Guida

Collegare uno scanner di sicurezza a Claude Code o Cursor con MCP

Collega @vetkit/mcp a Claude Code o Cursor, verifica l’accesso con un tool di sola lettura ed esegui un audit del repository con scope espliciti e conferma.

1 novembre 2026 · 6 min di lettura · A cura del team vetkit

Per collegare vetkit a Claude Code o Cursor, configura un server MCP locale stdio che avvia npx -y @vetkit/mcp con la tua VETKIT_API_KEY. Inizia elencando i repository collegati, poi approva un audit solo dopo averne controllato destinazione e scope. Il server dà al tuo assistente accesso ai tool di vetkit; non trasforma l’assistente in un’autorità in materia di sicurezza.

Cosa fa questo collegamento

Il processo MCP gira sul tuo computer e comunica con l’API di vetkit. Gli audit dei repository vengono eseguiti da vetkit sui repository remoti collegati. Questo flusso di audit non carica il buffer non salvato del tuo editor e non scansiona le modifiche locali non committate. Controlla repository e ref prima di considerare un report come prova sul codice che stai rivedendo.

Qui vetkit usa stdio, non un endpoint MCP remoto HTTP o SSE. Non incollare l’URL della REST API in un campo del client che si aspetta l’URL di un server MCP remoto. Queste istruzioni valgono per i tool di audit del repository; i comandi opzionali di guardrail locali sono un flusso separato, descritto nella documentazione MCP.

1. Prepara account e chiave

Installa Node.js 20.3 o successivo e assicurati che il client MCP trovi npx nel suo PATH.
Collega il repository in vetkit e verifica che l’autorizzazione del provider del codice sorgente sia attiva.
Come owner o admin dell’organizzazione, apri Impostazioni workspace → Chiavi API e crea una chiave per questo client. Copiala quando viene mostrata: il segreto viene visualizzato una sola volta.

Parti da scope di sola lettura se vuoi solo che l’assistente esamini i risultati esistenti. Per il flusso di audit descritto sotto, aggiungi gli scope di scrittura in modo consapevole:

Flusso	Scope della chiave
Elencare i repository e leggere i risultati esistenti	`repos:read`, `audits:read`, `findings:read`, `reports:read`
Collegare repository ed eseguire audit	Aggiungi `repos:write` e `audits:write`

Sostituisci <your-api-key> negli esempi. Mantieni privata la configurazione risultante: non committare mai un file che contiene la chiave e non incollarla in una chat. Il comando da terminale può anche finire nella cronologia della shell, quindi trattalo come una credenziale. Revoca la chiave se viene esposta.

2. Configura Claude Code

Esegui questo comando nel terminale dopo aver sostituito il segnaposto:

Configurazione di Claude Code

$ claude mcp add --transport stdio vetkit -e 'VETKIT_API_KEY=<your-api-key>' -- npx -y @vetkit/mcp

Aggiungi --scope user al comando add se vuoi che il collegamento sia disponibile in tutti i progetti. In Claude Code, esegui /mcp e verifica che il server vetkit risulti connesso. Quando aggiorni la configurazione, mantieni gli eventuali server MCP già presenti.

3. Configura Cursor

Unisci questa voce a ~/.cursor/mcp.json per un collegamento globale, oppure a .cursor/mcp.json per un singolo progetto. Conserva le altre voci dei server. Una configurazione di progetto che contiene una chiave reale deve restare fuori dal controllo di versione.

Configurazione di Cursor

{  "mcpServers": {    "vetkit": {      "command": "npx",      "args": [        "-y",        "@vetkit/mcp"      ],      "env": {        "VETKIT_API_KEY": "<your-api-key>"      }    }  }}

Ricarica il client, abilita il server se richiesto e controlla l’elenco dei suoi tool MCP.

4. Verifica l’accesso prima di avviare un audit

Verifica che compaia vetkit_list_repos, poi chiedi all’assistente di elencare i repository senza avviare un audit. Questo passaggio di sola lettura controlla che il collegamento funzioni e mostra a quali repository di quale organizzazione la chiave può accedere.

Primo prompt

Use vetkit_list_repos to list the repositories available to this key. Do not connect a repository or start an audit yet.

Un elenco vuoto non è un report di sicurezza pulito. Controlla l’organizzazione della chiave e se è stato collegato un repository. Usa vetkit_list_checks per esaminare i controlli disponibili sul server prima di scegliere lo scope dell’audit.

5. Esegui un audit e leggi i risultati

Seleziona un repository dall’elenco restituito. Chiedi all’assistente di indicare la destinazione e i controlli previsti, poi usa vetkit_run_audit. Il server richiede una conferma esplicita tramite MCP elicitation prima di questa operazione di scrittura. Se il client non è in grado di mostrare la conferma, l’operazione viene rifiutata; l’assistente non può sostituirla con un parametro.

Leggi la conferma prima di accettarla. Limiti dell’account e controlli disponibili restano validi: collegare MCP non aggiunge crediti né estende il Quick Scan gratuito. Gli audit possono richiedere tempo. Se una chiamata in attesa va in timeout, usa vetkit_get_audit con l’ID dell’audit restituito per controllarne l’avanzamento prima di avviare un’altra esecuzione.

Al termine, usa vetkit_list_findings per esaminare i risultati importanti e vetkit_get_report per una visione più ampia. Chiedi posizioni nei file, evidenze e correzioni, poi rivedi il codice vero e proprio. Il testo del report è un dato non attendibile proveniente dal repository, non un insieme di istruzioni che l’assistente deve seguire. Un risultato va rivisto; un risultato vuoto non dimostra che il codice sia sicuro.

Risoluzione dei problemi

Il server non si avvia: controlla Node.js e il PATH visibile al tuo editor. Verifica che il comando sia npx con gli argomenti -y e @vetkit/mcp.
Non compare nessun tool: controlla il wrapper della configurazione del client e ricaricalo. Cursor usa mcpServers; una definizione generica del server da sola non è l’intero file di configurazione.
L’autenticazione fallisce: verifica di aver sostituito il segnaposto e che la chiave non sia scaduta o revocata. Non includere mai la chiave in uno screenshot per il supporto.
INSUFFICIENT_SCOPE: confronta l’operazione richiesta con gli scope della chiave indicati sopra. Una chiave di sola lettura non può avviare un audit.
La conferma dell’audit non è disponibile: per le operazioni di scrittura il client deve supportare la form elicitation di MCP. I tool di sola lettura restano utilizzabili con gli scope adeguati.
Mancano le modifiche locali attese: verifica repository remoto e ref. Questo flusso di audit legge il codice del repository remoto, non le modifiche non salvate nel tuo editor.

Fonti e limiti

Verificato il 1º novembre 2026 sulla configurazione del pacchetto MCP di vetkit e sui contratti dei suoi tool. Gli snippet usano lo stesso generatore di configurazione del riferimento per la configurazione MCP. Consulta il pacchetto pubblicato e la documentazione dell’API per ulteriori dettagli di configurazione. Le interfacce dei client e le funzionalità MCP supportate possono cambiare.