MCP Scan: escáner de higiene de servidores MCP
Explora un directorio público de puntuaciones de higiene de servidores MCP; escanear tu propio servidor es parte de Pro.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
MCP Scan es un explorador público, alimentado desde el registro oficial de MCP, con las puntuaciones de higiene de servidores MCP. Explorar, filtrar y ver las páginas de detalle es gratis, sin registro ni clave de API: todos los servidores de la página ya se han escaneado. Escanear tu propio servidor o descubrir los servidores MCP de un dominio forma parte de PlayCISO Pro (desde 5 USD al mes). Cada escaneo hace un único handshake MCP estándar (initialize, tools/list, resources/list, prompts/list), las mismas llamadas de descubrimiento que hace cualquier cliente MCP al conectarse por primera vez, y comprueba la respuesta con 27 reglas deterministas: falta de autenticación, herramientas de alto impacto expuestas sin autenticación, patrones de inyección de prompts en las descripciones de las herramientas, HTTP sin cifrar en lugar de HTTPS, CORS comodín, falta de información de versión, esquemas de entrada sin restricciones y más. Nunca explota ni ataca el servidor: nunca llama a una herramienta ni envía argumentos adversarios. El explorador público muestra la categoría y la severidad, no los detalles para reproducir el fallo, para que la clasificación no sirva de lista de objetivos.
- Explora el directorio público y filtra los servidores por puntuación o hallazgos.
- Abre la página de detalle de un servidor para ver la categoría y la severidad de cada hallazgo.
- Con Pro, escanea tu propio servidor o descubre los servidores MCP de un dominio.
- Verifica la propiedad desde la página de detalle para controlar tu ficha y ver la evidencia completa de tu servidor.
Preguntas frecuentes
¿Explorar el directorio es gratis?
Sí: sin registro y sin clave de API. Todos los servidores de esta página ya se han escaneado; explorar, filtrar y ver las páginas de detalle es gratis.
¿Ejecutar un escaneo nuevo es gratis?
Pasar tu propio servidor por un escaneo, o descubrir los servidores MCP de un dominio, forma parte de PlayCISO Pro (desde 5 USD al mes).
¿Explota o ataca el servidor?
No. Realiza exactamente un handshake MCP estándar (initialize, tools/list, resources/list, prompts/list), las mismas llamadas de descubrimiento que hace cualquier cliente MCP en su primera conexión. Nunca llama a una herramienta, nunca envía argumentos adversarios y nunca reintenta con entradas distintas. Lee lo que el servidor anuncia, no lo que hace cuando se le ordena actuar.
¿Cómo se calcula la puntuación?
Una tabla de reglas fija y versionada comprueba la respuesta del handshake con 27 reglas deterministas: falta de autenticación, nombres de herramientas de alto impacto expuestos sin autenticación, patrones de inyección de prompts en las descripciones de las herramientas, HTTP sin cifrar en lugar de HTTPS, CORS comodín, falta de información de versión, esquemas de entrada sin restricciones y más. Cada regla es una coincidencia de patrones, no un juicio de una IA, así que el mismo handshake siempre vuelve a puntuarse igual.
¿Por qué no veo la herramienta o el parámetro vulnerable exactos?
Por diseño. El explorador público muestra la categoría y la severidad, no los detalles para reproducir el fallo, para que la clasificación no sirva también de lista de objetivos para atacantes oportunistas. Un propietario verificado y de pago puede desbloquear la evidencia completa de petición y respuesta de su propio servidor.
¿De dónde salen los servidores que vienen del registro?
Del registro oficial de MCP (registry.modelcontextprotocol.io), donde los operadores de servidores publican sus propias fichas precisamente para que los clientes MCP los descubran y se conecten a ellos. Un handshake estándar contra un endpoint autopublicado y listado públicamente es justo para lo que existe el registro.
¿Puedo pedir que se elimine o se vuelva a puntuar mi servidor?
Sí: verifica la propiedad desde la página de detalle del servidor para controlar tu ficha, o contacta con PlayCISO para solicitar su eliminación.