MCPのLighthouse。** MCP サーバーで mcpscore をポイントし、スコアをプラス 修正するリスト、そのソースに引用された各発見: MCP 仕様、 RFC、MCP レジストリスキーマ、または記載されたベストプラクティス。

行方不明のツールタイトル、スタイルプロトコルバージョン、または受け入れるエンドポイント [Origin] はサーバーをクラッシュしません。 エージェントが間違ったツールを選ぶようにします。 または悪意のあるWebページがサーバーに話せるようにします。 mcpscore は前にそれらを見つける ユーザが行う。 APIキーとサインアップは必要ありません。

ドキュメント: docs.mcpscore.dev

インストール

uvでは、uvx mcpscoreはインストールせずに実行します。 Node ユーザーは実行できます [[PATH] の uv または pipx で [npx @mcp-box/mcpscore]; npm パッケージの起動 このPythonエンジン(npm setup)。

最初のサーバーを監査する

です。 サーバはスコアを持っています。

各 ✅ または 〇 は 1 つのルールです。 1 つのチェックは [security_origin_validation] のように、 渡されたか、または失敗しました。 [Fix:]行を全て実行します。 [96/114]はサーバーを意味します 114点の96点を獲得し、そのルールを付与することができます。 申請できないルール このサーバは、114 のサーバーをスキップして残っているので、サーバーは決して 持っていない機能のために罰せられる。

マシン上のサーバーを監査する

mcpscore

Lighthouse for MCP. Point mcpscore at an MCP server and get a score plus a list of what to fix, each finding cited to its source: the MCP spec, an RFC, the MCP Registry schema, or a stated best practice.

A missing tool title, a stale protocol version, or an endpoint that accepts any Origin never crashes your server. It makes agents pick the wrong tool, or lets a malicious web page talk to your server. mcpscore finds those before your users do. It is deterministic and needs no API key and no sign-up.

Documentation: docs.mcpscore.dev

Install

pip install mcpscore

With uv, uvx mcpscore runs it without installing. Node users can run npx @mcp-box/mcpscore with uv or pipx on PATH; the npm package launches this Python engine (npm setup).

Audit your first server

mcpscore https://mcp.deepwiki.com/mcp

Welcome to mcpscore!
Successfully connected to MCP server via Streamable HTTP: https://mcp.deepwiki.com/mcp
Transport: streamable-http
Starting the audit...
✅ Protocol version "2025-11-25" is one of the allowed versions.
❌ Server title is not present in server info. This is an optional quality recommendation. First affected field: server "/serverInfo/title".
  Fix: Add a human-readable serverInfo.title so clients can display a recognizable server name.
✅ Server uses HTTPS with valid TLS (TLSv1.3).
❌ Streamable HTTP does not reject an invalid foreign Origin with HTTP 403, risking DNS rebinding. Observed HTTP status: 200.
  Fix: Validate supplied Origin headers against the origins allowed for this endpoint. Return HTTP 403 for invalid origins; do not allow every origin to satisfy browser requests.
...
Audit finished. Final score: 96/114
Spec: 2025-11-25 negotiated (latest: 2026-07-28) · era: legacy
Readiness for MCP 2026-07-28: 3/13 (informative — not part of the main score; 4 of 21 checks assessed)

That’s it. The server has a score.

Each ✅ or ❌ is one rule: one check, like security_origin_validation, that passed or failed. Every ❌ carries a Fix: line. 96/114 means the server earned 96 of the 114 points its rules can award. Rules that cannot apply to this server are skipped and left out of the 114, so a server is never penalized for a feature it does not have.

Audit a server on your machine