PCI DSS v4.0.1 Compliance Checker

Name: PCI DSS v4.0.1 Compliance Checker
Author: shyshlakov

von shyshlakovVersion 0.7.1i★ –iLäuft auf deinem Computer

Name in der Registryio.github.shyshlakov/pci-dss-mcp

Installieren

Überblick

Beschreibung vom Entwickler (englisches Original)

PCI DSS v4.0.1 compliance scanner for Go payment services, delivered as an MCP server

Die drei Säulen von PopNx MCP

Diese drei werden nie zu einer Punktzahl zusammengefasst: Meinungen, Messungen und Beliebtheit sind verschiedene Dinge.

Stimmen der NutzeriNoch keine BewertungenBewertungen starten in einem späteren Schritt zusammen mit Benutzerkonten
Unsere Basischecksi1 von 1 bestandenAnhand öffentlicher Informationen geprüft; Code noch nicht gescannt
NutzungiGanz neu★ –

Was du damit machen kannst

Für diesen Server haben wir noch keine Zusammenfassung in einfacher Sprache geschrieben. Unten stehen die Fakten, die wir aus der Registry gelesen haben.

Verbindung: Läuft auf deinem Computer
Transport: stdio
Kategorie: Recht & Behördendaten

Installation

Wähle die KI-App, die du nutzt, und kopiere die Einstellungen.

Bevor du installierst

Basischecks: 1 von 1 bestanden
Läuft auf deinem Computer mit den Rechten deines Benutzerkontos (Dateien, Netzwerk, Apps).
Die Registry nennt keinen Schlüssel zum Eintragen.

Du brauchst

DockerDocker installiert

Welche App nutzt du?

ClaudeClaude CodeCursorVS CodeChatGPT

Wähle oben deine App. Wir merken sie uns, damit der Button beim nächsten Mal „In … installieren“ anzeigt.

Öffne Claude Desktop → Settings → Developer → Edit Config und füge dies in claude_desktop_config.json ein

{
  "mcpServers": {
    "pci-dss": {
      "command": "docker",
      "args": [
        "run",
        "-i",
        "--rm",
        "ghcr.io/shyshlakov/pci-dss-mcp:v0.7.1"
      ]
    }
  }
}

Führe das in deinem Terminal aus

claude mcp add pci-dss -- docker run -i --rm ghcr.io/shyshlakov/pci-dss-mcp:v0.7.1

In Cursor öffnen

Oder kopier die Einstellungen selbst

In .cursor/mcp.json in deinem Projekt oder in ~/.cursor/mcp.json einfügen

{
  "mcpServers": {
    "pci-dss": {
      "command": "docker",
      "args": [
        "run",
        "-i",
        "--rm",
        "ghcr.io/shyshlakov/pci-dss-mcp:v0.7.1"
      ]
    }
  }
}

Dein Browser fragt, ob er die App öffnen darf, dann zeigt die App die Einstellungen und bittet dich um Bestätigung. Schlüsselwerte bleiben leer, damit du sie selbst einträgst.

In VS Code öffnen

Oder kopier die Einstellungen selbst

In .vscode/mcp.json in deinem Projekt einfügen

{
  "servers": {
    "pci-dss": {
      "type": "stdio",
      "command": "docker",
      "args": [
        "run",
        "-i",
        "--rm",
        "ghcr.io/shyshlakov/pci-dss-mcp:v0.7.1"
      ]
    }
  }
}

Dein Browser fragt, ob er die App öffnen darf, dann zeigt die App die Einstellungen und bittet dich um Bestätigung. Schlüsselwerte bleiben leer, damit du sie selbst einträgst.

Dieser Server läuft auf deinem Computer, und ChatGPT kann sich nur mit Servern im Internet verbinden. Wähle eine andere App.

Deine Auswahl bleibt in einem Cookie auf diesem Gerät; kein Konto nötig.

Diese Einstellungen werden aus dem Registry-Eintrag des Entwicklers erzeugt. Wenn in der README etwas anderes steht, folge der README.

