Attestd MCP

Name: Attestd MCP
Author: attestd-io

作者：attestd-ioバージョン 0.3.1i★ –iパソコンで動く

レジストリ名io.github.attestd-io/attestd-mcp

インストール

概要

作者による説明（英語の原文）

CVE checks, supply chain signals, live catalog, and CVE detail for MCP clients (infra, PyPI, npm).

PopNx MCPの3つの柱

この3つを1つのスコアにまとめることはしません。意見、測定、人気はそれぞれ別のものだからです。

利用者の声iレビューはまだありませんレビューは今後のステップで、アカウント機能と一緒に始まります
私たちの基本チェックi1項目中1項目に合格公開情報からチェック。コードはまだスキャンしていません
利用状況i未計測★ –

できること

このサーバーのやさしい解説はまだ書いていません。以下はレジストリから読み取った事実です。

接続方法: パソコンで動く
トランスポート: stdio
カテゴリ: 開発者ツール
入力が必要なもの：ATTESTD_API_KEY

インストール

使っているAIアプリを選んで、設定をコピーしてください。

インストールの前に

基本チェック：1項目中1項目に合格
あなたのパソコンで、あなたのユーザーと同じ権限（ファイル、ネットワーク、アプリ）で動きます。
自分で入力するもの： ATTESTD_API_KEY, ATTESTD_BASE_URL

「秘密」と表示された値は、あなたのアカウントの鍵です。絶対に人に教えたり、チャットに貼り付けたりしないでください。

必要なもの

npmNode.jsのインストール（npxコマンドに必要）

どのアプリを使っていますか？

ClaudeClaude CodeCursorVS CodeChatGPT

上でアプリを選んでください。選んだアプリを覚えておくので、次からはボタンに「…にインストール」と表示されます。

Claude Desktop → Settings → Developer → Edit Config を開き、claude_desktop_config.json にこれを貼り付けます

{
  "mcpServers": {
    "attestd": {
      "command": "npx",
      "args": [
        "-y",
        "@attestd/mcp"
      ],
      "env": {
        "ATTESTD_API_KEY": "your-value",
        "ATTESTD_BASE_URL": "your-value"
      }
    }
  }
}

ターミナルでこれを実行します

claude mcp add attestd --env ATTESTD_API_KEY=your-value --env ATTESTD_BASE_URL=your-value -- npx -y @attestd/mcp

動かす前に、空欄の値を入力してください。

Cursorで開く

または、設定を自分でコピーする

プロジェクトの .cursor/mcp.json、または ~/.cursor/mcp.json に貼り付けます

{
  "mcpServers": {
    "attestd": {
      "command": "npx",
      "args": [
        "-y",
        "@attestd/mcp"
      ],
      "env": {
        "ATTESTD_API_KEY": "your-value",
        "ATTESTD_BASE_URL": "your-value"
      }
    }
  }
}

ブラウザがアプリを開いてよいか確認し、そのあとアプリが設定を表示して確認を求めます。キーの値は空欄のままなので、自分で入力してください。

VS Codeで開く

または、設定を自分でコピーする

プロジェクトの .vscode/mcp.json に貼り付けます

{
  "servers": {
    "attestd": {
      "type": "stdio",
      "command": "npx",
      "args": [
        "-y",
        "@attestd/mcp"
      ],
      "env": {
        "ATTESTD_API_KEY": "your-value",
        "ATTESTD_BASE_URL": "your-value"
      }
    }
  }
}

これはパソコンで動くサーバーですが、ChatGPTがつなげるのはインターネット上のサーバーだけです。ほかのアプリを選んでください。

選んだアプリは、この端末のCookieに保存されます。アカウントは不要です。

自分で入力する値

ATTESTD_API_KEY 秘密 env
Attestd API key (atst_...). Required for check_package_vulnerability, check_batch_vulnerabilities, get_cve_details, and live list_covered_products. Get one at https://api.attestd.io/portal
ATTESTD_BASE_URL env
Optional API base URL override. Defaults to https://api.attestd.io

この設定は、作者のレジストリ登録情報から作成しています。READMEと違う場合は、READMEに従ってください。

できること

パソコンで動くサーバーです。インストールすると、ツール一覧がAIアプリに表示されます。

基本チェックi

誰でも見られる情報をチェックしており、コードは読んでいません。当てはまらない項目は数に入れていません。 · 2026年11月8日にチェック

✓ 合格
作者とリポジトリが一致
レジストリ名は、リポジトリを所有するGitHubアカウント attestd-io で確認済みです
… 未チェック
今もメンテナンスされている
このリポジトリはまだGitHubから読み取っていません
… 未チェック
ライセンスがある
このリポジトリはまだGitHubから読み取っていません
– 対象外
エンドポイントが応答する
これはパソコンで動くため、インターネット上のエンドポイントはありません
– 対象外
OAuthでサインイン
パソコンで動き、代わりにローカルの設定を使います
… 未チェック
ツールの説明に隠れた指示がない
パソコンで動くサーバーです。ツール一覧を読み取れるのは、インターネット上のエンドポイントがある場合だけです

