GitHub Actions Audit

Name: GitHub Actions Audit
Author: UnbearableDev

de UnbearableDevversión 1.0.1i★ –iSe ejecuta en la nube

Nombre en el registroio.github.UnbearableDev/github-actions-audit

Instalar

Resumen

Descripción del creador (original en inglés)

GitHub Actions workflow security audit - 21 checks: pinning, permissions, secrets, injection.

Los tres pilares de PopNx MCP

Estos tres nunca se combinan en una sola puntuación: las opiniones, las mediciones y la popularidad son cosas distintas.

Opinión de usuariosiAún no hay reseñasLas reseñas se abrirán junto con las cuentas en una etapa posterior
Nuestras revisiones básicasi1 de 1 superadasRevisado con información pública; el código aún no se ha escaneado
UsoiAún sin medir★ –

Qué puedes hacer con él

Todavía no escribimos un resumen sencillo para este. Abajo están los datos que leímos del registro.

Conexión: Se ejecuta en la nube
Transporte: Streamable HTTP
Categoría: Herramientas para desarrolladores
Debes completar: Authorization

Instalación

Elige la app de IA que usas y copia la configuración.

Antes de instalar

Revisiones básicas: 1 de 1 superadas
Se ejecuta en el servidor del creador: lo que le pidas pasa por su servidor.
Debes completar tú: Authorization

Los valores marcados como secretos son llaves de tu cuenta. Nunca los compartas ni los pegues en un chat.

Necesitas

Se ejecuta en la nubeNo hay nada que instalar; se conecta por internet

¿Qué app usas?

ClaudeClaude CodeCursorVS CodeChatGPT

Elige tu app arriba. La recordamos, así que la próxima vez el botón dirá “Instalar en …”.

Esta dirección necesita una clave en un header de la solicitud, y el menú para agregar conectores no puede ponerla. Usa Claude Code, Cursor o VS Code.

Ejecuta esto en tu terminal

claude mcp add --transport http github-actions-audit https://unbearable-dev--github-actions-audit.apify.actor/mcp --header 'Authorization: your-value'

Completa los valores vacíos antes de ejecutarlo.

Abrir en Cursor

O copia la configuración tú

Pégalo en .cursor/mcp.json de tu proyecto, o en ~/.cursor/mcp.json

{
  "mcpServers": {
    "github-actions-audit": {
      "url": "https://unbearable-dev--github-actions-audit.apify.actor/mcp",
      "headers": {
        "Authorization": "your-value"
      }
    }
  }
}

Tu navegador te pide permiso para abrir la app; luego la app muestra la configuración y te pide confirmar. Los valores de las claves quedan vacíos para que los completes tú.

Abrir en VS Code

O copia la configuración tú

Pégalo en .vscode/mcp.json de tu proyecto

{
  "servers": {
    "github-actions-audit": {
      "type": "http",
      "url": "https://unbearable-dev--github-actions-audit.apify.actor/mcp",
      "headers": {
        "Authorization": "your-value"
      }
    }
  }
}

Tu navegador te pide permiso para abrir la app; luego la app muestra la configuración y te pide confirmar. Los valores de las claves quedan vacíos para que los completes tú.

Esta dirección necesita una clave en un header de la solicitud, y el menú para agregar conectores no puede ponerla. Usa Claude Code, Cursor o VS Code.

Tu elección se guarda en una cookie en este dispositivo; no necesitas cuenta.

Valores que debes completar

Authorization secreto obligatorio HTTP header
Apify API token. Format: 'Bearer '. Get yours at https://console.apify.com/account/integrations

Esta configuración se genera a partir de la ficha del creador en el registro. Si el README dice otra cosa, sigue el README.

Qué puede hacer

Todavía no hemos leído la lista de herramientas de este servidor; revisamos los endpoints por turnos.

