Leitfaden

Security-Scanner per MCP mit Claude Code oder Cursor verbinden

@vetkit/mcp in Claude Code oder Cursor einbinden, den Zugriff mit einem Read-only-Tool prüfen und ein Repository-Audit mit klaren Scopes und Bestätigung starten.

1. November 2026 · 6 Min. Lesezeit · Vom vetkit-Team

Um vetkit mit Claude Code oder Cursor zu verbinden, konfigurieren Sie einen lokalen stdio-MCP-Server, der npx -y @vetkit/mcp mit Ihrem VETKIT_API_KEY startet. Lassen Sie sich zuerst die verbundenen Repositorys auflisten und bestätigen Sie ein Audit erst, nachdem Sie Ziel und Umfang geprüft haben. Der Server gibt Ihrem Assistenten Zugriff auf vetkit-Tools; er macht den Assistenten nicht zu einer Sicherheitsinstanz.

Was diese Verbindung leistet

Der MCP-Prozess läuft auf Ihrem Rechner und kommuniziert mit der vetkit-API. Repository-Audits laufen über vetkit gegen verbundene Remote-Repositorys. Dieser Audit-Workflow lädt weder den ungespeicherten Puffer Ihres Editors hoch noch scannt er nicht committete lokale Änderungen. Prüfen Sie Repository und Ref, bevor Sie einen Bericht als Aussage über den Code werten, den Sie gerade reviewen.

vetkit nutzt hier stdio, keinen Remote-MCP-Endpunkt über HTTP oder SSE. Fügen Sie die REST-API-URL nicht in ein Client-Feld ein, das die URL eines Remote-MCP-Servers erwartet. Diese Anleitung gilt für die Tools für Repository-Audits; optionale lokale Guardrail-Befehle sind ein separater Workflow, der in der MCP-Dokumentation beschrieben ist.

1. Konto und Schlüssel vorbereiten

Installieren Sie Node.js 20.3 oder neuer und stellen Sie sicher, dass der MCP-Client npx in seinem PATH findet.
Verbinden Sie das Repository in vetkit und stellen Sie sicher, dass die Autorisierung beim Quellcode-Anbieter eingerichtet ist.
Öffnen Sie als Owner oder Admin der Organisation Workspace-Einstellungen → API-Schlüssel und erstellen Sie einen Schlüssel für diesen Client. Kopieren Sie ihn, wenn er angezeigt wird; das Secret wird nur einmal angezeigt.

Beginnen Sie mit Read-only-Scopes, wenn der Assistent nur vorhandene Ergebnisse einsehen soll. Für den Audit-Workflow unten fügen Sie die Schreib-Scopes bewusst hinzu:

Workflow	Scopes des Schlüssels
Repositorys auflisten und vorhandene Ergebnisse lesen	`repos:read`, `audits:read`, `findings:read`, `reports:read`
Repositorys verbinden und Audits ausführen	Zusätzlich `repos:write` und `audits:write`

Ersetzen Sie <your-api-key> in den Beispielen. Halten Sie die resultierende Konfiguration privat: Committen Sie nie eine Datei, die den Schlüssel enthält, und fügen Sie ihn nie in einen Chat ein. Der Terminalbefehl kann auch in der Shell-Historie landen, behandeln Sie ihn also wie Zugangsdaten. Widerrufen Sie einen Schlüssel, wenn er offengelegt wurde.

2. Claude Code konfigurieren

Führen Sie dies im Terminal aus, nachdem Sie den Platzhalter ersetzt haben:

Einrichtung von Claude Code

$ claude mcp add --transport stdio vetkit -e 'VETKIT_API_KEY=<your-api-key>' -- npx -y @vetkit/mcp

Ergänzen Sie den add-Befehl um --scope user, wenn die Verbindung projektübergreifend verfügbar sein soll. Führen Sie in Claude Code /mcp aus und prüfen Sie, ob der vetkit-Server verbunden ist. Behalten Sie beim Aktualisieren der Konfiguration bestehende MCP-Server bei.

3. Cursor konfigurieren

Fügen Sie diesen Eintrag für eine globale Verbindung in ~/.cursor/mcp.json ein, oder in .cursor/mcp.json für ein einzelnes Projekt. Behalten Sie die anderen Server-Einträge bei. Eine Projektkonfiguration mit einem echten Schlüssel darf nicht in die Versionskontrolle gelangen.