Was er kann

Läuft auf deinem Computer; die Tool-Liste erscheint nach der Installation in deiner KI-App.

Basischecksi

Wir prüfen Informationen, die jeder sehen kann; den Code haben wir nicht gelesen. Checks, die nicht zutreffen, werden nicht mitgezählt. · Geprüft am 8. Nov. 2026

✓ Bestanden
Entwickler passt zum Repo
Der Registry-Name wurde mit dem GitHub-Konto shyshlakov bestätigt, dem das Repo gehört
… Noch nicht geprüft
Wird noch gepflegt
Dieses Repo haben wir noch nicht von GitHub gelesen
… Noch nicht geprüft
Hat eine Lizenz
Dieses Repo haben wir noch nicht von GitHub gelesen
– Nicht zutreffend
Endpunkt antwortet
Dieser Server läuft auf deinem Computer; es gibt keinen Endpunkt im Internet
– Nicht zutreffend
Anmeldung mit OAuth
Läuft auf deinem Computer und nutzt stattdessen lokale Einstellungen
… Noch nicht geprüft
Keine versteckten Anweisungen in Tool-Beschreibungen
Läuft auf deinem Computer; Tool-Listen können wir nur von Endpunkten im Internet lesen

Im Vergleich mit anderen in Recht & Behördendateni

Mehr Sterne als 0 % der anderen 1757 Server in dieser Kategorie
Neuer in der Registry veröffentlicht als 7 % der anderen 1757 Server in dieser Kategorie
Basischecks gleich gut wie oder besser als bei 100 % der anderen 1757 Server in dieser Kategorie

Verglichen mit allen aktiven Servern dieser Kategorie in der Registry. Sterne zählen nur, wenn dem Herausgeber das Repo gehört.

Häufige Fragen

Ist PCI DSS v4.0.1 Compliance Checker sicher?

Er hat 1 von 1 zutreffenden Basischecks bestanden. Den Code haben wir nicht gelesen. Bevor du einen Schlüssel oder Token hinzufügst, sieh nach, welche Zugriffe der Server verlangt, und nutze einen Schlüssel, der nur die Berechtigungen hat, die du brauchst.

Welche Schlüssel oder Codes braucht er?

Die Registry nennt keinen erforderlichen Schlüssel, manche Server bitten dich aber bei der ersten Nutzung, dich anzumelden.

Läuft er auf meinem Computer oder in der Cloud?

Er läuft auf deinem Computer. Deine KI-App startet ihn bei Bedarf, und die Daten laufen nicht über die Server des Entwicklers (außer der Server ruft selbst einen Onlinedienst auf).

Wird er noch gepflegt?

Das GitHub-Repo wurde zuletzt – geändert, und die neueste Version (0.7.1) kam vor 6 Monaten in die Registry.

Welche Apps können ihn nutzen?

Apps, die MCP unterstützen, etwa Claude Desktop, Claude Code, Cursor und VS Code. Außerdem brauchst du Docker auf deinem Computer.

Was kann ich stattdessen nutzen?

In derselben Kategorie: sanctions.io MCP by usefulapi, Worldbank MCP, Uk Parliament MCP

Alternativen

Server derselben Kategorie von anderen Entwicklern, sortiert nach Sternen.

So liest du eine Karte:↓ Downloads pro Wochei★ GitHub-SterneiDrei Säulen: Bewertungen · Checks · NutzungiAktualisiert = neueste Version in der Registry veröffentlichti

sanctions.io MCP by usefulapi

Screen names against sanctions, PEP and watchlists; list screening sources in sanctions.io.

von m190Am AnfangAktualisiert heute

Läuft in der Cloud✓ usefulapi.io

Installieren

Worldbank MCP

World Bank Open Data: indicator catalogue sea MCP: real tools for real work.