Revisiones básicasi

Revisamos información que cualquiera puede ver; no hemos leído el código. Las revisiones que no aplican no se cuentan. · Revisado el 6 nov 2026

✓ Superada
El creador coincide con el repo
El nombre en el registro se verificó con la cuenta de GitHub UnbearableDev, dueña del repo
… Aún sin revisar
Sigue en mantenimiento
Todavía no hemos leído este repo en GitHub
… Aún sin revisar
Tiene licencia
Todavía no hemos leído este repo en GitHub
… Aún sin revisar
El endpoint responde
Aún sin revisar; revisamos los endpoints por turnos
… Aún sin revisar
Inicio de sesión con OAuth
Aún sin revisar; revisamos los endpoints por turnos
… Aún sin revisar
Sin instrucciones ocultas en las descripciones de herramientas
Aún sin revisar; leemos la lista de herramientas cuando revisamos el endpoint

Comparado con otros en Herramientas para desarrolladoresi

Más estrellas que el 0% de los otros 1386 servidores de esta categoría
Publicado en el registro más recientemente que el 25% de los otros 1386 servidores de esta categoría
Revisiones básicas iguales o mejores que el 100% de los otros 1386 servidores de esta categoría

Comparado con todos los servidores activos de esta categoría en el registro. Las estrellas solo cuentan cuando quien lo publica es dueño del repo.

Preguntas frecuentes

¿Es seguro GitHub Actions Audit?

Superó 1 de 1 revisiones básicas aplicables. No hemos leído el código. Antes de agregar una clave o un token, revisa qué acceso pide el servidor y usa una clave que tenga solo los permisos que necesitas.

¿Qué claves o códigos necesita?

Debes completar: Authorization

¿Se ejecuta en mi computadora o en la nube?

Se ejecuta en la nube del creador. Te conectas por internet sin instalar nada, pero lo que envías pasa por los servidores del creador.

¿Sigue en mantenimiento?

El repo de GitHub cambió por última vez –, y la última versión (1.0.1) llegó al registro hace 5 meses.

¿Qué apps pueden usarlo?

Las apps compatibles con MCP, como Claude Desktop, Claude Code, Cursor y VS Code. Se conecta por URL, así que también funcionan las apps que aceptan servidores MCP remotos, como ChatGPT en modo desarrollador.

¿Qué puedo usar en su lugar?

En la misma categoría: GitHub, Desktop Commander, Cloudflare MCP

Alternativas

Servidores de la misma categoría hechos por otros creadores, ordenados por estrellas.

Cómo leer una tarjeta:★ Estrellas de GitHubiTres pilares: reseñas · revisiones · usoiActualizado = fecha en que se publicó la última versión en el registroi

GitHub

de github

Connect AI assistants to GitHub - manage repos, issues, PRs, and workflows through natural language.

Computadora o nube★ 34.245MITActualizado hace 3 días

Instalar

Desktop Commander

de wonderwhy-er

MCP server for terminal commands, file operations, and process management

Se ejecuta en tu computadora★ 10.225MITActualizado hace 15 días

Instalar

Cloudflare MCP

de cloudflare

Cloudflare MCP servers

Se ejecuta en la nube★ 4446Apache-2.0Actualizado hace 14 meses

Instalar

README del creador

Abrir el README

Copiado tal cual del repo del creador. PopNx MCP no lo ha revisado ni lo respalda. Se quitaron HTML, imágenes y scripts. Los enlaces llevan fuera de este sitio.

GitHub Actions Security Audit

MCP server that audits .github/workflows/*.yml files for supply-chain risks. Catches script injection, leaked tokens, unpinned actions, broad permissions, and pull_request_target foot-guns — the patterns behind several 2024–2025 supply-chain incidents.

Built by [Unbearable Labs](https://github.com/UnbearableDev). Pay-per-event — only billed when a tool is actually called.

Available on

Apify Actor Store — primary, metered usage (PPE)
MCPize — *pending submission*
MCP.so — *pending submission*
PulseMCP — *pending submission*
Smithery — *pending submission*
Glama — *pending submission*

Newsletter: Unbearable TechTips Weekly · All Actors: github.com/UnbearableDev

What it does

Point any MCP-capable client (Claude Desktop, Cursor, n8n, Make, Zapier, custom agents) at this server, hand it a workflow YAML, and get back structured findings with:

Severity — critical / high / medium / low / info
Affected job and step — exact location of the problem
Description — why it matters, with the actual attack vector
Remediation — what to do about it
Fix snippet — YAML you can paste directly

Tools

Tool	Purpose
`audit_workflow(workflow_yaml? \	workflow_url?, min_severity='low')`	Run all checks
`check_secrets(...)`	Secret-leakage paths only
`check_permissions(...)`	`GITHUB_TOKEN` scope issues only
`check_action_pinning(...)`	Action version-pinning only
`check_runner_security(...)`	Self-hosted runner + script injection
`check_workflow_config(...)`	Timeout / config hygiene
`check_supply_chain_advanced(...)`	TeamPCP-class supply-chain patterns (GHA-201..208)
`list_checks(category?)`	Browse the catalog

Provide exactly one of workflow_yaml (paste the content) or workflow_url (HTTPS URL — typically a GitHub raw URL to a specific workflow file).

