securityscorecard-mcp

SSC MCP サーバー

SecurityScorecard APIと連携する、コミュニティーが構築した包括的なModel Context Protocol（MCP）サーバーです。stdio経由で動作するため、Claude Desktop、Claude Code、Cursor、VS Codeなど、あらゆるMCP対応クライアントで利用できます。MCPプロトコルリビジョン2026-07-28を提供し、2025年版のクライアントとの互換性も維持しています。

npmでは@callmarcus/securityscorecard-mcpとして公開されており、MCP Registryにはio.github.CallMarcus/securityscorecard-mcpとして登録されています。

免責事項： これは独立した、コミュニティーが構築したオープンソースプロジェクトです。いかなる形でもSecurityScorecard, Inc.と提携、承認、後援、または関連していません。 SecurityScorecardが一般公開しているAPIドキュメントのみを基に構築されています。「SecurityScorecard」および関連するすべての名称、マーク、ロゴはSecurityScorecard, Inc.の商標であり、ここでは識別目的でのみ使用しています。ご自身のAPI認証情報を用意し、SecurityScorecardの利用規約を遵守する必要があります。

クイックスタート

前提条件

1. Node.js 20+ - ダウンロード
2. SecurityScorecard APIトークン - SecurityScorecardダッシュボードから取得してください

オプションA — npmからインストール（推奨）

クローンやビルドは不要です。サーバーはnpx経由でstdioを使って実行されるため、あらゆるMCP対応クライアントから起動できます。npx -yは常に公開済みの最新バージョンを取得します。

ほとんどのクライアント — Claude Desktop、Cursor、Cline、Windsurfなど — では、同じmcpServers JSONを使用します。次のブロックをクライアントのMCP設定に追加してください。

{
  "mcpServers": {
    "security-scorecard": {
      "command": "npx",
      "args": ["-y", "@callmarcus/securityscorecard-mcp"],
      "env": {
        "SECURITY_SCORECARD_API_TOKEN": "your-api-token-here",
        "COMPANY_DOMAIN": "example.com"
      }
    }
  }
}

設定ファイルの場所：

クライアント	設定ファイル
Claude Desktop（Windows）	%APPDATA%\Claude\claude_desktop_config.json
Claude Desktop（macOS）	~/Library/Application Support/Claude/claude_desktop_config.json
Cursor	~/.cursor/mcp.json（グローバル）または.cursor/mcp.json（プロジェクト）

認証情報をご自身のものに置き換えてから、クライアントを再起動してください。

Claude Code — 代わりにCLIから追加してください。

claude mcp add security-scorecard \
  --env SECURITY_SCORECARD_API_TOKEN=your-api-token-here \
  --env COMPANY_DOMAIN=example.com \
  -- npx -y @callmarcus/securityscorecard-mcp

Windowsでは、起動コマンドをcmd /cでラップします：... -- cmd /c npx -y @callmarcus/securityscorecard-mcp。

VS Code（Copilot）— .vscode/mcp.jsonで明示的なtypeを指定したserversキーを使用します。

{
  "servers": {
    "security-scorecard": {
      "type": "stdio",
      "command": "npx",
      "args": ["-y", "@callmarcus/securityscorecard-mcp"],
      "env": {
        "SECURITY_SCORECARD_API_TOKEN": "your-api-token-here",
        "COMPANY_DOMAIN": "example.com"
      }
    }
  }
}

オプションB — ソースから実行（開発用）

# Clone the repository
git clone https://github.com/CallMarcus/security-scorecard-mcp.git
cd security-scorecard-mcp

# Install dependencies
npm install

# Build (use build:fast to avoid memory issues)
npm run build:fast

次に、MCPクライアントからローカルビルドを指定してください。mcpServers形式を使用するクライアント（Claude Desktop、Cursorなど）の場合：

{
  "mcpServers": {
    "security-scorecard": {
      "command": "node",
      "args": ["/path/to/security-scorecard-mcp/build/index.js"],
      "env": {
        "SECURITY_SCORECARD_API_TOKEN": "your-api-token-here",
        "COMPANY_DOMAIN": "example.com"
      }
    }
  }
}

