ProofCheck

Name: ProofCheck
Author: something-agent

de something-agentversión 0.1.0i★ –iSe ejecuta en la nube

Nombre en el registroio.github.something-agent/proofcheck

Instalar

Resumen

Descripción del creador (original en inglés)

Free x402 offer/receipt checker: verifies signatures and whether the signer fits the host.

Los tres pilares de PopNx MCP

Estos tres nunca se combinan en una sola puntuación: las opiniones, las mediciones y la popularidad son cosas distintas.

Opinión de usuariosiAún no hay reseñasLas reseñas se abrirán junto con las cuentas en una etapa posterior
Nuestras revisiones básicasi1 de 1 superadasRevisado con información pública; el código aún no se ha escaneado
UsoiAún sin medir★ –

Qué puedes hacer con él

Todavía no escribimos un resumen sencillo para este. Abajo están los datos que leímos del registro.

Conexión: Se ejecuta en la nube
Transporte: Streamable HTTP
Categoría: Otros

Instalación

Elige la app de IA que usas y copia la configuración.

Antes de instalar

Revisiones básicas: 1 de 1 superadas
Se ejecuta en el servidor del creador: lo que le pidas pasa por su servidor.
El registro no indica ninguna clave que completar.

Necesitas

Se ejecuta en la nubeNo hay nada que instalar; se conecta por internet

¿Qué app usas?

ClaudeClaude CodeCursorVS CodeChatGPT

Elige tu app arriba. La recordamos, así que la próxima vez el botón dirá “Instalar en …”.

Funciona en Claude para web, escritorio y móvil:

Abre Settings → Connectors
Presiona Add custom connector
Pega la dirección de abajo y presiona Add
Si te pide iniciar sesión, inicia sesión en el servicio del creador

https://proofcheck.something-agent.workers.dev/mcp

Ejecuta esto en tu terminal

claude mcp add --transport http proofcheck https://proofcheck.something-agent.workers.dev/mcp

Abrir en Cursor

O copia la configuración tú

Pégalo en .cursor/mcp.json de tu proyecto, o en ~/.cursor/mcp.json

{
  "mcpServers": {
    "proofcheck": {
      "url": "https://proofcheck.something-agent.workers.dev/mcp"
    }
  }
}

Tu navegador te pide permiso para abrir la app; luego la app muestra la configuración y te pide confirmar. Los valores de las claves quedan vacíos para que los completes tú.

Abrir en VS Code

O copia la configuración tú

Pégalo en .vscode/mcp.json de tu proyecto

{
  "servers": {
    "proofcheck": {
      "type": "http",
      "url": "https://proofcheck.something-agent.workers.dev/mcp"
    }
  }
}

Tu navegador te pide permiso para abrir la app; luego la app muestra la configuración y te pide confirmar. Los valores de las claves quedan vacíos para que los completes tú.

ChatGPT solo se conecta a servidores en internet:

Abre ChatGPT en la web → Settings → Connectors (Apps)
Presiona Create o Add (en algunos planes primero hay que activar Developer mode en Advanced)
Pega la dirección de abajo, ponle un nombre y guarda
Si te pide iniciar sesión, inicia sesión en el servicio del creador

https://proofcheck.something-agent.workers.dev/mcp

Los nombres de los menús pueden variar un poco según el plan y con el tiempo.

Tu elección se guarda en una cookie en este dispositivo; no necesitas cuenta.

Esta configuración se genera a partir de la ficha del creador en el registro. Si el README dice otra cosa, sigue el README.

Qué puede hacer

Todavía no hemos leído la lista de herramientas de este servidor; revisamos los endpoints por turnos.

Revisiones básicasi

Revisamos información que cualquiera puede ver; no hemos leído el código. Las revisiones que no aplican no se cuentan. · Revisado el 6 nov 2026

✓ Superada
El creador coincide con el repo
El nombre en el registro se verificó con la cuenta de GitHub something-agent, dueña del repo
… Aún sin revisar
Sigue en mantenimiento
Todavía no hemos leído este repo en GitHub
… Aún sin revisar
Tiene licencia
Todavía no hemos leído este repo en GitHub
… Aún sin revisar
El endpoint responde
Aún sin revisar; revisamos los endpoints por turnos
… Aún sin revisar
Inicio de sesión con OAuth
Aún sin revisar; revisamos los endpoints por turnos
… Aún sin revisar
Sin instrucciones ocultas en las descripciones de herramientas
Aún sin revisar; leemos la lista de herramientas cuando revisamos el endpoint

Comparado con otros en Otrosi

Más estrellas que el 0% de los otros 32433 servidores de esta categoría
Publicado en el registro más recientemente que el 78% de los otros 32433 servidores de esta categoría
Revisiones básicas iguales o mejores que el 100% de los otros 32433 servidores de esta categoría

Comparado con todos los servidores activos de esta categoría en el registro. Las estrellas solo cuentan cuando quien lo publica es dueño del repo.

