Tls Radar

Claude Code 和 Cowork 的 TLS Radar 插件

在 Claude Code 或 Claude Cowork 中即可运行 SSL/TLS 扫描、签发免费的 Let's Encrypt 证书并管理证书监控——通过单个 MCP 服务完成，无需任何配置。

来自不销售证书的供应商的独立监控——专为 90 天证书时代打造，在这个时代，手动跟踪续期已经行不通。

# Public - no account, no setup
/tls-scan example.com                       # free SSL/TLS scan
/tls-cert mydomain.dev                      # free 90-day Let's Encrypt cert (private key stays local)
/tls-renew mydomain.dev                     # renew a cert

# Connect once for monitoring (OAuth via /mcp)
/mcp                                        # built-in Claude Code OAuth flow
/tls-monitor add api.foo.io                 # one or many: /tls-monitor add a.com b.com c.com
/tls-monitor list
/tls-monitor remove api.foo.io
/tls-diagnose                               # health check (use when something's off)
/tls-upgrade                                # open pricing page

安装前先查看实际输出：示例扫描报告

其他操作——“哪些证书快到期了”“X 的扫描历史”“我使用的是什么套餐”“导出/导入我的监控项”“邀请团队成员”——只需用自然语言提问；插件的技能会将请求路由到相应工具。无需使用斜杠命令。

工作原理

Claude Code 的 MCP 客户端连接到一个远程服务：

• tlsradar.com/api/v1/mcp

证书签发通过该服务代理到 Let's Encrypt 后端（Beacon），因此只需一个连接和一种身份验证方式——无需连接第二个服务，也无需将令牌粘贴到 shell 中。

• 公共工具（scan、create_certificate、check_certificate_propagation、finalize_certificate、get_certificate_status、renew_certificate）无需账户即可使用。
• 经过身份验证的工具（监控、套餐信息、导出/导入、团队）使用 Claude Code 内置的 OAuth 2.0 + PKCE。运行一次 /mcp，选择 tlsradar 服务，并在浏览器中批准；令牌由 Claude Code 管理。

运行 /mcp 时，Claude Code 会获取 tlsradar.com/.well-known/oauth-authorization-server（RFC 8414），动态注册为公共客户端（RFC 7591），打开浏览器以征求授权（PKCE / RFC 7636），并在后续请求中自动附带令牌。

证书私钥保留在本地

/tls-cert 会在你的机器上生成密钥和 CSR（通过内置且经过测试的辅助工具；该工具会以 0600 权限写入密钥，且绝不会覆盖现有密钥——而是先进行备份），并且只发送 CSR。私钥绝不会离开你的计算机，也不会在聊天中输入任何密码短语。在显示签发的证书之前，插件会在本地验证返回的证书链确实包含你的域名。如果你需要 .p12 文件包（例如用于 Windows/Java 导入），插件也会在本地打包。

中断的签发流程可以恢复：订单状态会保存到 ~/.config/tlsradar/orders/<domain>.json，因此你可以在流程中途关闭会话，之后再说“完成我为 example.com 申请的证书”（或重新运行 /tls-cert），即可从上次中断处继续。/tls-renew 会使用该文件中保存的电子邮件和质询方式，并在操作前征求确认。

你可以选择如何证明对域名的控制权，插件会记住你的选择（保存在 ~/.config/tlsradar/config.json 中）：

• dns-01——手动添加 TXT 记录（适用于任何环境）。
• dns-01-cloudflare / dns-01-route53——插件通过服务商 API 为你设置 TXT 记录，并从本地环境读取令牌（CLOUDFLARE_API_TOKEN，或你配置的 aws CLI）。这些凭据会留在你的机器上，绝不会发送给 TLS Radar 或 Beacon。
• http-01——在 http://yourdomain（端口 80）提供文件；仅为顶级域名签发证书。

证书签发后，TLS Radar 会通过电子邮件通知你持续监控的相关事宜——证书到监控的交接完全自动化，并在服务端完成。

适用于 Claude Code 和 Cowork

这是一个标准插件，因此可在 Claude Code 和 Claude Cowork 中运行。扫描、签发证书和监控在两个客户端中都可使用：工具来自同一个 MCP 服务，证书流程会在本地运行 openssl 和随附的辅助脚本（两个客户端都能通过 ${CLAUDE_PLUGIN_ROOT} 运行本地命令和随附脚本）。连接以进行监控时，使用客户端内置的 OAuth——在 Claude Code 中使用 /mcp，在 Cowork 中使用相应的连接步骤。

在 Claude.ai 中使用（自定义连接器）

无需 Claude Code，也可以在 Claude 中扫描和监控。TLS Radar 是一个标准的远程 MCP 服务，因此你可以在任何套餐的 Claude.ai 应用（网页版、桌面版、移动版）中将它添加为自定义连接器——包括 Free 套餐（Free 套餐允许添加一个连接器）。

1. 打开设置 → 连接器（Team/Enterprise：组织设置 → 连接器，仅限所有者）。
2. 点击添加自定义连接器。
3. 粘贴连接器 URL：https://tlsradar.com/api/v1/mcp/connect
4. 保存，然后在出现 OAuth 提示时登录 TLS Radar（该连接器需要通过身份验证——登录后即可连接你的账户，之后扫描和监控都可使用）。

