

von attestd-ioVersion 0.3.1i★ –iLäuft auf deinem Computer
Name in der Registryio.github.attestd-io/attestd-mcp

Installieren

Überblick

Beschreibung vom Entwickler (englisches Original)

CVE checks, supply chain signals, live catalog, and CVE detail for MCP clients (infra, PyPI, npm).

Die drei Säulen von PopNx MCP

Diese drei werden nie zu einer Punktzahl zusammengefasst: Meinungen, Messungen und Beliebtheit sind verschiedene Dinge.

Was du damit machen kannst

Für diesen Server haben wir noch keine Zusammenfassung in einfacher Sprache geschrieben. Unten stehen die Fakten, die wir aus der Registry gelesen haben.

  • Verbindung: Läuft auf deinem Computer
  • Transport: stdio
  • Kategorie: Entwicklertools
  • Das musst du eintragen: ATTESTD_API_KEY

Installation

Wähle die KI-App, die du nutzt, und kopiere die Einstellungen.

Bevor du installierst

  • Basischecks: 1 von 1 bestanden
  • Läuft auf deinem Computer mit den Rechten deines Benutzerkontos (Dateien, Netzwerk, Apps).
  • Das trägst du selbst ein: ATTESTD_API_KEY, ATTESTD_BASE_URL

Als geheim markierte Werte sind Schlüssel zu deinem Konto. Gib sie nie weiter und füge sie nie in einen Chat ein.

Du brauchst

  • npmNode.js installiert (für den Befehl npx)

Welche App nutzt du?

Wähle oben deine App. Wir merken sie uns, damit der Button beim nächsten Mal „In … installieren“ anzeigt.

Öffne Claude Desktop → Settings → Developer → Edit Config und füge dies in claude_desktop_config.json ein

{
  "mcpServers": {
    "attestd": {
      "command": "npx",
      "args": [
        "-y",
        "@attestd/mcp"
      ],
      "env": {
        "ATTESTD_API_KEY": "your-value",
        "ATTESTD_BASE_URL": "your-value"
      }
    }
  }
}

Führe das in deinem Terminal aus

claude mcp add attestd --env ATTESTD_API_KEY=your-value --env ATTESTD_BASE_URL=your-value -- npx -y @attestd/mcp

Trag die leeren Werte ein, bevor du ihn startest.

In Cursor öffnen

Oder kopier die Einstellungen selbst

In .cursor/mcp.json in deinem Projekt oder in ~/.cursor/mcp.json einfügen

{
  "mcpServers": {
    "attestd": {
      "command": "npx",
      "args": [
        "-y",
        "@attestd/mcp"
      ],
      "env": {
        "ATTESTD_API_KEY": "your-value",
        "ATTESTD_BASE_URL": "your-value"
      }
    }
  }
}

Dein Browser fragt, ob er die App öffnen darf, dann zeigt die App die Einstellungen und bittet dich um Bestätigung. Schlüsselwerte bleiben leer, damit du sie selbst einträgst.

In VS Code öffnen

Oder kopier die Einstellungen selbst

In .vscode/mcp.json in deinem Projekt einfügen

{
  "servers": {
    "attestd": {
      "type": "stdio",
      "command": "npx",
      "args": [
        "-y",
        "@attestd/mcp"
      ],
      "env": {
        "ATTESTD_API_KEY": "your-value",
        "ATTESTD_BASE_URL": "your-value"
      }
    }
  }
}

Dein Browser fragt, ob er die App öffnen darf, dann zeigt die App die Einstellungen und bittet dich um Bestätigung. Schlüsselwerte bleiben leer, damit du sie selbst einträgst.

Dieser Server läuft auf deinem Computer, und ChatGPT kann sich nur mit Servern im Internet verbinden. Wähle eine andere App.

Deine Auswahl bleibt in einem Cookie auf diesem Gerät; kein Konto nötig.

Werte, die du selbst einträgst

  • ATTESTD_API_KEY geheim env
    Attestd API key (atst_...). Required for check_package_vulnerability, check_batch_vulnerabilities, get_cve_details, and live list_covered_products. Get one at https://api.attestd.io/portal
  • ATTESTD_BASE_URL env
    Optional API base URL override. Defaults to https://api.attestd.io

Diese Einstellungen werden aus dem Registry-Eintrag des Entwicklers erzeugt. Wenn in der README etwas anderes steht, folge der README.

Was er kann

Läuft auf deinem Computer; die Tool-Liste erscheint nach der Installation in deiner KI-App.

