MCP-сервер Have I Been Pwned

• Адресhttps://haveibeenpwned.com/mcpнет в официальном реестре: ответил на запрос

Ни одна запись официального реестра MCP не называет этот сервер. Он ответил, когда Атлас запросил haveibeenpwned.com по одному из обычных для MCP-серверов адресов, значит, сервер принадлежит самому вендору. Клиенты и каталоги, которые берут серверы из реестра, его не показывают.

• Состояниеотвечаетпроверено 2026-10-30
• Инструменты17
• Сервер называет себяhibp-mcp-server
• Версия сервера0.0.0
• Версия протокола2025-06-18

2026-10-30 сервер ответил на initialize и tools/list без входа. Первый ответ за 57 мс.

• Инструменты делают все проверенные сценарии: check whether an email address appeared in data breaches; monitor your own domains for breached addresses; check whether passwords appear in known breach dumps.
• Проверок пока 6 из 7, нужных, чтобы судить о надёжности.

Вывод сделан правилами по замерам выше. Вероятный первый вызов выбрала модель по списку инструментов: прочитайте описание, прежде чем на него полагаться.

• Оценка INITE MCPчерез неделюдля оценки нужно 7 ежедневных проверок, пока 6
• Что агент может с ним сделать3 из 3 сценариев
• Отвечалидёт замерпроверок пока 6, долю покажем после 7
• Медиана первого ответа53 мс
• Место в контексте агента≈ 3 823 токеновописания всех инструментов (17), они занимают контекст агента на каждом ходу
• Описания инструментовA · 100 из 100
• Типизированные ответы17 из 17 инструментовобъявлен outputSchema: ответ приходит с типами и читается сразу

• Все инструменты проходят все шесть проверок.

Программа проверяет сервер раз в день: initialize и tools/list, без модели. Токены - это длина описаний из расчёта примерно четыре символа на токен. Оценка - среднее шести проверок имени, описания, схемы и аннотаций каждого инструмента. Она говорит, насколько понятно описаны инструменты, а не о том, работают ли они. Оценка складывается только из замеренного: отвечает ли сервер (25%), делает ли работу продукта (25%), описания (20%), контекст (10%), использование (10%) и насколько просто подключиться (10%). Незамеренная часть не учитывается, а скрытая инструкция ограничивает оценку 40 баллами. Состояние MCP-серверов вендоров: методика и цифры →

• hibp_list_breaches

  List public HIBP breaches, optionally filtered by domain, spam-list flag, and verification status.

• hibp_get_breach

  Look up a single public HIBP breach by its canonical breach name, such as Adobe.

• hibp_get_latest_breach

  Return the most recently added public breach currently loaded into HIBP.

• hibp_list_data_classes

  List the data classes used across public HIBP breach models, such as email addresses or passwords.

• hibp_get_pwned_passwords_range

  Query the public Pwned Passwords k-anonymity API with a 5-character SHA-1 or NTLM prefix and return matching suffixes with prevalence counts.

• hibp_get_breached_account

  Search HIBP for breaches affecting a single email address. Requires an OAuth bearer token linked to an active HIBP API subscription; use domain and verification filters to refine the result.

• hibp_get_breached_account_range

  Query the authenticated HIBP k-anonymity breached-account range endpoint with the first 6 characters of a SHA-1 email hash. Requires a subscription with k-anonymity access; compare each returned suffix with the remaining hash characters…

• hibp_get_paste_account

  Search for public pastes containing a single email address. Requires an OAuth bearer token linked to an active HIBP API subscription; run this separately from breached-account lookup.

• hibp_get_breached_domain

  Return breached aliases for a verified domain. This tool requires an authorized subscription via OAuth bearer token.

• hibp_list_subscribed_domains

  List the domains associated with the authenticated HIBP subscription.

• hibp_get_subscription_status

  Return the current plan, quotas, rate limits, expiry, and feature flags for the active HIBP API subscription linked to the authenticated OAuth connection. Use it to confirm access before feature-dependent lookups.

• hibp_get_stealer_logs_by_email

  Return website domains historically observed in stealer logs for an email address. Requires an OAuth-linked active subscription with the stealer-log feature; results do not establish current account access.

• hibp_get_stealer_logs_by_website_domain

  Return email addresses historically observed in stealer logs for a website domain. Requires an OAuth-linked active subscription with the stealer-log feature; results do not establish current account access.

• hibp_get_stealer_logs_by_email_domain

  Return email aliases and associated website domains historically observed in stealer logs for an email domain. Requires an OAuth-linked active subscription with the stealer-log feature; results do not establish current account access.

• hibp_generate_domain_verification_dns_token

  Generate the TXT record value required to verify domain control via DNS, creating or reusing the private HIBP domain-verification records needed for the request. Requires an authenticated subscription with domain-verification access.

• hibp_verify_domain_verification_dns_token

  Complete domain verification by checking the expected HIBP TXT record on the target domain. Requires an authenticated subscription with domain-verification access.

• hibp_send_domain_verification_email

  Send a domain verification email to an approved alias such as admin or security. Requires an authenticated subscription with domain-verification access.