開発者ツールのほかのサーバーとの比較i

このカテゴリのほかの4921件のうち0%よりスターが多い
このカテゴリのほかの4921件のうち52%より最近レジストリに公開
基本チェックの結果が、このカテゴリのほかの4921件のうち100%と同じかそれ以上

レジストリでこのカテゴリにある有効なすべてのサーバーと比較しています。スターは、公開者がリポジトリの所有者である場合だけ数えます。

よくある質問

Attestd MCPは安全ですか？

当てはまる基本チェック1項目のうち1項目に合格しました。コードは読んでいません。キーやトークンを追加する前に、サーバーがどんなアクセスを求めているかを確認し、必要な権限だけを持つキーを使ってください。

どんなキーやコードが必要ですか？

入力が必要なもの：ATTESTD_API_KEY

パソコンで動きますか、それともクラウドですか？

あなたのパソコンで動きます。必要なときにAIアプリが起動し、データは作者のサーバーを通りません（サーバー自体がオンラインサービスを呼び出す場合を除きます）。

今もメンテナンスされていますか？

GitHubリポジトリの最終更新は–、最新バージョン（0.3.1）がレジストリに届いたのは42 日前です。

どのアプリで使えますか？

Claude Desktop、Claude Code、Cursor、VS CodeなどのMCP対応アプリで使えます。パソコンにNode.jsも必要です。

代わりに使えるものは？

同じカテゴリには：GitHub, Desktop Commander, Cloudflare MCP

代わりの候補

同じカテゴリで、ほかの作者が作ったサーバー。スターの多い順。

カードの見方：★ GitHubスターi3つの柱：レビュー · チェック · 利用状況i更新＝最新バージョンをレジストリに公開した日i

GitHub

作者：github

Connect AI assistants to GitHub - manage repos, issues, PRs, and workflows through natural language.

パソコンでもクラウドでも★ 34,245MIT4 日前更新

インストール

Desktop Commander

作者：wonderwhy-er

MCP server for terminal commands, file operations, and process management

パソコンで動く★ 10,225MIT17 日前更新

インストール

Cloudflare MCP

作者：cloudflare

Cloudflare MCP servers

クラウドで動く★ 4,446Apache-2.014 か月前更新

インストール

作者のREADME

READMEを開く

作者のリポジトリから書かれたとおりにコピーしたものです。PopNx MCPは内容を確認・推奨していません。HTML、画像、スクリプトは取り除いています。リンクはこのサイトの外へ移動します。

@attestd/mcp

Attestd checks whether a dependency version has exploitable CVEs or a confirmed supply-chain compromise. One API call returns a structured risk response.

Official Model Context Protocol (MCP) server for Attestd. Exposes CVE risk and supply-chain checks as tools for Claude Code, Claude Desktop, and any MCP-compatible client.

Get a free API key · Full docs

stdio transport: run via npx -y @attestd/mcp with no global install.
`check_package_vulnerability`: wraps GET /v1/check using @attestd/sdk.
`check_batch_vulnerabilities`: checks up to 100 packages in one call. Use for lockfile and manifest audits.
`list_covered_products`: returns Attestd-covered products. With an API key, returns live data from GET /v1/products. Without a key, returns the static bundled infrastructure list.
`get_cve_details`: returns CVSS, EPSS, KEV status, and affected products for a single CVE id.
`get_usage`: returns remaining quota for the authenticated key (GET /v1/usage).

Prerequisites

Node.js 18+
An Attestd API key from the portal. Required for check_package_vulnerability, check_batch_vulnerabilities, get_cve_details, get_usage, and live list_covered_products.