Check catalog (v2: 21 checks)

ID	Category	Severity	Title
GHA-001	secrets	high	Secret interpolated directly into `run:` script
GHA-002	secrets	high	Secret printed via echo / set-output
GHA-003	secrets	medium	Secret used in `if:` condition
GHA-004	secrets	high	Hardcoded credential pattern in `env:`
GHA-010	permissions	high	`permissions: write-all` granted
GHA-011	permissions	medium	No top-level `permissions:` (inherits broad default)
GHA-013	permissions	high	`pull_request_target` + checkout PR head = PWNing pattern
GHA-020	action_pinning	high	Third-party action pinned to mutable tag
GHA-021	action_pinning	high	Third-party action pinned to mutable branch
GHA-022	action_pinning	medium	First-party action not SHA-pinned
GHA-030	runner_security	medium	Self-hosted runner used on `pull_request` from forks
GHA-032	runner_security	high	Script injection via untrusted `github.event.*` interpolation
GHA-040	workflow_config	low	No `timeout-minutes` on job
GHA-201	supply_chain_advanced	high	Action pinned to unpinned branch ref (TeamPCP-class: @main/@master)
GHA-202	supply_chain_advanced	high	Action pinned to mutable tag — SHA pin recommended
GHA-203	supply_chain_advanced	critical	`pull_request_target` + checkout of PR head SHA/ref (codecov/tj-actions exploitation path)
GHA-204	supply_chain_advanced	high	Script injection via `github.event.*` user-controlled field in `run:`
GHA-205	supply_chain_advanced	medium	Action from non-allowlisted owner (untrusted 3rd-party)
GHA-206	supply_chain_advanced	high	Top-level `permissions: write-all` or `contents: write` without per-job scoping
GHA-207	supply_chain_advanced	medium	Secret logged via `echo` / `cat` in `run:` block
GHA-208	supply_chain_advanced	low	Action uses a known-retired tag

Pricing

Event	USD
Any audit / check_* tool call	$0.02
`list_checks` discovery	$0.005

Connecting from Claude Desktop

"mcpServers": { "gha-audit": { "transport": "streamable-http", "url": "https://YOUR-ACTOR-URL.apify.actor/mcp" } } }

Sibling MCPs from Unbearable Labs

[`docker-compose-audit`](https://apify.com/unbearable_dev/docker-compose-audit) — docker-compose.yml security audit
[`dockerfile-audit`](https://apify.com/unbearable_dev/dockerfile-audit) — Dockerfile security & quality
[`hu-postcode-validator`](https://apify.com/unbearable_dev/hu-postcode-validator) — Hungarian postcode lookup

What's NOT covered (yet)

Reusable workflow auditing (multi-file resolution)
CodeQL-grade dataflow tracking
Marketplace-listed action reputation scoring

Source / contact

Source: github.com/UnbearableDev/github-actions-audit. Issues + ideas: unbearabledev@gmail.com.

📬 Built by Noel @ Unbearable Labs. More MCP servers + audit tips in the newsletter: https://unbearabletechtips.beehiiv.com

GitHub Actions Audit

Resumen

Los tres pilares de PopNx MCP

Qué puedes hacer con él

Instalación

Antes de instalar

Valores que debes completar

Qué puede hacer

Revisiones básicasi

El creador coincide con el repo

Sigue en mantenimiento

Tiene licencia

El endpoint responde

Inicio de sesión con OAuth

Sin instrucciones ocultas en las descripciones de herramientas

Comparado con otros en Herramientas para desarrolladoresi

Preguntas frecuentes

Alternativas

GitHub

Desktop Commander

Cloudflare MCP

README del creador

GitHub Actions Security Audit

Available on

What it does

Tools

Check catalog (v2: 21 checks)

Pricing

Connecting from Claude Desktop

Sibling MCPs from Unbearable Labs

What's NOT covered (yet)

Source / contact