aso-audit-mcp

aso-mcp — 無料の Agent Readiness Scanner

ASO スコアはいくつですか？

SEO によって、検索エンジンから見つけてもらえるようになりました。**ASO（Agent Signal Optimization）**によって、ウェブの次の訪問者となりつつある AI エージェントから、発見され、信頼され、支払いを受けられるようになります。

aso-mcp は無料のオープンソース ASO Scanner です。MCP サーバーとして、あらゆるウェブサイトをスキャンし、オープンな ASO framework に基づいて採点した Agent Readiness Report を生成します。ベータ版の npm パッケージは @forgemeshlabs/aso-audit-mcp です。

このリリースは、Google の現在のエージェント対応ガイダンスを誇張せずに反映しています。Google 検索によると、生成 AI 検索にも従来の SEO の基本が引き続き適用され、llms.txt は Google 検索自体では無視されます。また、ブラウザーエージェントは、クリーンな DOM、スクリーンショット、アクセシビリティツリーのシグナルから恩恵を受けます。このスキャナーでは、Google 以外のエージェントが使用するため llms.txt を引き続き対象とし、セマンティックコントロール、ラベルの関連付け、ARIA／ロールのフォールバック、非表示オーバーレイのリスクを確認するブラウザーエージェント UX チェックを追加しています。

ベータ版。 エージェントがウェブサイト／API／ツールを発見し、信頼し、理解して、利用できるかどうかを評価する実験的な ASO スキャナーです。ASO のスコアリングは実験段階であり、エージェントの標準が成熟するにつれて進化します。

=== Agent Readiness Report: https://example.com ===
ASO Score: 70/100
Agent Readiness: Ready
Level: ASO-4 Trustable — Agents can verify trust, reputation, and operational signals.

Discoverability  20/20    Identity  15/20    Trust   11/15
Commerce          5/15    Reputation 4/15    Memory  15/15

チェック項目 — 6 つの柱にわたる 34 のシグナル

発見可能性、信頼性、相互運用性、コマースの不足を見つけましょう。新たに登場するエージェント標準をすべて、1 回のスキャンで確認できます。

柱／カテゴリ	チェック項目
発見可能性	robots.txt、sitemap.xml、Link ヘッダー、DNS-AID（_agent.<domain>）、/.well-known/ai
コンテンツ	Markdown コンテンツネゴシエーション、llms.txt、LLM が読み取れるドキュメント（/index.md、llms-full.txt）
ボットアクセス	明示的な AI クローラールール（GPTBot、ClaudeBot、Google-Extended、PerplexityBot など）、Content Signals、Web Bot Auth
相互運用性	API Catalog（RFC 9727）、OAuth discovery（RFC 8414）、OAuth Protected Resource（RFC 9728）、auth.md、MCP Server Card（/.well-known/mcp/server-card.json）、Google A2A Agent Card（/.well-known/agent-card.json、必須フィールドを検証）、Agent Skills、WebMCP
コマース	x402、MPP、UCP、ACP、機械可読な料金情報
アイデンティティと信頼性	HTTPS の強制、JSON-LD／schema.org、エージェントに使いやすいブラウザー UX、OpenAPI、agent.json、security.txt、ステータスエンドポイント、バージョン管理、ファイル間のアイデンティティとシグナルの整合性

決定論的な x402 v2 エンドポイント監査

MCP ツール audit_x402_endpoint は、オリジン全体を対象とする ASO スキャンを補完し、1 つの有料エンドポイントを支出なしでプロトコル監査します。0～100 のスコア、A～F の評価、コンプライアンス判定、チェックごとの真偽値、不合格となったチェック、確認されたスキーム／ネットワーク／拡張機能を返します。ライブの 402 チャレンジを検証しますが、PAYMENT-SIGNATURE は送信しないため、支払いを承認したり決済したりすることはできません。