重要： パスと認証情報をご自身の値に置き換えてから、MCPクライアントを再起動してください。（Claude Codeの場合は、claude mcp add security-scorecard --env SECURITY_SCORECARD_API_TOKEN=your-api-token-here -- node /path/to/security-scorecard-mcp/build/index.jsを実行してください。）

利用可能なツール

サーバー（index.js）は、次の9つの専門ツールを提供します。

ツール	目的
security_dashboard	スコア、評価、および主要なセキュリティ指標
analyze_security_risks	問題の優先順位付けとリスク分析
create_improvement_plan	実行可能な修復ロードマップ
discover_assets	セキュリティ情報を含む資産インベントリ
analyze_email_security	SPF／DMARC／DKIM分析
api_discovery	ハイブリッドなセマンティック／キーワード検索による535個のAPIエンドポイントの検索
analyze_issue_types	詳細な問題タイプの内訳
validate_data_completeness	ツール間のデータ検証
query_security_data	検索機能を備えたAPIへの直接アクセス

応答モード

各ツールは、トークン効率を高めるために3つの応答モードに対応しています。

• minimal - 簡潔な回答（15～50トークン）
• standard - 文脈を含む概要（200～300トークン）
• detailed - 包括的な分析（800トークン以上）

環境変数

変数	必須	説明
SECURITY_SCORECARD_API_TOKEN	はい	API トークン
COMPANY_DOMAIN	いいえ	クエリのデフォルトドメイン
DEBUG_MODE	いいえ	詳細なログを有効にするには true を設定します

任意のレート制限とキャッシュ：

REQUEST_CACHE_TTL_MS=300000
REQUESTS_PER_INTERVAL=5
REQUEST_INTERVAL_MS=1000

API の検出

このサーバーには、SecurityScorecard API のエンドポイントを検索するためのハイブリッド検索（セマンティック検索＋キーワード検索）が含まれています。

Use api_discovery to search for "email security"

535件のインデックス済みエンドポイントを検索し、一致するパスを信頼度スコア、必須パラメーター、curl の例とともに返します。

変更後に API リファレンスを更新するには：

npm run api:embed    # Regenerate semantic embeddings
npm run api:update   # Regenerate docs + embeddings

開発

ビルドコマンド

npm run build:fast   # Recommended - uses esbuild (~130ms)
npm run build        # TypeScript compiler (may OOM on some systems)
npm test             # Run tests

プロジェクト構成

src/
  index.ts               # MCP server (9 tools)
  api/client.ts          # SecurityScorecard API client
  integration/           # API discovery system
docs/api/                # Self-contained API reference
  index.jsonl            # Endpoint index (535 endpoints)
  index-embeddings.json  # Semantic search embeddings
build/                   # Compiled JavaScript

テスト

npm test             # Run test suite

トラブルシューティング

メモリ不足でビルドに失敗する

代わりに高速ビルドを使用します。

npm run build:fast

「Cannot find module」エラー

依存関係を再インストールします。

rm -rf node_modules
npm install
npm run build:fast

セマンティック検索がキーワード検索のみになる（Windows＋WSL）

サーバーを実行するプラットフォーム向けにインストールしてください。Windows 上の Claude Desktop は Windows の node でサーバーを起動するため、WSL で npm install を実行すると、ネイティブモジュール（onnxruntime-node、sharp）には Linux 用バイナリしか含まれません。その結果、埋め込みレイヤーの読み込みに失敗し、api_discovery は警告なしにキーワード検索のみへ移行します（結果は引き続き返されますが、信頼度のスコアリングはより粗くなります）。代わりに、リポジトリディレクトリで PowerShell または cmd から npm install && npm run build:fast を実行してください。または、プラットフォームごとにクローンを用意してください。

クライアントにサーバーが表示されない

1. クライアントの設定ファイルの場所を再確認します（クイックスタートを参照）
2. ソースからインストールした場合は、build/index.js へのパスが正しいことを確認します
3. クライアントを完全に再起動します
4. サーバーが単独で起動することを確認します：npx -y @callmarcus/securityscorecard-mcp（起動後、stdio で何も表示せずに待機するはずです）

API が 401 Unauthorized を返す

API トークンが無効または期限切れです。SecurityScorecard ダッシュボードから新しいトークンを取得してください。

ライセンス

MIT

リンク

• SecurityScorecard API ドキュメント
• Model Context Protocol
• 問題を報告