Basischecksi

Wir prüfen Informationen, die jeder sehen kann; den Code haben wir nicht gelesen. Checks, die nicht zutreffen, werden nicht mitgezählt. · Geprüft am 7. Nov. 2026

  • ✓ Bestanden

    Entwickler passt zum Repo

    Der Registry-Name wurde mit dem GitHub-Konto attestd-io bestätigt, dem das Repo gehört

  • … Noch nicht geprüft

    Wird noch gepflegt

    Dieses Repo haben wir noch nicht von GitHub gelesen

  • … Noch nicht geprüft

    Hat eine Lizenz

    Dieses Repo haben wir noch nicht von GitHub gelesen

  • – Nicht zutreffend

    Endpunkt antwortet

    Dieser Server läuft auf deinem Computer; es gibt keinen Endpunkt im Internet

  • – Nicht zutreffend

    Anmeldung mit OAuth

    Läuft auf deinem Computer und nutzt stattdessen lokale Einstellungen

  • … Noch nicht geprüft

    Keine versteckten Anweisungen in Tool-Beschreibungen

    Läuft auf deinem Computer; Tool-Listen können wir nur von Endpunkten im Internet lesen

Im Vergleich mit anderen in Entwicklertoolsi

  • Mehr Sterne als 0 % der anderen 4906 Server in dieser Kategorie
  • Neuer in der Registry veröffentlicht als 52 % der anderen 4906 Server in dieser Kategorie
  • Basischecks gleich gut wie oder besser als bei 100 % der anderen 4906 Server in dieser Kategorie

Verglichen mit allen aktiven Servern dieser Kategorie in der Registry. Sterne zählen nur, wenn dem Herausgeber das Repo gehört.

Häufige Fragen

Ist Attestd MCP sicher?

Er hat 1 von 1 zutreffenden Basischecks bestanden. Den Code haben wir nicht gelesen. Bevor du einen Schlüssel oder Token hinzufügst, sieh nach, welche Zugriffe der Server verlangt, und nutze einen Schlüssel, der nur die Berechtigungen hat, die du brauchst.

Welche Schlüssel oder Codes braucht er?

Das musst du eintragen: ATTESTD_API_KEY

Läuft er auf meinem Computer oder in der Cloud?

Er läuft auf deinem Computer. Deine KI-App startet ihn bei Bedarf, und die Daten laufen nicht über die Server des Entwicklers (außer der Server ruft selbst einen Onlinedienst auf).

Wird er noch gepflegt?

Das GitHub-Repo wurde zuletzt – geändert, und die neueste Version (0.3.1) kam vor 42 Tagen in die Registry.

Welche Apps können ihn nutzen?

Apps, die MCP unterstützen, etwa Claude Desktop, Claude Code, Cursor und VS Code. Außerdem brauchst du Node.js auf deinem Computer.

Was kann ich stattdessen nutzen?

In derselben Kategorie: GitHub, Desktop Commander, Cloudflare MCP

Alternativen

Server derselben Kategorie von anderen Entwicklern, sortiert nach Sternen.

So liest du eine Karte:★ GitHub-SterneiDrei Säulen: Bewertungen · Checks · NutzungiAktualisiert = neueste Version in der Registry veröffentlichti

GitHub

von github

Connect AI assistants to GitHub - manage repos, issues, PRs, and workflows through natural language.

Computer oder Cloud★ 34.245MITAktualisiert vor 4 Tagen
Installieren

Desktop Commander

von wonderwhy-er

MCP server for terminal commands, file operations, and process management

Läuft auf deinem Computer★ 10.225MITAktualisiert vor 16 Tagen
Installieren

Cloudflare MCP

von cloudflare

Cloudflare MCP servers

Läuft in der Cloud★ 4.446Apache-2.0Aktualisiert vor 14 Monaten
Installieren

README vom Entwickler

README öffnen

Unverändert aus dem Repo des Entwicklers übernommen. PopNx MCP hat den Inhalt weder geprüft noch empfiehlt es ihn. HTML, Bilder und Skripte wurden entfernt. Links führen von dieser Website weg.

@attestd/mcp

Attestd checks whether a dependency version has exploitable CVEs or a confirmed supply-chain compromise. One API call returns a structured risk response.

Official Model Context Protocol (MCP) server for Attestd. Exposes CVE risk and supply-chain checks as tools for Claude Code, Claude Desktop, and any MCP-compatible client.

