TrustedMCP

TrustedMCP MCP サーバー

エージェントにTrustedMCPの評価を確認させましょう。「この MCP サーバーは大丈夫？」や「自分の MCP の設定をチェックして」と尋ねると、サーバーごとに A から D の評価、最初に修正すべき点、同じカテゴリ内でより評価の高いサーバーを回答します。

各評価は、ログイン、メンテナンス状況、既知の CVE、サーバーの接続方法などの公開情報に基づくアセスメントです。ご自身でレビューする際の出発点としてご利用ください。コードの監査ではありません。評価方法。

ツール

ツール	機能
lookup_server	名前、npm または PyPI パッケージ、Docker イメージ、URL、GitHub リポジトリ、起動コマンドからサーバーを検索し、評価、4 つのチェック項目、最初に修正すべき点、TrustedMCP のページを表示します。
check_config	MCP 設定内のすべてのサーバーをチェックします。引数を指定しない場合は、Claude Desktop、Claude Code、Cursor、VS Code、Windsurf の一般的な設定ファイルを読み取ります。単一の client、path、または config JSON を指定することもできます。
find_alternatives	カテゴリ、検索語、最低評価を指定して、評価済みのサーバーを検索します。またはサーバーを instead_of に指定して、同じカテゴリ内でより評価の高いサーバーを探せます。
registry_lookup	MCP Registry の公式エントリを検索し、パッケージ、リモート、TrustedMCP の評価（ある場合）、報告されたセキュリティ問題（GHSA/CVE と、記載されたバージョンが影響を受けるかどうか）を表示します。

4 つのツールはすべて、データを読み取るだけです。

キーを取得する

ツールの呼び出しには、無料の API キーが必要です。trustedmcp.io/developersでメールアドレスを登録してください。キーがなくてもサーバーは起動し、ツール一覧を表示しますが、ツールを呼び出すたびにキーの追加を求めるエラーが返されます。

キーにはスコープが設定されています。キーには次の 3 つのスコープのいずれかを設定できます。

スコープ	対象
servers:read	lookup_server と find_alternatives
config:check	check_config
registry:read	registry_lookup

registry_lookup は、レジストリ名の代わりにパッケージ名または検索語を指定すると、サーバー検索にもフォールバックします。そのため、このツールを使う場合はキーに servers:read も付与してください。ツールに必要なスコープがキーにない場合、不足しているスコープがツールから通知されます。同じページからキーを無効化またはローテーションできます。無効化されたキーや無効なキーは拒否され、新しいキーを取得するようツールから案内されます。

インストール

ホステッド（インストール不要）

TrustedMCP は https://trustedmcp.io/mcp でホステッドサーバーとしても動作します。こちらも同じ 4 つのツールを利用できます。インストールも Node.js も不要です。キーは Bearer トークンとして送信してください。

Claude Code：

claude mcp add --transport http trustedmcp https://trustedmcp.io/mcp --header "Authorization: Bearer YOUR_KEY"

Cursor（~/.cursor/mcp.json）：

{
  "mcpServers": {
    "trustedmcp": {
      "url": "https://trustedmcp.io/mcp",
      "headers": { "Authorization": "Bearer YOUR_KEY" }
    }
  }
}

VS Code（.vscode/mcp.json）：

{
  "servers": {
    "trustedmcp": {
      "type": "http",
      "url": "https://trustedmcp.io/mcp",
      "headers": { "Authorization": "Bearer YOUR_KEY" }
    }
  }
}

ホステッドサーバーはお使いのマシン上のファイルを読み取れないため、check_config を使うには、config 引数に設定を貼り付ける必要があります。以下の npx 版では、設定ファイルをローカルで読み取ります。

npx でローカル実行

Node.js 18 以降が必要です。

Claude Code

claude mcp add trustedmcp -e TRUSTEDMCP_API_KEY=YOUR_KEY -- npx -y trustedmcp mcp

Claude Desktop、Cursor、Windsurf（claude_desktop_config.json、~/.cursor/mcp.json、~/.codeium/windsurf/mcp_config.json）

{
  "mcpServers": {
    "trustedmcp": {
      "command": "npx",
      "args": ["-y", "trustedmcp", "mcp"],
      "env": { "TRUSTEDMCP_API_KEY": "YOUR_KEY" }
    }
  }
}

VS Code（.vscode/mcp.json）

{
  "servers": {
    "trustedmcp": {
      "type": "stdio",
      "command": "npx",
      "args": ["-y", "trustedmcp", "mcp"],
      "env": { "TRUSTEDMCP_API_KEY": "YOUR_KEY" }
    }
  }
}

その後、「TrustedMCP で自分の MCP 設定をチェックして」や「@playwright/mcp の評価は？もっと良いものはある？」と尋ねてください。

お使いのマシンから送信される情報

ホステッドエンドポイントでは、ツールに渡した情報はすべて trustedmcp.io に送信されます。このセクションの残りの説明は npx 版に関するものです。

check_config は、お使いのマシン上の設定ファイルを読み取ります。TrustedMCP に送信されるのは次の情報のみです。

• 設定内の各サーバー名、および
• 検出されたパッケージ名（npm:@playwright/mcp）、イメージ名（oci:ghcr.io/github/github-mcp-server）、サーバー URL。URL のクエリ文字列は含まれません。

環境変数、ヘッダー、トークン、その他の引数、ファイルパスはお使いのマシン上にとどまります。ローカルファイルを実行するサーバー（node ./server.js）は一切送信されず、検索できないことがツールから通知されます。API は受信した情報を保存しません。これらの識別子を組み立てるコードは、src/identifiers.ts と src/config.ts にあります。

設定

変数	デフォルト	説明
TRUSTEDMCP_API_KEY	none	ツールの呼び出しに必要です。trustedmcp.io/developers から無料のキーを取得できます。スコープは servers:read、config:check、registry:read です。
TRUSTEDMCP_API_URL	https://trustedmcp.io/api/v1	別のコピーに対してテストする場合の API ベース URL です。

API

このサーバーは、無料の TrustedMCP JSON API（https://trustedmcp.io/api/v1：/servers、/servers/{slug}、/lookup、/check、/registry/{name}、/categories）の薄いクライアントです。ドキュメントと利用規約：trustedmcp.io/developers。評価を表示する場合は、「Grades by TrustedMCP」と明記し、サーバーのページにリンクしてください。

開発

npm install
npm test        # vitest
npm run build   # tsc to dist/
TRUSTEDMCP_API_URL=http://127.0.0.1:8000/api/v1 node dist/cli.js mcp

TRUSTEDMCP_API_URL にローカルのコピーを指定する場合も、ツールの呼び出しにはキーが必要です。

リリース（メンテナー向け）：package.json の version と、server.json の両方の version フィールド（トップレベルと packages[0]）を更新し、npm publish を実行した後、node scripts/publish-registry.mjs を実行して同じバージョンを公式 MCP Registry に公開します。このスクリプトには io.trustedmcp/* のドメインキーが必要です。キーがメンテナーのマシンから外部に送信されることはありません。

ライブラリとして使用する場合：

import { createServer, TrustedMcpApi } from 'trustedmcp';

サーバーが見つかりませんか？

利用しているサーバーに評価がない場合は、評価をリクエストしてください。

ライセンス

MIT