Qué revisamos
Todo lo de abajo es lo que nuestro sistema hace de verdad con cada servidor, solo con datos públicos. No es una certificación de seguridad y no damos una nota global.
El creador coincide con el repo
Comparamos el nombre registrado en el Official MCP Registry con el dueño del repo de GitHub o un dominio que el registro verificó. Si no coincide, puede que otra persona lo haya vuelto a publicar.
Sigue mantenido
Miramos el último cambio de código en GitHub. Más de 6 meses = precaución · más de 1 año o archivado = no pasa.
Tiene licencia
Leemos el tipo de licencia que GitHub detecta en el repo. Sin archivo = no pasa · el servidor en la nube del propio creador no cuenta.
La dirección en la nube responde
Enviamos una petición de inicio MCP y pedimos la lista de herramientas, esperando hasta 6 segundos, sin claves ni datos de nadie. Los 2.000 más usados se revisan a diario, el resto por turnos.
Inicio de sesión OAuth
Vemos si el servidor anuncia un inicio de sesión que la app de IA puede hacer por ti, o si hay que pegar una clave a mano.
Sin instrucciones ocultas en las herramientas
Leemos cada descripción de herramienta que anuncia un servidor en la nube, buscando texto que intente llevar a la IA a hacer algo que no pediste.
Los comandos para copiar pasan nuestro revisor
Cada comando y configuración que la web deja copiar debe pasar primero: solo programas permitidos (npx, uvx, docker y pocos más), sin caracteres para encadenar en la shell, la versión del paquete existe de verdad en npm, PyPI o Docker y las direcciones usan https. Si no pasa, no hay botón de copiar.
Vulnerabilidades publicadas (OSV.dev)
Preguntamos a la base abierta OSV.dev si la versión de npm o PyPI que recomendamos tiene entradas de vulnerabilidad, y repetimos cada 7 días. Solo esa versión del paquete, no todas sus dependencias. Si la consulta falla, decimos “aún no revisado”.
Historial de respuesta
Guardamos un resultado por servidor y día de la dirección en la nube durante 30 días y, con al menos 3, mostramos “respondió N de las últimas M” sobre las últimas 7. No es disponibilidad las 24 horas.
Resultados en JSON
Los resultados de cada servidor están en /api/servers/<slug>/checks.json, sin clave.
Creadores: pedir otra revisión o avisar de un dato erróneo
Usa el botón en la sección de revisiones de la página de tu servidor. Hay que iniciar sesión; hasta 3 solicitudes por cuenta al día. Nuestro equipo lee todas.