チェック項目：HTTPS／TLS、HTTP 402、PAYMENT-REQUIRED、Base64 JSON、x402Version: 2、空でない accepts、CAIP-2 ネットワーク、必須の支払いフィールド、JSON コンテンツタイプ。リクエストボディが必要なルートでは、method、body、必要に応じて content_type を渡してください。

プロトコルへの準拠は、発見可能性、信頼性、決済、冪等性、有料レスポンスの品質を証明するものではないため、この結果は意図的に ASO スコアとは別に報告されます。

進化する標準モデル

エージェントプロトコルは急速に変化しています。このスキャナーは進化するフレームワークの一部として保守されており、チェックはバージョン管理され、安定した標準、オプションの機能、リリース候補、ドラフト、ベンダー規約はそれぞれ個別にラベル付けされています。日付入りのスキャナーソース一覧と、正規のASO ソースレジストリをご覧ください。

各チェックは、具体的な証拠と修正の推奨事項とともに、pass / partial / fail を返します。結果は6つのASOの柱（発見可能性 20、アイデンティティ 20、信頼 15、コマース 15、評判 15、メモリー 15）に集約され、ASO スコアと成熟度レベルが算出されます。

インストール

Node.js ≥ 20 が必要です。npm では @forgemeshlabs/aso-audit-mcp として公開されており、クローンやビルドは不要です。

npm install -g @forgemeshlabs/aso-audit-mcp

または、インストールを省略して npx で実行できます（MCP クライアントに推奨）。

npx -y @forgemeshlabs/aso-audit-mcp

Claude Code

claude mcp add aso -- npx -y @forgemeshlabs/aso-audit-mcp

Claude Desktop / Cursor / Windsurf（任意の MCP クライアント）

{
  "mcpServers": {
    "aso": {
      "command": "npx",
      "args": ["-y", "@forgemeshlabs/aso-audit-mcp"]
    }
  }
}

開発（ソースから）

スキャナー自体を開発する場合にのみ必要です。

git clone https://github.com/forgemeshlabs/aso-audit-mcp
cd aso-audit-mcp
npm install && npm run build
claude mcp add aso -- node /path/to/aso-audit-mcp/dist/index.js

ツール

ツール	機能
list_tools	無料メニュー：以下のすべてのツールとその価格（すべて $0）を表示します。呼び出し前に選択するエージェント向けです
scan_site	ASO の完全スキャン → エージェント対応状況レポート：ASO スコア、レベル、柱ごとの内訳、証拠と推奨事項を含む全34項目のチェック
get_fix_plan	優先順位付きの修正計画と、すぐに貼り付けて使えるテンプレート（robots.txt の AI ルール、llms.txt、agent.json、A2A エージェントカード、MCP サーバーカード、x402 マニフェスト、pricing.json、security.txt、ステータスエンドポイント）
check_signal	特定のチェックを1つ実行します（例：a2a-agent-card、llms-txt、x402）
list_checks	仕様へのリンクを含む、すべてのチェックのカタログ
get_aso_framework	ASO の評価基準：柱、重み、レベル、認証のしきい値

お試しください：「example.com をスキャンして、エージェント対応状況を確認して」 · 「自分の ASO スコアは？」 · 「サイトをエージェント対応にするための修正計画を出して」

CLI スモークテスト（ソースをチェックアウトした状態から）

npm run smoke -- https://your-site.com

Glama / レジストリのメタデータ

このリポジトリには、Glama MCP レジストリの所有権とインストール用メタデータを記述する glama.json が含まれています。

• パッケージ： @forgemeshlabs/aso-audit-mcp
• 現在のリリース： v0.4.4
• トランスポート： ローカル stdio
• 認証： ローカルで stdio を使用する場合、認証は不要です。スキャナーは API キー、トークン、Cookie、サードパーティーの認証情報を要求しません。
• HTTP デプロイ： この npm パッケージでは有効になっていません。このスキャナーをパブリック HTTP でデプロイする場合は、公開前に認証、クライアントごとのレート制限、リクエストのログ記録、送信トラフィックのポリシーを追加する必要があります。

Glama/MCP の推奨インストールコマンド：

npx -y @forgemeshlabs/aso-audit-mcp

サーバーを MCP クライアントに接続した後の使用例：

Scan https://example.com for agent readiness.
Give me the ASO fix plan for example.com.
Check only the llms-txt signal for example.com.
List the ASO scanner checks.

