Security Headers

security-headers MCP 服务

获取公开 URL 的响应头，并对 Content-Security-Policy、Strict-Transport-Security、X-Frame-Options、X-Content-Type-Options、Referrer-Policy、Permissions-Policy、Cross-Origin-* 响应头、Set-Cookie 属性和信息泄露类响应头进行评分，同时为每个响应头提供说明和建议。绝不会下载响应正文。

属于 dev-mcp-servers 的一部分。仅支持 Stdio 传输；服务绝不会打开端口。

工具

工具	输入	返回内容
check_url_headers	url、method?（HEAD 或 GET）、max_redirects?（0 到 10，默认值为 5）	向公开的 http(s) URL 发起 HEAD 请求（若返回 405/501，则改用 GET），跟随重定向并在每一跳执行相同检查，然后生成评分报告。拒绝 localhost、.local、.internal、私有、环回、链路本地、CGNAT 和云元数据地址，包括解析到这些地址的名称。
grade_headers	headers（对象）、https?	对你已有的响应头进行相同评分，例如来自 curl -I 的响应头。不访问网络。
explain_header	header	说明某个响应头的用途、推荐值和参考资料。

安装

Claude Code：

claude mcp add security-headers -- docker run --rm -i ghcr.io/basitalisandhu/mcp-security-headers:0.2.2

添加 -s user，使其在每个项目中都可用。任何会读取 .mcp.json 的客户端（Claude Code、Claude Desktop、Cursor）：

{
  "mcpServers": {
    "security-headers": {
      "command": "docker",
      "args": ["run", "--rm", "-i", "ghcr.io/basitalisandhu/mcp-security-headers:0.2.2"]
    }
  }
}

按所示固定版本，避免更新在你未注意到的情况下改变编辑器中运行的内容。该软件包尚未发布到 npmjs.com，因此 npx 无法使用；请参阅仓库 README，了解 GitHub Packages npm。从代码检出目录开始，在仓库根目录运行 npm install && npm run build，然后使用 "command": "node", "args": ["<path>/packages/security-headers/dist/index.js"]。

访问内容

• 网络：向你提供的 URL 发起一次请求，最多跟随 max_redirects 跳，每一跳都会经过验证。每次请求超时为 10 s。连接前会解析主机并检查所有地址；这无法防止检查与连接之间发生 DNS 重绑定，因此不要将此工具指向你无法信任其会如实响应的主机。无遥测数据。
• 本地文件：无。
• 遥测：无。

说明

• 评分：CSP 25、HSTS 20、X-Frame-Options 10、X-Content-Type-Options 10、Referrer-Policy 10、Set-Cookie 10、Permissions-Policy 5、COOP 5、CORP 5。等级：A+（95% 且无不及格项）、A（85% 且无不及格项）、B（70%）、C（55%）、D（40%），其余为 F。
• 仅报告模式的 CSP 不计分：它不会被强制执行。
• 高评分意味着响应头配置良好，并不代表应用程序安全。

构建和测试

npm install        # at the repository root
npm run build -w @basitalisandhu/mcp-security-headers
npm test -w @basitalisandhu/mcp-security-headers

测试使用 node:test 和 SDK 的内存传输，不会访问网络。

许可

MIT。请参阅 LICENSE。