然后只需用自然语言提问——“扫描 example.com”“有哪些证书即将到期”“监控 api.foo.io”。Claude.ai 中没有斜杠命令；工具说明会根据你的请求进行路由。

**没有账户？请改用 Claude Code。**匿名免注册扫描和免费证书签发功能可通过 Claude Code 插件（如下）使用，该插件连接公开的 …/api/v1/mcp 端点。Claude.ai 连接器需要登录一次，因为托管连接器必须进行身份验证。

证书签发仍是 Claude Code / Cowork 的功能。/tls-cert 会使用 openssl 在本地生成私钥，而 Claude.ai 应用无法做到这一点（没有本地 shell）。在连接器中，你可以使用扫描和监控；如需签发 Let's Encrypt 证书并将密钥保留在自己的设备上，请在 Claude Code/Cowork 中使用插件，或使用 beacon.tlsradar.com 上的网页表单。

安装

在 Claude Code 中，添加市场并安装——只需两条命令，无需克隆仓库，也无需指定路径：

/plugin marketplace add TLS-Radar/tlsradar-claude-plugin
/plugin install tlsradar@tlsradar

（或者添加市场后，在 /plugin 菜单中找到它。）在 Claude Cowork 中，从插件目录添加（搜索“TLS Radar”）即可。就是这么简单——扫描和证书签发立即可用。需要监控时，运行 /mcp（或使用 Cowork 的连接步骤）。

git clone https://github.com/TLS-Radar/tlsradar-claude-plugin ~/.claude/plugins/tlsradar

免费套餐限制

• 免费包含 1 个监控项
• 每月 1 条提醒，在到期前 7 天发送
• 免费扫描次数不限（有速率限制）
• 免费签发 Let's Encrypt 证书
• 所有套餐均可访问 REST API，包括 Free 套餐

达到监控项数量上限时，工具的响应中会包含建议升级的套餐和定价 URL。

配置

无需进行任何配置。可选环境变量：

• TLSRADAR_BASE_URL - 覆盖 TLS Radar URL（默认值为 https://tlsradar.com）。适用于临时环境或自托管环境。

匿名使用 ID。首次运行扫描或证书命令时，插件会在 ~/.config/tlsradar/install_id 中生成一个随机 ID，并将其作为 client_id 参数传递，以便将匿名使用情况归因到一次安装。它用于识别安装，而非个人。插件不会运行启动钩子，不会修改你的 shell 配置，也不会发送跟踪标头——该 ID 仅作为参数从本地文件中读取并传递。

**选择退出：**运行 rm ~/.config/tlsradar/install_id。删除该文件后，就不会再发送 ID。

隐私与安全

• 此插件不包含任何令牌或凭据——此仓库中没有任何秘密信息。请参阅 SECURITY.md。
• OAuth 令牌由 Claude Code 的 MCP 客户端管理，而非此插件。
• 证书私钥在本地生成，绝不会发送到任何服务。
• DNS 提供商凭据（CLOUDFLARE_API_TOKEN、AWS CLI）从你的本地环境读取，绝不会发送到 TLS Radar 或 Beacon。
• 匿名安装 ID 会作为工具参数发送，用于使用情况归因；该参数从 ~/.config/tlsradar/install_id 读取（请参阅“配置”以选择退出）。此插件不会修改任何 shell 文件，也不会发送跟踪标头。它用于标识一次安装，而非某个人。
• 撤销访问权限：访问 https://tlsradar.com/oauth/authorized_applications，或在 /mcp 中移除 MCP 服务。
• 访问令牌在 2 小时后过期；刷新令牌每次使用时轮换，最长有效期为 90 天。

目录结构

.
├── README.md                        # this file
├── CLAUDE.md                        # architecture / funnel / contracts (humans + AI agents)
├── CONTRIBUTING.md                  # dev loop + how to add commands
├── CHANGELOG.md                     # version history
├── SECURITY.md                      # reporting + why the plugin holds no secrets
├── LICENSE                          # MIT
├── .claude-plugin/plugin.json       # plugin manifest
├── .claude-plugin/marketplace.json  # self-hosting marketplace entry
├── .mcp.json                        # MCP server config (one remote URL)
├── commands/                        # slash commands (how to add one: CONTRIBUTING.md)
├── skills/                          # NL skill router (with its own README)
├── tools/manifest.json              # single source of truth for tool names
├── scripts/                         # CI guards + tested local helpers (DNS provider, cert CSR/chain)
└── evals/                           # tool-routing evals (prompt → expected tool)

贡献

请先阅读 CONTRIBUTING.md，了解开发流程（所有检查均可离线运行，并使用 python3）。有关架构、漏斗、契约陷阱和发布流程，请阅读 CLAUDE.md——对人类和 AI Agent 都很有帮助。变更记录在 CHANGELOG.md 中。

安全问题报告：[email protected]（请勿通过公开议题提交）——请参阅 SECURITY.md。

许可证

MIT © TLS Radar