リリースの検証：

• Git タグ：v0.4.4
• npm パッケージ：@forgemeshlabs/aso-audit-mcp
• MCP サーバーのバージョン：0.4.5（起動時に package.json から読み取ります）

v0.2.0 以降、サーバーには、より広範な ASO エージェント対応スコアとは別の指標として維持される、決定論的で費用のかからない x402 v2 エンドポイント準拠監査が含まれています。

Glama リリースビルド

Glama でインストール可能にするには、Glama リリースが必要です。これは GitHub リリースではなく、Glama の Dockerfile 管理ページから作成するコンテナ化ビルドです。このリポジトリには、本番環境用の Dockerfile と、Glama で使用するビルド仕様値を記載した GLAMA.md が含まれています。

ビルド手順：

npm ci
npm run build
npm prune --omit=dev

ランタイムコマンド：

node dist/index.js

Glama の CMD arguments フィールドに入力します：

["node", "dist/index.js"]

CMD arguments を [] のままにしないでください。Glama はこのフィールドを Dockerfile の CMD とは別に検証します。

ASO フレームワーク

SEO はユーザー向けのページを上位表示します。ASO は、エージェントがサービスを選択、呼び出し、支払い、再利用できるように準備します。

レベル	名前	スコア
ASO-0	非表示	0–9
ASO-1	発見可能	10–29
ASO-2	理解可能	30–49
ASO-3	呼び出し可能	50–69
ASO-4	信頼可能	70–89
ASO-5	自律コマース対応	90–100

このスキャナーによるスコアは、目安となる自己評価です。ASO 認証（ASO-3 以上）には、検証済みの証拠が必要です。監査、認証、フレームワーク全体については、スコアリング基準およびagentsignaloptimization.comをご覧ください。

スポンサーカード（Lulu Ads）

この MCP の背後で有料の ForgeMesh サーバーが稼働しているわけではなく、各ツールはスキャン対象のサイトを直接取得します。そのため、Lulu Ads のカードを追加できるのはクライアント側のみで、追加先も list_tools に限られます。カードは JSON の結果に含まれる、ラベル付きの単なるデータフィールドであり、モデルが指示として読み取れるテキストではありません。

"sponsored": { "label": "Sponsored", "text": "...", "url": "https://..." }

• このパッケージに広告の認証情報は含まれていません。 MCP を実行するオペレーターが LULU_ADS_PUBLISHER_ID と LULU_ADS_API_KEY（両方必須）を設定した場合にのみ、カードが表示されます。認証情報を設定せずに npx -y @forgemeshlabs/aso-audit-mcp を実行するエンドユーザーの場合、このパッケージは広告ネットワークに一切接続せず、カードも表示されません。
• LULU_ADS_ENABLED=false はキルスイッチです。スキャン／監査ツールが SDK にアクセスすることはありません。
• フェイルオープン： SDK エラーまたはタイムアウト（上限は 2 秒）が発生した場合、元のレスポンスを変更せずに返します。このパッケージが接続する外部ホストは、スキャンを依頼されたサイトを除くと ads.getlulu.dev のみです。スキャン対象サイトへのリクエストはすべて、SSRF 対策済みクライアントを経由します（プライベート IP の拒否、DNS の固定、10 秒のタイムアウト、512 KB のレスポンス上限、リダイレクトの再検証）。
• 削除する場合： delete result.sponsored。

