app.malinois/scan

Est-ce que app.malinois/scan est sûr ?

Au dernier audit MCP Hub, le serveur MCP « app.malinois/scan » est classé « Non encore testé ». Référencé dans l'annuaire. Seul le pentest comportemental fait foi, et il n'a pas encore été exécuté sur ce serveur. Le verdict est réévalué en continu ; consultez la fiche pour l'état à jour.

Méthode : MCP Hub analyse la description de chaque outil (couche 1) et, pour le verdict fort, exécute le serveur dans une micro-VM isolée avec leurres et réseau bloqué (couche 2). On publie des noms et des compteurs, jamais le contenu brut renvoyé par un outil.

Les 2 outils

• explain_finding≈ 216 tokens

  Returns the plain-language meaning and step-by-step fix for one Malinois finding. Use it while helping the user fix an issue reported by scan_app, or when they ask what a finding means. Pass the rule_id exactly as scan_app returned it. Read-only, no network, instant.

  Paramètres, retour & exemple (2)

  Paramètres

  • lang · string · optionnel · en | ko | es | ja | pt | fr | de | zh
    Language for the explanations (default: en).
  • rule_id · string · requis
    The rule_id of a finding, e.g. supabase_missing_rls

  Exemple d'appel

  {"name": "explain_finding", "arguments": {"rule_id": "texte"}}

  Exemple de retour

  {"content": [{"type": "text", "text": "…"}]}

• scan_app≈ 721 tokens

  Runs a passive, outside-in security check of a live web app and returns a letter grade (A–F), each issue in plain language with fix steps, and a report link. Use when the user asks whether their deployed app is safe, before launch, or after a redeploy to confirm a fix. It checks for publicly readable Supabase/Firebase data, secret keys (Stripe, OpenAI, Supabase service_role…) in client JavaScript, downloadable .env/.git files, source maps, permissive CORS and missing security headers. Do not use it for apps the user does not own or is not authorized to test, for localhost or private addresses, or to review source code — it only sees what the public URL serves. Behavior: sends ordinary GET requests like a browser (no login, exploitation or load testing); takes about 10–30 seconds; saves the result as a report page on malinois.app, linked in the response; secrets appear only masked. Each app can be checked at most 20 times per hour.

  Paramètres, retour & exemple (3)

  Paramètres

  • url · string · requis
    Public http(s) address of the deployed app, e.g. https://my-app.lovable.app (scheme optional).
  • lang · string · optionnel · en | ko | es | ja | pt | fr | de | zh
    Language for the explanations (default: en).
  • i_own_this · boolean · requis
    Must be true. Set it only after the user has explicitly confirmed they own this app or are authorized to test it; without it the check is refused.

  Exemple d'appel

  {"name": "scan_app", "arguments": {"url": "texte", "i_own_this": true}}

  Exemple de retour

  {"content": [{"type": "text", "text": "…"}], "structuredContent": {"host": "texte", "grade": "texte", "score": 1, "limited": true, "findings": [], "platform": "texte", "report_url": "texte"}}

C'est votre serveur ?

Revendiquez-le sur l'espace créateur (preuve GitHub, domaine ou npm) pour afficher le badge « propriétaire vérifié » et lancer un pentest comportemental à la demande afin d'obtenir le badge « Vérifié ».

Créer un compte / revendiquer →

Source

https://malinois.app/mcp