MCP-сервер Secscan

• Имя в реестреus.secscan/secscanподтверждён в реестре MCP

Имя в реестре лежит в пространстве secscan.us. Реестр пускает в такое пространство только того, кто доказал владение доменом через DNS или HTTP.

• Состояниеотвечаетпроверено 2026-10-26
• Инструменты12
• Сервер называет себяsecscan
• Версия сервера1.1.0
• Версия протокола2025-06-18

2026-10-26 сервер ответил на initialize и tools/list без входа. Первый ответ за 46 мс.

• Делают ли инструменты работу продукта, ещё не проверено.
• Проверок пока 1 из 7, нужных, чтобы судить о надёжности.

Вывод сделан правилами по замерам выше. Вероятный первый вызов выбрала модель по списку инструментов: прочитайте описание, прежде чем на него полагаться.

• Оценка INITE MCPчерез неделюдля оценки нужно 7 ежедневных проверок, пока 1
• Отвечалидёт замерпроверок пока 1, долю покажем после 7
• Медиана первого ответа108 мс
• Место в контексте агента≈ 1 726 токеновописания всех инструментов (12), они занимают контекст агента на каждом ходу
• Описания инструментовA · 92 из 100
• Типизированные ответы0 из 12 инструментовобъявлен outputSchema: ответ приходит с типами и читается сразу

• Параметры без описания: в 1 из 12
• Не сказано, только читает инструмент или может удалять: 5 из 12

Программа проверяет сервер раз в день: initialize и tools/list, без модели. Токены - это длина описаний из расчёта примерно четыре символа на токен. Оценка - среднее шести проверок имени, описания, схемы и аннотаций каждого инструмента. Она говорит, насколько понятно описаны инструменты, а не о том, работают ли они. Оценка складывается только из замеренного: отвечает ли сервер (25%), делает ли работу продукта (25%), описания (20%), контекст (10%), использование (10%) и насколько просто подключиться (10%). Незамеренная часть не учитывается, а скрытая инструкция ограничивает оценку 40 баллами. Состояние MCP-серверов вендоров: методика и цифры →

• scan_url

  Start a SecScan security scan of a web application the user owns or is authorised to test. Returns a scan_id; most scans finish in under a minute — then call get_scan_status with wait_seconds, or get_report. Active tests (injection, XSS…

• get_scan_status

  Status of a scan (queued, scanning, analyzing, complete, failed). With wait_seconds (max 60) it waits for the scan to finish and returns the full report as soon as it does.

• get_report

  The finished report for a scan: grade, what the scan tested and what it skipped (a clean grade says nothing about skipped areas, so say so), prioritised findings with fixes and evidence, and a fix prompt written for the user's AI editor…

• list_recent_scans

  The user's most recent scans with their status, newest first.

• list_verified_domains

  Domains the user has proved they own. Only these receive active testing (injection, XSS, SSRF, access control); others get passive checks. Verify more at https://secscan.us/domains.

• get_account

  How many scans the user can still run — free scans, plan scans and credits — and their plan. Check this before starting several scans.

• start_domain_verification

  Begin proving the user owns a domain, which unlocks active tests (injection, XSS, SSRF, access control) on its scans. Returns a file to publish on the site, or a DNS TXT record — an editor can usually add the file to the codebase and…

• check_domain_verification

  Check whether the file or DNS record from start_domain_verification is live. On success the domain is verified and its next scan includes active tests. DNS changes can take a few minutes.

• list_monitors

  Sites under continuous monitoring: latest grade, last and next scan, uptime check, CVE alerts, new problems in the last scan and certificate expiry. Use the monitor id with monitor_scan_now.

• add_monitor

  Put a site the user owns under continuous monitoring: hourly uptime checks, CVE matching, certificate alerts and regular rescans. Runs a full baseline scan straight away, which uses one of the user's scans exactly as in the app (free for…

• monitor_scan_now

  Run a full scan of a monitored site now instead of waiting for its schedule — e.g. to confirm a fix. Free for plan holders; otherwise uses one of the user's scans, as in the app. Takes the monitor id from list_monitors.

• dismiss_finding

  Mark a finding as a false positive for this site, so future scans of it stop reporting it — the same as Dismiss in the app, and undoable there. ONLY use this after the user has confirmed the finding is wrong; never dismiss a real problem…