Get a free API key · Full docs

  • stdio transport: run via npx -y @attestd/mcp with no global install.
  • `check_package_vulnerability`: wraps GET /v1/check using @attestd/sdk.
  • `check_batch_vulnerabilities`: checks up to 100 packages in one call. Use for lockfile and manifest audits.
  • `list_covered_products`: returns Attestd-covered products. With an API key, returns live data from GET /v1/products. Without a key, returns the static bundled infrastructure list.
  • `get_cve_details`: returns CVSS, EPSS, KEV status, and affected products for a single CVE id.
  • `get_usage`: returns remaining quota for the authenticated key (GET /v1/usage).

Prerequisites

  • Node.js 18+
  • An Attestd API key from the portal. Required for check_package_vulnerability, check_batch_vulnerabilities, get_cve_details, get_usage, and live list_covered_products.

Claude Code / MCP config

Add to ~/.claude/mcp.json or project .mcp.json:

{

"mcpServers": { "attestd": { "command": "npx", "args": ["-y", "@attestd/mcp"], "env": { "ATTESTD_API_KEY": "your-api-key-here" } } } }

Optional: override the API base URL (e.g. dev):

"env": {

"ATTESTD_API_KEY": "your-api-key-here", "ATTESTD_BASE_URL": "https://dev.api.attestd.io" }

Tools

check_package_vulnerability
ArgumentTypeDescription
productstringProduct slug (nginx, postgresql, litellm, …)
versionstringExact version (1.20.0)

Returns JSON with:

FieldMeaning
outsideCoveragetrue if the product is not covered. Unknown risk, not safe.
riskStatecritical \high \elevated \low \none \null when outside coverage
riskFactorsRisk factor vocabulary driving riskState
maxEpssHighest EPSS probability across matching CVEs
activelyExploitedCISA KEV signal
remoteExploitabletrue if any matching CVE is remotely exploitable
authenticationRequiredtrue only when all matching CVEs require authentication
patchAvailable / fixedVersionPatch guidance
confidenceSynthesis confidence 0.0–1.0
cveIdsCVE IDs contributing to the risk assessment
typosquatPackage name integrity: detected, resembles, confidence, ecosystem (SDK 0.5 runtime; extra fields are omitted)
messageExplanation when outsideCoverage is true
supplyChainCompromised / supplyChainDescriptionPyPI/npm supply-chain signal

On invalid/missing API key or rate limit, returns isError: true with a JSON error string.

check_batch_vulnerabilities
ArgumentTypeDescription
itemsarrayArray of { product, version } objects. Maximum 100 per call. Each item costs one API call.

Quota is checked upfront. If the batch would exceed your monthly quota, a 429 is returned before any calls are billed.

Returns JSON with count and results. Supported items include the same fields as check_package_vulnerability minus typosquat. Outside-coverage items return only product, version, outsideCoverage: true, and riskState: null.

list_covered_products

No arguments. With an API key, returns live JSON from GET /v1/products:

FieldMeaning
source"live" when fetched from the API
totalCombined count of CVE products and supply chain packages
cveProductsCVE infrastructure slugs with display names
supplyChainPackagesMonitored PyPI/npm packages

Without an API key, returns the static bundled list:

FieldMeaning
source"static"
countNumber of bundled infrastructure products
productsArray of { slug, display } entries
get_cve_details
ArgumentTypeDescription
cve_idstringCVE identifier, e.g. CVE-2021-44228

Returns JSON with:

FieldMeaning
foundtrue when the CVE is in Attestd's database; false on 404 (not an error)
cveIdCVE identifier
descriptionNVD description text
cvssScore / cvssVectorCVSS base score and vector
activelyExploitedCISA KEV signal
remoteExploitableRemotely exploitable
authenticationRequiredAuthentication required for exploitation
affectedProductsAttestd product slugs affected by this CVE
epssScore / epssPercentileEPSS probability and percentile
sourcePublishedAt / lastCheckedAtISO timestamps

When the CVE is not found, returns { "found": false, "cveId": "..." } without isError. On invalid/missing API key or rate limit, returns isError: true with a JSON error string.

get_usage

No arguments. Requires an API key. Returns JSON from GET /v1/usage:

FieldMeaning
tierAccount plan tier
keyCallsThisMonthCalls billed to this key in the current period
accountCallsThisMonthCalls billed across all keys on the account
includedCallsMonthly included call cap
billingPeriodStart / billingPeriodEndISO timestamps
overageCalls / estimatedOverageUsdOverage vs the included cap

On invalid/missing API key or rate limit, returns isError: true with a JSON error string.

Verify locally

npm run build

echo '{"jsonrpc":"2.0","id":1,"method":"tools/list","params":{}}' | node dist/index.js

License

MIT. See LICENSE.

PopNx fragen