von mrfentmenGanz neu↓ 91/Wo.Aktualisiert heute

Läuft auf deinem Computer

Installieren

Uk Parliament MCP

UK Parliament open data: find MPs and Lords, read member profiles, and search bills with their

von mrfentmenGanz neu↓ 140/Wo.Aktualisiert heute

Läuft auf deinem Computer

Installieren

README vom Entwickler

README öffnen

Unverändert aus dem Repo des Entwicklers übernommen. PopNx MCP hat den Inhalt weder geprüft noch empfiehlt es ihn. HTML, Bilder und Skripte wurden entfernt. Links führen von dieser Website weg.

pci-dss-mcp

Static analysis MCP server for Go payment service codebases. Every detected PCI DSS v4.0.1 violation in a Go payment service codebase is mapped to the specific requirement number before the code ships.

What it does

pci-dss-mcp is a stdio MCP server that runs 12 scanners, an orchestrator, and an AI triage engine over a Go payment service codebase. Each finding carries a requirement_id mapped to a specific PCI DSS v4.0.1 line item; see docs/requirement-mapping.md for the canonical rule-to-requirement table and testdata/vulnerable-payment-service/EXPECTED-FINDINGS.md for live golden output.

What pci-dss-mcp catches today

HTTP framework input flow into log / error / panic sinks. Tier 1 frameworks (gin, chi, gorilla/mux, net/http (Go 1.22+), echo v4, fiber v2) and Tier 1 loggers (log/slog, logrus, zap, zerolog, logr, klog, hclog) ship in v0.7. Tier 2 (kratos, apex/log, charmbracelet/log) lands in v0.8. Tier 3 (fasthttp, beego, iris, httprouter, project-internal) is user-configurable via Phase 25 YAML once shipped. See docs/http_input_taint.md.

What pci-dss-mcp is NOT

Not a replacement for broad SAST. Use Semgrep, CodeQL, or gosec for OWASP Top-10 and language-agnostic vulnerabilities.
Not a replacement for LLM-based code review. pci-dss-mcp maps payment-specific issues to PCI DSS requirement IDs; LLM agents catch broad bugs via reasoning. The two layers compose.
Not Go-agnostic. Go-specific AST patterns and taint flow tracing are what make the precision possible.
Not a QSA replacement. Static analysis covers ~6% of PCI DSS v4.0.1 requirements. A Qualified Security Assessor must sign off on the rest.

Install

Go install (primary)

Requires Go 1.25+; use Go 1.26.9 or newer, because Go 1.25 is past end of life:

go install github.com/shyshlakov/pci-dss-mcp@latest

The binary lands at $(go env GOPATH)/bin/pci-dss-mcp. See docs/install-from-source.md for PATH resolution, the macOS codesign provenance fix, cosign verification, and the MCP client JSON config.

Docker (alternative)

docker pull ghcr.io/shyshlakov/pci-dss-mcp:v0.6.2

Useful for CI pipelines, QSA auditors who do not develop Go locally, or any environment without a host Go toolchain.

MCP Registry

Listed as io.github.shyshlakov/pci-dss-mcp at registry.modelcontextprotocol.io. Auto-published on every tag.

Usage

Add to your MCP client config (Claude Desktop claude_desktop_config.json, Cursor .cursor/mcp.json, or claude mcp add for Claude Code):

"mcpServers": { "pci-dss-mcp": { "command": "docker", "args": ["run", "-i", "--rm", "--mount", "type=bind,src=/Users/you/go/src,dst=/Users/you/go/src,readonly", "ghcr.io/shyshlakov/pci-dss-mcp:v0.6.2"] } } }

src= and dst= mirror the same absolute path so the container sees your code at the same path your host uses; prompts pass the normal host path with no translation. For the go install variant and per-client examples, see docs/usage.md.

Two prompts to paste into your MCP client:

Run pci-dss-mcp triage on /Users/you/payments-service. Use min_severity=MEDIUM and group findings by PCI DSS requirement.
Generate a PCI DSS compliance report for /Users/you/payments-service in JSON format. Show requirement-level pass/fail status and severity counts.