Cursor-Konfiguration

{  "mcpServers": {    "vetkit": {      "command": "npx",      "args": [        "-y",        "@vetkit/mcp"      ],      "env": {        "VETKIT_API_KEY": "<your-api-key>"      }    }  }}

Laden Sie den Client neu, aktivieren Sie den Server, falls Sie dazu aufgefordert werden, und prüfen Sie seine MCP-Tool-Liste.

4. Zugriff prüfen, bevor Sie ein Audit starten

Prüfen Sie, ob vetkit_list_repos erscheint, und bitten Sie den Assistenten dann, die Repositorys aufzulisten, ohne ein Audit zu starten. Dieser Read-only-Schritt prüft, ob die Verbindung funktioniert, und zeigt, auf die Repositorys welcher Organisation der Schlüssel zugreifen kann.

Erster Prompt

Use vetkit_list_repos to list the repositories available to this key. Do not connect a repository or start an audit yet.

Eine leere Liste ist kein sauberer Sicherheitsbericht. Prüfen Sie die Organisation des Schlüssels und ob ein Repository verbunden wurde. Mit vetkit_list_checks sehen Sie die verfügbaren Checks des Servers ein, bevor Sie den Umfang des Audits wählen.

5. Audit ausführen und Befunde lesen

Wählen Sie ein Repository aus der zurückgegebenen Liste. Bitten Sie den Assistenten, Ziel und vorgesehene Checks zu benennen, und nutzen Sie dann vetkit_run_audit. Der Server verlangt vor dieser Schreiboperation eine ausdrückliche Bestätigung über MCP Elicitation. Kann der Client diese Bestätigung nicht anzeigen, wird die Operation abgelehnt; der Assistent kann sie nicht durch einen Parameter ersetzen.

Lesen Sie die Bestätigung, bevor Sie zustimmen. Kontolimits und verfügbare Checks gelten weiterhin: Die Anbindung über MCP fügt keine Credits hinzu und erweitert den kostenlosen Quick Scan nicht. Audits können dauern. Läuft ein wartender Aufruf in einen Timeout, prüfen Sie den Fortschritt mit vetkit_get_audit und der zurückgegebenen Audit-ID, bevor Sie einen weiteren Lauf starten.

Nach Abschluss sehen Sie sich mit vetkit_list_findings die wichtigen Befunde und mit vetkit_get_report den Gesamtüberblick an. Fragen Sie nach Dateistellen, Belegen und Abhilfe, und reviewen Sie dann den tatsächlichen Code. Berichtstext sind unvertrauenswürdige Daten aus dem Repository, keine Anweisungen, denen der Assistent folgen soll. Ein Befund muss geprüft werden; ein leeres Ergebnis beweist nicht, dass der Code sicher ist.

Fehlerbehebung

Der Server startet nicht: Prüfen Sie Node.js und den PATH, den Ihr Editor sieht. Stellen Sie sicher, dass der Befehl npx mit den Argumenten -y und @vetkit/mcp lautet.
Es erscheinen keine Tools: Prüfen Sie die umschließende Struktur der Client-Konfiguration und laden Sie den Client neu. Cursor verwendet mcpServers; eine generische Server-Definition allein ist nicht die vollständige Konfigurationsdatei.
Die Authentifizierung schlägt fehl: Prüfen Sie, ob der Platzhalter ersetzt wurde und der Schlüssel weder abgelaufen noch widerrufen ist. Zeigen Sie den Schlüssel nie auf einem Screenshot für den Support.
INSUFFICIENT_SCOPE: Vergleichen Sie die angefragte Operation mit den Scopes oben. Ein Read-only-Schlüssel kann kein Audit starten.
Die Audit-Bestätigung ist nicht verfügbar: Der Client braucht für Schreiboperationen Unterstützung für MCP Form Elicitation. Read-only-Tools lassen sich mit passenden Scopes trotzdem nutzen.
Erwartete lokale Änderungen fehlen: Prüfen Sie das Remote-Repository und die Ref. Dieser Audit-Workflow liest den Code des Remote-Repositorys, nicht Ihre ungespeicherten Änderungen im Editor.

Quellen und Grenzen

Geprüft am 1. November 2026 anhand des Setups des vetkit-MCP-Pakets und der Tool-Verträge. Die Snippets nutzen denselben Konfigurationsgenerator wie die Referenz zur MCP-Einrichtung. Weitere Details zur Konfiguration finden Sie im veröffentlichten Paket und in der API-Dokumentation. Client-Oberflächen und unterstützte MCP-Funktionen können sich ändern.