セキュリティ

このスキャナーは、指定された URL に外向きのリクエストを送信するため、SSRF 攻撃への耐性を備えています。

• スキームの許可リスト — http／https のみを許可し、file:、ftp:、gopher:、data: などは拒否します。
• プライベート宛てのブロック — DNS 解決後、ループバック、プライベート（RFC 1918）、リンクローカル、CGNAT、予約済み、マルチキャスト、およびクラウドメタデータアドレス（169.254.169.254）へのリクエストを拒否します。IPv6 のループバック／ULA／リンクローカルと IPv4 マップ形式も対象です。ホスト名がプライベートアドレスを 1 つでも解決する場合、スキャンを拒否します。
• IP 固定の通信 — 各リクエストは、検証済みの正確なパブリック IP に接続し、TLS では元のホスト名を引き続き検証します。これにより、検証後に接続するまでの間に発生する DNS リバインディングの隙を塞ぎます。
• リダイレクトの手動検証 — 自動リダイレクト追従は無効にし、各リダイレクト先を同じルールで再検証します。リダイレクトは最大 5 回です。パブリック URL が 30x リダイレクトで内部アドレスに誘導されても、すり抜けることはありません。
• 信頼できないリモートコンテンツ — 解析されたマニフェストは、デフォルトではツールの出力から除外されます（含めるには include_artifacts: true を指定します。その場合も、信頼できないコンテンツであることを明示します）。埋め込みテキストの抜粋は制御文字をサニタイズし、長さを制限します。返されたリモートコンテンツは指示ではなく、データとして扱ってください。
• 制限付き — GET のみ、UA は ASO-Scanner/1.0、同時実行数は最大 6、タイムアウトは 10 秒、本文サイズは最大 512KB です。認証は行わず、POST も行わず、既知のパス以外をクロールすることもありません。
• セキュリティ強化のテスト済み — npm test では、安全でない URL の拒否、プライベート IP 範囲、アーティファクトのサニタイズ、リダイレクトのブロック、リダイレクト回数の上限、およびテスト専用のループバック例外をテストします。

デプロイ: stdio（ローカル、ユーザーごと）が安全なデフォルトです。パブリックな HTTP デプロイはネットワークへの外向き通信を行うツールであり、公開する前に認証、クライアントごとのレート制限、リクエストログの記録、および外向き通信ポリシーを必ず追加してください。

• 評判に関するシグナル（引用、レビュー、成功率）はクローラーでは自動検証できません。監査で検証されるまで manual として報告され、スコアは 0 になります。そのため、自動検証可能な最高スコアは 89/100 です。これは意図的に誠実な設計であり、バグではありません。
• 新興仕様（MCP Server Cards SEP-1649/SEP-2127、DNS-AID、Web Bot Auth、UCP/ACP/MPP）は急速に進化しています。パスの更新に関する PR を歓迎します。

ソースとの整合性

このパッケージでは、Google 検索のガイダンスと、より幅広い ASO ガイダンスを意図的に分けています。

• Google 検索の生成 AI 機能は、引き続き検索の中核となるランキングシステムと品質システムに依存しています。基礎となる SEO、クロール可能性、有用なコンテンツ、技術的な明確さが引き続き優先事項です。
• Google 検索は、ランキングや AI Overviews／AI Mode での表示に llms.txt や特別な AI 用 Markdown ファイルを使用しません。他のエージェントや MCP クライアントが利用できるため、ASO では引き続きこれらを確認します。
• Google／web.dev のエージェントに優しいサイトに関するガイダンスは、ブラウザーエージェントの使いやすさに重点を置いています。安定したレイアウト、セマンティック HTML、入力欄と関連付けられたラベル、意味のあるロール／名前／状態、および隠れたオーバーレイの回避などです。
• UCP、AP2、A2A、MCP、x402、DNS-AID、Content Signals、Web Bot Auth は、新興の非 SEO プロトコルです。スキャナーはこれらをエージェント対応のシグナルとして扱い、Google 検索のランキング要因としては扱いません。

主な参考資料：

• https://developers.google.com/search/docs/fundamentals/ai-optimization-guide
• https://web.dev/articles/ai-agent-site-ux
• https://ucp.dev

ライセンス

MIT — 誰でも無料で利用できます。スキャナーで不足が見つかった場合は、ASO フレームワークでその解消方法を確認できます。