Tools

Tool	Purpose	Docs
`triage_findings`	All scanners + AI classification + file:line context in one call	docs/triage_findings.md
`generate_compliance_report`	Raw requirement pass/fail report (orchestrator over all scanners)	docs/generate_compliance_report.md
`scan_pan_data`	PAN/SAD storage and logging (3.3.1, 3.4.1, 3.5.1)	docs/scan_pan_data.md
`check_encryption`	Weak hashing, hardcoded keys, plain HTTP (4.2.1, 6.2.4)	docs/check_encryption.md
`check_tls_config`	Insecure TLS configs (4.2.1)	docs/check_tls_config.md
`check_secrets_in_configs`	Credentials in config files (8.6.2)	docs/check_secrets_in_configs.md
`check_error_handling`	Error responses leaking sensitive context (6.2.4)	docs/check_error_handling.md
`check_auth_strength`	Hardcoded passwords, weak policy, missing MFA, webhook signatures (8.3.1, 8.3.6, 8.4.2, 8.6.2)	docs/check_auth_strength.md
`audit_log_coverage`	Missing audit logs on payment flows (10.2.1)	docs/audit_log_coverage.md
`check_data_retention`	Missing TTL, sensitive storage, missing zeroing (3.2.1, 3.3.1)	docs/check_data_retention.md
`check_payment_page_scripts`	Missing CSP/SRI/nonce on payment pages (6.4.3, 11.6.1)	docs/check_payment_page_scripts.md
`check_dependencies`	Vulnerable Go dependencies via OSV (6.3.3); govulncheck-style privacy: no module names sent to OSV.dev. See docs/check_dependencies.md. Also covers `update_vulnerability_db`.	docs/check_dependencies.md
`generate_sbom`	CycloneDX 1.6 SBOM from go.mod/go.sum (6.3.2)	docs/generate_sbom.md
`explain_requirement`	Look up a PCI DSS v4.0.1 requirement by ID	docs/explain_requirement.md

All tools declare typed OutputSchema. See docs/tools.md for the catalog index and migration history.

Documentation

docs/usage.md, client setup, prompt templates, suppressing findings
docs/severity.md, severity model and rule-to-severity mapping
docs/taint.md, taint analysis defaults and toggles
docs/scoping.md, package exclusion and CDE scope
docs/comparison.md, pci-dss-mcp vs Semgrep / CodeQL / gosec / Snyk Code
docs/ci-cd.md, GitHub Actions and GitLab CI integration
docs/pci-coverage.md, PCI DSS v4.0.1 requirement coverage matrix
docs/install-from-source.md, source build, cosign verification, reload
docs/requirement-mapping.md, canonical rule_id to requirement_id table
CONTRIBUTING.md, development setup, fuzz targets
ROADMAP.md, planned features
CHANGELOG.md, version history

Status

Active development, pre v1.0. See ROADMAP.md and CHANGELOG.md.

License

MIT, see LICENSE.

*pci-dss-mcp is a static analysis tool. It cannot replace a Qualified Security Assessor. Use its output as input to your compliance process, not as the compliance itself.*

PCI DSS v4.0.1 Compliance Checker

Überblick

Die drei Säulen von PopNx MCP

Was du damit machen kannst

Installation

Bevor du installierst

Was er kann

Basischecksi

Entwickler passt zum Repo

Wird noch gepflegt

Hat eine Lizenz

Endpunkt antwortet

Anmeldung mit OAuth

Keine versteckten Anweisungen in Tool-Beschreibungen

Im Vergleich mit anderen in Recht & Behördendateni

Häufige Fragen

Alternativen

sanctions.io MCP by usefulapi

Worldbank MCP

Uk Parliament MCP

README vom Entwickler

pci-dss-mcp

What it does

What pci-dss-mcp catches today

What pci-dss-mcp is NOT

Install

Go install (primary)

Docker (alternative)

MCP Registry

Usage

Tools

Documentation

Status

License