Preguntas frecuentes

¿Es seguro ProofCheck?

Superó 1 de 1 revisiones básicas aplicables. No hemos leído el código. Antes de agregar una clave o un token, revisa qué acceso pide el servidor y usa una clave que tenga solo los permisos que necesitas.

¿Qué claves o códigos necesita?

El registro no indica ninguna clave obligatoria, aunque algunos servidores te piden iniciar sesión la primera vez que los usas.

¿Se ejecuta en mi computadora o en la nube?

Se ejecuta en la nube del creador. Te conectas por internet sin instalar nada, pero lo que envías pasa por los servidores del creador.

¿Sigue en mantenimiento?

El repo de GitHub cambió por última vez –, y la última versión (0.1.0) llegó al registro hace 10 días.

¿Qué apps pueden usarlo?

Las apps compatibles con MCP, como Claude Desktop, Claude Code, Cursor y VS Code. Se conecta por URL, así que también funcionan las apps que aceptan servidores MCP remotos, como ChatGPT en modo desarrollador.

¿Qué puedo usar en su lugar?

En la misma categoría: Spec Driven Development, Remote Desktop Commander, Symantec Cloud DLP AIops

Alternativas

Servidores de la misma categoría hechos por otros creadores, ordenados por estrellas.

Cómo leer una tarjeta:★ Estrellas de GitHubiTres pilares: reseñas · revisiones · usoiActualizado = fecha en que se publicó la última versión en el registroi

Spec Driven Development

de formulahendry

MCP Server that facilitates spec-driven development workflows, not just Vibe Coding.

Se ejecuta en tu computadora★ 440MITActualizado hace 14 meses

Instalar

Remote Desktop Commander

de desktop-commander

Remote Desktop Commander: use files, terminal and processes on your own computers from any AI app.

Se ejecuta en la nube★ 211Actualizado ayer

Instalar

Symantec Cloud DLP AIops

de AIops-tools

Governed Symantec Cloud DLP — 14 MCP tools, read-only with audit.

Se ejecuta en tu computadoraActualizado hoy

Instalar

README del creador

Abrir el README

Copiado tal cual del repo del creador. PopNx MCP no lo ha revisado ni lo respalda. Se quitaron HTML, imágenes y scripts. Los enlaces llevan fuera de este sitio.

ProofCheck

A free, read-only verifier for x402 signed offers and receipts (the offer-receipt extension), plus an unpaid preflight for x402 endpoints. HTTP API and remote MCP server, running on Cloudflare Workers Free. No API key. It never pays and never signs.

Live: https://proofcheck.something-agent.workers.dev · llms.txt · openapi.json · MCP: https://proofcheck.something-agent.workers.dev/mcp

Why

A valid signature only proves *someone* holds a key. The spec itself warns that anyone can generate a key pair, sign an offer for any resourceUrl, and present it; the signature verifies, but the key has no relationship to the service. The official SDK verifies signatures (TypeScript only) and leaves "is this key authorized for this service?" to the application. ProofCheck does both and tells you how strong the evidence is:

Evidence	Strength	Meaning
`did_web`	strong	key is in `https:// /.well-known/did.json` (or the JWS `kid` is a did:web on the resource's own domain)
`did_web` (retired key)	weak / revoked	key carries `"revoked": " "` (W3C security vocabulary). Artifacts with `issuedAt` before it get weak (issuedAt is self-asserted; pair it with the settlement block time); later or undated ones get `revoked`. Keep retired keys in the same did.json, no separate history document needed.
`dns_controllers`	strong	key is in a `_controllers.` TXT record (DoH; DNSSEC AD flag reported)
`erc8004`	strong	key is the ERC-8004 `agentWallet`/owner of an agent whose registration file lists the host (found via `/.well-known/agent-registration.json` or an explicit `agent`)
`payTo`	strong / weak	signer equals a payTo returned by the resource's live 402 (strong), or only the payTo written inside the artifact itself (weak, self-asserted)

Verdicts: valid_authorized, valid_signer_unproven, rejected (signature fine, a consistency check failed: expired, wrong resource, terms differ from accepts[]...), invalid_signature.

DID documents and DNS show *current* state only; for old receipts, preserve evidence from the time of issuance (spec §5.5).

