securityscorecard-mcp

SSC MCP 服务

由社区构建的全面模型上下文协议（MCP）服务，可与 SecurityScorecard API 集成。它通过 stdio 运行，因此可与任何兼容 MCP 的客户端配合使用，包括 Claude Desktop、Claude Code、Cursor、VS Code 等。它支持 MCP 协议修订版本 2026-07-28，并与 2025 年的客户端保持兼容。

已在 npm 上发布，名称为 @callmarcus/securityscorecard-mcp，并以 io.github.CallMarcus/securityscorecard-mcp 列入 MCP Registry。

免责声明： 这是一个独立的社区开源项目，与 SecurityScorecard, Inc. 不存在任何隶属、认可、赞助或关联关系。本项目完全依据 SecurityScorecard 公开提供的 API 文档构建。“SecurityScorecard”及所有相关名称、标记和徽标均为 SecurityScorecard, Inc. 的商标，在此仅用于识别目的。你必须提供自己的 API 凭据，并遵守 SecurityScorecard 的服务条款。

快速开始

前置条件

1. Node.js 20+ - 下载
2. SecurityScorecard API Token - 从你的 SecurityScorecard 控制面板获取

选项 A — 从 npm 安装（推荐）

无需克隆或构建。服务通过 npx 使用 stdio 运行，因此任何兼容 MCP 的客户端都可以启动它。npx -y 始终会获取最新发布的版本。

大多数客户端——Claude Desktop、Cursor、Cline、Windsurf 等——都使用相同的 mcpServers JSON。将此代码块添加到客户端的 MCP 配置中：

{
  "mcpServers": {
    "security-scorecard": {
      "command": "npx",
      "args": ["-y", "@callmarcus/securityscorecard-mcp"],
      "env": {
        "SECURITY_SCORECARD_API_TOKEN": "your-api-token-here",
        "COMPANY_DOMAIN": "example.com"
      }
    }
  }
}

配置文件位置：

客户端	配置文件
Claude Desktop（Windows）	%APPDATA%\Claude\claude_desktop_config.json
Claude Desktop（macOS）	~/Library/Application Support/Claude/claude_desktop_config.json
Cursor	~/.cursor/mcp.json（全局）或 .cursor/mcp.json（项目）

将凭据替换为你自己的凭据，然后重启客户端。

Claude Code——改用 CLI 添加：

claude mcp add security-scorecard \
  --env SECURITY_SCORECARD_API_TOKEN=your-api-token-here \
  --env COMPANY_DOMAIN=example.com \
  -- npx -y @callmarcus/securityscorecard-mcp

在 Windows 上，请用 cmd /c 包装启动命令：... -- cmd /c npx -y @callmarcus/securityscorecard-mcp。

VS Code（Copilot）——在 .vscode/mcp.json 中使用带有显式 type 的 servers 键：

{
  "servers": {
    "security-scorecard": {
      "type": "stdio",
      "command": "npx",
      "args": ["-y", "@callmarcus/securityscorecard-mcp"],
      "env": {
        "SECURITY_SCORECARD_API_TOKEN": "your-api-token-here",
        "COMPANY_DOMAIN": "example.com"
      }
    }
  }
}

选项 B — 从源代码运行（用于开发）

# Clone the repository
git clone https://github.com/CallMarcus/security-scorecard-mcp.git
cd security-scorecard-mcp

# Install dependencies
npm install

# Build (use build:fast to avoid memory issues)
npm run build:fast

然后将 MCP 客户端指向本地构建版本。对于使用 mcpServers 格式的客户端（Claude Desktop、Cursor 等）：

{
  "mcpServers": {
    "security-scorecard": {
      "command": "node",
      "args": ["/path/to/security-scorecard-mcp/build/index.js"],
      "env": {
        "SECURITY_SCORECARD_API_TOKEN": "your-api-token-here",
        "COMPANY_DOMAIN": "example.com"
      }
    }
  }
}