Claude Code / MCP config

Add to ~/.claude/mcp.json or project .mcp.json:

"mcpServers": { "attestd": { "command": "npx", "args": ["-y", "@attestd/mcp"], "env": { "ATTESTD_API_KEY": "your-api-key-here" } } } }

Optional: override the API base URL (e.g. dev):

"env": {

"ATTESTD_API_KEY": "your-api-key-here", "ATTESTD_BASE_URL": "https://dev.api.attestd.io" }

Tools

`check_package_vulnerability`

Argument	Type	Description
`product`	string	Product slug (`nginx`, `postgresql`, `litellm`, …)
`version`	string	Exact version (`1.20.0`)

Returns JSON with:

Field	Meaning
`outsideCoverage`	`true` if the product is not covered. Unknown risk, not safe.
`riskState`	`critical` \	`high` \	`elevated` \	`low` \	`none` \	`null` when outside coverage
`riskFactors`	Risk factor vocabulary driving `riskState`
`maxEpss`	Highest EPSS probability across matching CVEs
`activelyExploited`	CISA KEV signal
`remoteExploitable`	`true` if any matching CVE is remotely exploitable
`authenticationRequired`	`true` only when all matching CVEs require authentication
`patchAvailable` / `fixedVersion`	Patch guidance
`confidence`	Synthesis confidence 0.0–1.0
`cveIds`	CVE IDs contributing to the risk assessment
`typosquat`	Package name integrity: `detected`, `resembles`, `confidence`, `ecosystem` (SDK 0.5 runtime; extra fields are omitted)
`message`	Explanation when `outsideCoverage` is true
`supplyChainCompromised` / `supplyChainDescription`	PyPI/npm supply-chain signal

On invalid/missing API key or rate limit, returns isError: true with a JSON error string.

`check_batch_vulnerabilities`

Argument	Type	Description
`items`	array	Array of `{ product, version }` objects. Maximum 100 per call. Each item costs one API call.

Quota is checked upfront. If the batch would exceed your monthly quota, a 429 is returned before any calls are billed.

Returns JSON with count and results. Supported items include the same fields as check_package_vulnerability minus typosquat. Outside-coverage items return only product, version, outsideCoverage: true, and riskState: null.

`list_covered_products`

No arguments. With an API key, returns live JSON from GET /v1/products:

Field	Meaning
`source`	`"live"` when fetched from the API
`total`	Combined count of CVE products and supply chain packages
`cveProducts`	CVE infrastructure slugs with display names
`supplyChainPackages`	Monitored PyPI/npm packages

Without an API key, returns the static bundled list:

Field	Meaning
`source`	`"static"`
`count`	Number of bundled infrastructure products
`products`	Array of `{ slug, display }` entries

`get_cve_details`

Argument	Type	Description
`cve_id`	string	CVE identifier, e.g. `CVE-2021-44228`

Returns JSON with:

Field	Meaning
`found`	`true` when the CVE is in Attestd's database; `false` on 404 (not an error)
`cveId`	CVE identifier
`description`	NVD description text
`cvssScore` / `cvssVector`	CVSS base score and vector
`activelyExploited`	CISA KEV signal
`remoteExploitable`	Remotely exploitable
`authenticationRequired`	Authentication required for exploitation
`affectedProducts`	Attestd product slugs affected by this CVE
`epssScore` / `epssPercentile`	EPSS probability and percentile
`sourcePublishedAt` / `lastCheckedAt`	ISO timestamps

When the CVE is not found, returns { "found": false, "cveId": "..." } without isError. On invalid/missing API key or rate limit, returns isError: true with a JSON error string.

`get_usage`

No arguments. Requires an API key. Returns JSON from GET /v1/usage:

Field	Meaning
`tier`	Account plan tier
`keyCallsThisMonth`	Calls billed to this key in the current period
`accountCallsThisMonth`	Calls billed across all keys on the account
`includedCalls`	Monthly included call cap
`billingPeriodStart` / `billingPeriodEnd`	ISO timestamps
`overageCalls` / `estimatedOverageUsd`	Overage vs the included cap

On invalid/missing API key or rate limit, returns isError: true with a JSON error string.

Verify locally

npm run build

echo '{"jsonrpc":"2.0","id":1,"method":"tools/list","params":{}}' | node dist/index.js

License

MIT. See LICENSE.

Attestd MCP

概要

PopNx MCPの3つの柱

できること

インストール

インストールの前に

自分で入力する値

できること

基本チェックi

作者とリポジトリが一致

今もメンテナンスされている

ライセンスがある

エンドポイントが応答する

OAuthでサインイン

ツールの説明に隠れた指示がない

開発者ツールのほかのサーバーとの比較i

よくある質問

代わりの候補

GitHub

Desktop Commander

Cloudflare MCP

作者のREADME

@attestd/mcp

Prerequisites

Claude Code / MCP config

Tools

check_package_vulnerability

check_batch_vulnerabilities

list_covered_products

get_cve_details

get_usage

Verify locally

License

`check_package_vulnerability`

`check_batch_vulnerabilities`

`list_covered_products`

`get_cve_details`

`get_usage`