Connecter un scanner de sécurité à Claude Code ou Cursor avec MCP

Pour connecter vetkit à Claude Code ou Cursor, configurez un serveur MCP stdio local qui lance npx -y @vetkit/mcp avec votre VETKIT_API_KEY. Commencez par lister les dépôts connectés, puis n’approuvez un audit qu’après avoir vérifié sa cible et son périmètre. Le serveur donne à votre assistant l’accès aux outils vetkit ; il ne fait pas de l’assistant une autorité en matière de sécurité.

Ce que fait cette connexion

Le processus MCP tourne sur votre ordinateur et communique avec l’API vetkit. Les audits de dépôt sont exécutés par vetkit sur des dépôts distants connectés. Ce workflow d’audit n’envoie pas le contenu non enregistré de votre éditeur et n’analyse pas les modifications locales non commitées. Vérifiez le dépôt et la ref avant de considérer un rapport comme une preuve concernant le code que vous relisez.

vetkit utilise ici stdio, et non un endpoint MCP distant en HTTP ou SSE. Ne collez pas l’URL de l’API REST dans un champ du client qui attend l’URL d’un serveur MCP distant. Ces instructions s’appliquent aux outils d’audit de dépôt ; les commandes facultatives de garde-fous locaux relèvent d’un workflow distinct, décrit dans la documentation MCP.

1. Préparer votre compte et votre clé

1. Installez Node.js 20.3 ou une version plus récente et assurez-vous que le client MCP trouve npx dans son PATH.
2. Connectez le dépôt dans vetkit et assurez-vous que l’autorisation auprès de son fournisseur de code source est en place.
3. En tant que propriétaire ou administrateur de l’organisation, ouvrez Paramètres de l’espace de travail → Clés d’API et créez une clé pour ce client. Copiez-la quand elle s’affiche : le secret n’est montré qu’une seule fois.

Commencez avec des scopes en lecture seule si vous voulez seulement que l’assistant consulte des résultats existants. Pour le workflow d’audit ci-dessous, ajoutez sciemment les scopes en écriture :

Remplacez <your-api-key> dans les exemples. Gardez la configuration obtenue confidentielle : ne commitez jamais un fichier contenant la clé et ne la collez jamais dans un chat. La commande de terminal peut aussi se retrouver dans l’historique du shell ; traitez-la donc comme un identifiant. Révoquez la clé si elle a été exposée.

2. Configurer Claude Code

Exécutez ceci dans le terminal après avoir remplacé le placeholder :

$ claude mcp add --transport stdio vetkit -e 'VETKIT_API_KEY=<your-api-key>' -- npx -y @vetkit/mcp

Ajoutez --scope user à la commande add si vous voulez que la connexion soit disponible dans tous vos projets. Dans Claude Code, exécutez /mcp et vérifiez que le serveur vetkit est connecté. Conservez les serveurs MCP existants lorsque vous mettez à jour la configuration.

3. Configurer Cursor

Fusionnez cette entrée dans ~/.cursor/mcp.json pour une connexion globale, ou dans .cursor/mcp.json pour un seul projet. Conservez les autres entrées de serveurs. Une configuration de projet contenant une vraie clé doit rester hors du contrôle de version.

{  "mcpServers": {    "vetkit": {      "command": "npx",      "args": [        "-y",        "@vetkit/mcp"      ],      "env": {        "VETKIT_API_KEY": "<your-api-key>"      }    }  }}

Rechargez le client, activez le serveur si on vous le demande et vérifiez sa liste d’outils MCP.

4. Vérifier l’accès avant de lancer un audit

Vérifiez que vetkit_list_repos apparaît, puis demandez à l’assistant de lister les dépôts sans lancer d’audit. Cette étape en lecture seule confirme que la connexion fonctionne et montre à quels dépôts de quelle organisation la clé donne accès.

Use vetkit_list_repos to list the repositories available to this key. Do not connect a repository or start an audit yet.

Une liste vide n’est pas un rapport de sécurité sans problème. Vérifiez l’organisation de la clé et si un dépôt a bien été connecté. Utilisez vetkit_list_checks pour consulter les contrôles disponibles sur le serveur avant de choisir le périmètre de l’audit.

5. Lancer un audit et lire les résultats

Choisissez un dépôt dans la liste renvoyée. Demandez à l’assistant d’identifier la cible et les contrôles prévus, puis d’utiliser vetkit_run_audit. Le serveur exige une confirmation explicite via l’elicitation MCP avant cette opération d’écriture. Si le client ne peut pas présenter cette confirmation, l’opération est refusée ; l’assistant ne peut pas la remplacer par un paramètre.

Lisez la confirmation avant de l’accepter. Les limites de votre compte et les contrôles disponibles s’appliquent toujours : connecter MCP n’ajoute pas de crédits et n’étend pas le Quick Scan gratuit. Les audits peuvent prendre du temps. Si un appel en attente expire, utilisez vetkit_get_audit avec l’identifiant d’audit renvoyé pour suivre la progression avant d’en lancer un autre.

Une fois l’audit terminé, utilisez vetkit_list_findings pour examiner les résultats importants et vetkit_get_report pour une vue d’ensemble. Demandez les emplacements dans les fichiers, les éléments de preuve et les corrections, puis relisez le code lui-même. Le texte du rapport est une donnée non fiable issue du dépôt, pas une instruction que l’assistant doit suivre. Un résultat doit être examiné ; un résultat vide ne prouve pas que le code est sûr.

Dépannage

• Le serveur ne démarre pas : vérifiez Node.js et le PATH visible par votre éditeur. Assurez-vous que la commande est npx avec les arguments -y et @vetkit/mcp.
• Aucun outil n’apparaît : vérifiez la structure englobante de la configuration du client et rechargez-le. Cursor utilise mcpServers ; une définition de serveur générique ne constitue pas à elle seule tout le fichier de configuration.
• L’authentification échoue : vérifiez que le placeholder a bien été remplacé et que la clé n’a pas expiré ni été révoquée. N’incluez jamais la clé dans une capture d’écran envoyée au support.
• INSUFFICIENT_SCOPE : comparez l’opération demandée avec les scopes de clé ci-dessus. Une clé en lecture seule ne peut pas lancer d’audit.
• La confirmation d’audit n’est pas disponible : le client doit prendre en charge l’elicitation de formulaires MCP pour les opérations d’écriture. Les outils en lecture seule restent utilisables avec les scopes adéquats.
• Les modifications locales attendues sont absentes : vérifiez le dépôt distant et la ref. Ce workflow d’audit lit le code du dépôt distant, pas les modifications non enregistrées de votre éditeur.

Sources et limites

Vérifié le 1er novembre 2026 par rapport à la configuration du paquet MCP de vetkit et aux contrats de ses outils. Les extraits utilisent le même générateur de configuration que la référence de configuration MCP. Consultez le paquet publié et la documentation de l’API pour plus de détails sur la configuration. Les interfaces des clients et les fonctionnalités MCP prises en charge peuvent évoluer.