重要提示： 将路径和凭据替换为实际值，然后重启 MCP 客户端。（对于 Claude Code，请运行 claude mcp add security-scorecard --env SECURITY_SCORECARD_API_TOKEN=your-api-token-here -- node /path/to/security-scorecard-mcp/build/index.js。）

可用工具

该服务（index.js）提供 9 个专用工具：

工具	用途
security_dashboard	评分、等级和关键安全指标
analyze_security_risks	问题优先级排序与风险分析
create_improvement_plan	可执行的修复路线图
discover_assets	包含安全上下文的资产清单
analyze_email_security	SPF/DMARC/DKIM 分析
api_discovery	使用语义与关键词混合搜索，搜索 535 个 API 端点
analyze_issue_types	细粒度的问题类型分类
validate_data_completeness	跨工具数据验证
query_security_data	通过发现功能直接访问 API

响应模式

每个工具都支持三种响应模式，以提高 Token 使用效率：

• minimal - 快速回答（15-50 个 Token）
• standard - 提供背景信息的概览（200-300 个 Token）
• detailed - 全面分析（800+ 个 Token）

环境变量

变量	必填	描述
SECURITY_SCORECARD_API_TOKEN	是	你的 API Token
COMPANY_DOMAIN	否	查询的默认域名
DEBUG_MODE	否	设置为 true 可启用详细日志记录

可选的速率限制和缓存：

REQUEST_CACHE_TTL_MS=300000
REQUESTS_PER_INTERVAL=5
REQUEST_INTERVAL_MS=1000

API 发现

该服务包含混合搜索（语义搜索 + 关键词搜索），用于查找 SecurityScorecard API 端点：

Use api_discovery to search for "email security"

此功能会搜索 535 个已索引的端点，并返回匹配的路径、置信度分数、必需参数和 curl 示例。

如需在更改后更新 API 参考：

npm run api:embed    # Regenerate semantic embeddings
npm run api:update   # Regenerate docs + embeddings

开发

构建命令

npm run build:fast   # Recommended - uses esbuild (~130ms)
npm run build        # TypeScript compiler (may OOM on some systems)
npm test             # Run tests

项目结构

src/
  index.ts               # MCP server (9 tools)
  api/client.ts          # SecurityScorecard API client
  integration/           # API discovery system
docs/api/                # Self-contained API reference
  index.jsonl            # Endpoint index (535 endpoints)
  index-embeddings.json  # Semantic search embeddings
build/                   # Compiled JavaScript

测试

npm test             # Run test suite

故障排除

构建时内存不足

改用快速构建：

npm run build:fast

“Cannot find module” 错误

重新安装依赖项：

rm -rf node_modules
npm install
npm run build:fast

语义搜索退化为仅关键词搜索（Windows + WSL）

请针对运行服务的平台进行安装。Windows 上的 Claude Desktop 会使用 Windows node 启动服务，因此如果在 WSL 下运行了 npm install，原生模块（onnxruntime-node、sharp）就只有 Linux 二进制文件——嵌入层将无法加载，api_discovery 会悄然退化为仅关键词搜索（仍会返回结果，但置信度评分会较粗略）。请改为在仓库目录下通过 PowerShell 或 cmd 运行 npm install && npm run build:fast，或者为每个平台保留一个克隆副本。

客户端看不到服务

1. 仔细检查客户端的配置文件位置（请参阅快速开始）
2. 如果是从源代码安装，请确认 build/index.js 的路径正确
3. 完全重启客户端
4. 检查服务能否独立启动：npx -y @callmarcus/securityscorecard-mcp（它应该启动后在 stdio 上静默等待）

API 返回 401 Unauthorized

你的 API Token 无效或已过期。请从 SecurityScorecard 控制面板获取新 Token。

许可证

MIT

链接

• SecurityScorecard API 文档
• Model Context Protocol
• 报告问题