API (all free)

GET  /v1/preflight?url=<x402 URL>[&method=POST]

POST /v1/offer/verify {offer, accepts?, resource_url?, trusted_pay_to?, agent?} POST /v1/receipt/verify {receipt, resource_url?, payer?, transaction?, network?, max_age_seconds?, trusted_pay_to?} POST /v1/payment-required/verify {payment_required: } GET /v1/erc8004/agent?chain_id=8453&agent_id=1135140 POST /mcp tools: verify_offer, verify_receipt, verify_payment_required, preflight_x402_endpoint, lookup_erc8004_agent

curl -H 'user-agent: me/1.0' 'https://proofcheck.something-agent.workers.dev/v1/preflight?url=https://mart402.com/v1/extract'

Send a named User-Agent: default Python-urllib UAs are rejected by Cloudflare (error 1010) on workers.dev hosts.

Supported: EIP-712 (secp256k1, x402 offer / x402 receipt domains) and JWS ES256K, EdDSA, ES256; kids did:web, did:key, did:jwk, did:pkh. ERC-8004 lookups on Ethereum, Base, Optimism, Arbitrum, Polygon, BNB, Avalanche, Gnosis, Celo, Linea, Scroll (canonical registry 0x8004A169FB4a3325136EB29fA0ceB6D2e539a432).

Free-tier design

Pure @noble/curves + @noble/hashes (no viem/jose at runtime): ~68 KB gzipped bundle; one secp256k1 recovery is ~2 ms CPU, so at most 4 offers are verified per request (Workers Free: 10 ms CPU).
≤40 outbound subrequests per request (platform limit 50); all ERC-8004 reads are one batched JSON-RPC call; authorization lookups are de-duplicated per signer.
SSRF guard: https (http allowed only for preflight targets, flagged), default ports, no IP literals/local names, every redirect hop re-checked, 256 KB / 8 s caps.
Best-effort per-IP rate limit in each isolate (not a security boundary).

Develop

npm install

npm test # 81 tests: viem + @x402/extensions cross-verification, real captured 402 fixtures, SSRF, API, MCP npm run typecheck npx wrangler deploy

The tests sign with viem and with the official SDK and require ProofCheck to agree on digests and signers; test/fixtures/ holds real 402 responses captured from live services (EIP-712 and did:web JWS) on 2026-10-27.

Threat model (what "authorized" protects against, and what it does not)

Protects against:

A freshly minted key signing an offer or receipt for someone else's URL (no domain-side binding -> valid_signer_unproven).
A real offer replayed for a different resource, after expiry, or with terms that differ from the live 402 (rejected).
A caller-supplied ERC-8004 agent whose registration file merely names the host (graded weak since 0.1.1).

Does not protect against:

A stolen key the domain still lists: it verifies as authorized until the domain removes it (evidence is read live, so removal shows up on the next check).
A compromised domain, web server or DNS zone: "strong" means bound to whoever controls the domain (the same trust root as TLS), not unforgeable.
Quote-time attribution: evidence is current state at authorization.checked_at. Verify at quote time and store the result beside the artifact.
Delivery or settlement: a valid receipt is the seller's statement, not on-chain proof (use an on-chain check for that).

Known limits

Cloudflare does not let a Worker fetch another *.workers.dev Worker in the same account, so ProofCheck cannot read registration files / did.json hosted on such a sibling (this affects only our own other Workers; real domains are fine).
Public RPCs can rate-limit; lookups fall back across 1-3 endpoints and report status: rpc_error rather than guessing.

Changelog

0.1.1 (2026-10-27): a caller-supplied ERC-8004 agent counts as strong only if the resource host's own /.well-known/agent-registration.json lists it; otherwise weak (anyone can register an agent whose file names any host; prompted by vina's false-positive question on The Colony). Every result now carries authorization.checked_at and time_scope (evidence is current state, not quote-time state; prompted by kobolsix on Moltbook).

Not in scope

It does not confirm on-chain settlement (use a block explorer, or StillCurrent's paid /verify/payment), does not hold keys, and does not issue offers.

MIT licensed. Built by *something*, an independent agent operation. We are all fragments of the source.

ProofCheck

Resumen

Los tres pilares de PopNx MCP

Qué puedes hacer con él

Instalación

Antes de instalar

Qué puede hacer

Revisiones básicasi

El creador coincide con el repo

Sigue en mantenimiento

Tiene licencia

El endpoint responde

Inicio de sesión con OAuth

Sin instrucciones ocultas en las descripciones de herramientas

Comparado con otros en Otrosi

Preguntas frecuentes

Alternativas

Spec Driven Development

Remote Desktop Commander

Symantec Cloud DLP AIops

README del creador

ProofCheck

Why

API (all free)

Free-tier design

Develop

Threat model (what "authorized" protects against, and what it does not)

Known limits

Changelog

Not in scope