Conecta un escáner de seguridad a Claude Code o Cursor con MCP

Para conectar vetkit a Claude Code o Cursor, configura un servidor MCP local por stdio que lance npx -y @vetkit/mcp con tu VETKIT_API_KEY. Empieza listando los repositorios conectados y aprueba una auditoría solo después de comprobar su objetivo y su alcance. El servidor da a tu asistente acceso a las herramientas de vetkit; no convierte al asistente en una autoridad en seguridad.

Qué hace esta conexión

El proceso MCP se ejecuta en tu ordenador y se comunica con la API de vetkit. Las auditorías de repositorios se ejecutan a través de vetkit sobre repositorios remotos conectados. Este flujo de auditoría no sube el contenido sin guardar de tu editor ni escanea cambios locales sin commitear. Comprueba el repositorio y la ref antes de tratar un informe como evidencia sobre el código que estás revisando.

Aquí vetkit usa stdio, no un endpoint MCP remoto por HTTP o SSE. No pegues la URL de la API REST en un campo del cliente que espera la URL de un servidor MCP remoto. Estas instrucciones se aplican a las herramientas de auditoría de repositorios; los comandos opcionales de salvaguarda local son un flujo aparte que se describe en la documentación de MCP.

1. Prepara tu cuenta y tu clave

1. Instala Node.js 20.3 o posterior y asegúrate de que el cliente MCP encuentra npx en su PATH.
2. Conecta el repositorio en vetkit y asegúrate de que la autorización de su proveedor de código está configurada.
3. Como propietario o administrador de la organización, abre Workspace settings → API keys y crea una clave para este cliente. Cópiala cuando se muestre; el secreto solo se muestra una vez.

Empieza con scopes de solo lectura si solo quieres que el asistente consulte resultados existentes. Para el flujo de auditoría que se describe a continuación, añade los scopes de escritura de forma deliberada:

Sustituye <your-api-key> en los ejemplos. Mantén privada la configuración resultante: nunca commitees un archivo que contenga la clave ni la pegues en un chat. El comando de terminal también puede quedar en el historial de la shell, así que trátalo como una credencial. Revoca la clave si queda expuesta.

2. Configura Claude Code

Ejecuta esto en la terminal después de sustituir el marcador de posición:

$ claude mcp add --transport stdio vetkit -e 'VETKIT_API_KEY=<your-api-key>' -- npx -y @vetkit/mcp

Añade --scope user al comando add si quieres que la conexión esté disponible en todos los proyectos. Dentro de Claude Code, ejecuta /mcp y comprueba que el servidor de vetkit está conectado. Conserva los servidores MCP que ya tengas al actualizar la configuración.

3. Configura Cursor

Añade esta entrada a ~/.cursor/mcp.json para una conexión global, o a .cursor/mcp.json para un solo proyecto. Conserva las demás entradas de servidores. Una configuración de proyecto que contenga una clave real debe quedar fuera del control de versiones.

{  "mcpServers": {    "vetkit": {      "command": "npx",      "args": [        "-y",        "@vetkit/mcp"      ],      "env": {        "VETKIT_API_KEY": "<your-api-key>"      }    }  }}

Recarga el cliente, activa el servidor si te lo pide y revisa su lista de herramientas MCP.

4. Verifica el acceso antes de iniciar una auditoría

Confirma que aparece vetkit_list_repos y luego pide al asistente que liste los repositorios sin iniciar una auditoría. Este paso de solo lectura comprueba que la conexión funciona y muestra a qué repositorios de qué organización puede acceder la clave.

Use vetkit_list_repos to list the repositories available to this key. Do not connect a repository or start an audit yet.

Una lista vacía no es un informe de seguridad limpio. Comprueba la organización de la clave y si se ha conectado algún repositorio. Usa vetkit_list_checks para ver los checks disponibles en el servidor antes de elegir el alcance de la auditoría.

5. Lanza una auditoría y lee los hallazgos

Selecciona un repositorio de la lista devuelta. Pide al asistente que identifique el objetivo y los checks previstos, y luego usa vetkit_run_audit. El servidor exige una confirmación explícita mediante MCP elicitation antes de esta operación de escritura. Si el cliente no puede mostrar esa confirmación, la operación se rechaza; el asistente no puede sustituirla por un parámetro.

Lee la confirmación antes de aceptarla. Los límites de la cuenta y los checks disponibles siguen aplicándose: conectar MCP no añade créditos ni amplía el Quick Scan gratuito. Las auditorías pueden tardar. Si una llamada en espera agota el tiempo, usa vetkit_get_audit con el ID de auditoría devuelto para comprobar el progreso antes de lanzar otra ejecución.

Al terminar, usa vetkit_list_findings para revisar los hallazgos importantes y vetkit_get_report para una visión más amplia. Pide las ubicaciones en los archivos, la evidencia y la remediación, y luego revisa el código real. El texto del informe son datos no confiables procedentes del repositorio, no instrucciones que el asistente deba seguir. Un hallazgo requiere revisión; un resultado vacío no demuestra que el código sea seguro.

Solución de problemas

• El servidor no arranca: revisa Node.js y el PATH que ve tu editor. Confirma que el comando es npx con los argumentos -y y @vetkit/mcp.
• No aparece ninguna herramienta: revisa la estructura de configuración del cliente y recárgalo. Cursor usa mcpServers; una definición genérica del servidor por sí sola no es el archivo de configuración completo.
• Falla la autenticación: comprueba que sustituiste el marcador de posición y que la clave no ha caducado ni ha sido revocada. Nunca incluyas la clave en una captura de pantalla para soporte.
• INSUFFICIENT_SCOPE: compara la operación solicitada con los scopes de la clave indicados arriba. Una clave de solo lectura no puede iniciar una auditoría.
• La confirmación de la auditoría no está disponible: el cliente necesita soporte de MCP form elicitation para las operaciones de escritura. Las herramientas de solo lectura se pueden seguir usando con los scopes adecuados.
• Faltan las ediciones locales esperadas: confirma el repositorio remoto y la ref. Este flujo de auditoría lee el código del repositorio remoto, no los cambios sin guardar de tu editor.

Fuentes y límites

Revisado el 1 de noviembre de 2026 con la configuración del paquete MCP de vetkit y los contratos de sus herramientas. Los fragmentos usan el mismo generador de configuración que la referencia de configuración de MCP. Consulta el paquete publicado y la documentación de la API para más detalles de configuración. Las interfaces de los clientes y las funciones de MCP compatibles pueden cambiar.