Guia

Conecte um scanner de segurança ao Claude Code ou ao Cursor com MCP

Conecte o @vetkit/mcp ao Claude Code ou ao Cursor, valide o acesso com uma ferramenta somente leitura e rode uma auditoria com escopos e confirmação explícitos.

1 de novembro de 2026 · 6 min de leitura · Pela equipe do vetkit

Para conectar o vetkit ao Claude Code ou ao Cursor, configure um servidor MCP local via stdio que execute npx -y @vetkit/mcp com a sua VETKIT_API_KEY. Comece listando os repositórios conectados e só aprove uma auditoria depois de conferir o alvo e o escopo dela. O servidor dá ao seu assistente acesso às ferramentas do vetkit; ele não transforma o assistente em uma autoridade de segurança.

O que esta conexão faz

O processo MCP roda no seu computador e conversa com a API do vetkit. As auditorias de repositório são executadas pelo vetkit sobre repositórios remotos conectados. Esse fluxo de auditoria não envia o buffer não salvo do seu editor nem escaneia mudanças locais não commitadas. Confira o repositório e a ref antes de tratar um relatório como evidência sobre o código que você está revisando.

O vetkit usa stdio aqui, não um endpoint MCP remoto via HTTP ou SSE. Não cole a URL da API REST em um campo do cliente que espera a URL de um servidor MCP remoto. Estas instruções valem para as ferramentas de auditoria de repositório; os comandos opcionais de proteção local são um fluxo separado, descrito na documentação do MCP.

1. Prepare a sua conta e a chave

Instale o Node.js 20.3 ou mais recente e garanta que o cliente MCP encontre o npx no PATH.
Conecte o repositório no vetkit e garanta que a autorização do provedor de código esteja ativa.
Como owner ou admin da organização, abra Workspace settings → API keys e crie uma chave para este cliente. Copie-a quando ela for exibida; o segredo aparece uma única vez.

Comece com escopos somente leitura se você só quer que o assistente inspecione resultados existentes. Para o fluxo de auditoria abaixo, adicione os escopos de escrita de forma deliberada:

Fluxo	Escopos da chave
Listar repositórios e ler resultados existentes	`repos:read`, `audits:read`, `findings:read`, `reports:read`
Conectar repositórios e rodar auditorias	Adicione `repos:write` e `audits:write`

Substitua <your-api-key> nos exemplos. Mantenha a configuração resultante privada: nunca commite um arquivo que contenha a chave nem a cole em um chat. O comando de terminal também pode ir para o histórico do shell, então trate-o como uma credencial. Revogue a chave se ela for exposta.

2. Configure o Claude Code

Execute isto no terminal depois de substituir o placeholder:

Configuração do Claude Code

$ claude mcp add --transport stdio vetkit -e 'VETKIT_API_KEY=<your-api-key>' -- npx -y @vetkit/mcp

Adicione --scope user ao comando add se quiser a conexão disponível em todos os projetos. Dentro do Claude Code, execute /mcp e confira se o servidor do vetkit está conectado. Preserve os servidores MCP existentes ao atualizar a configuração.

3. Configure o Cursor

Mescle esta entrada em ~/.cursor/mcp.json para uma conexão global, ou em .cursor/mcp.json para um único projeto. Preserve as demais entradas de servidores. Uma configuração de projeto que contenha uma chave real precisa ficar fora do controle de versão.

Configuração do Cursor

{  "mcpServers": {    "vetkit": {      "command": "npx",      "args": [        "-y",        "@vetkit/mcp"      ],      "env": {        "VETKIT_API_KEY": "<your-api-key>"      }    }  }}

Recarregue o cliente, ative o servidor se for solicitado e confira a lista de ferramentas MCP dele.

4. Verifique o acesso antes de iniciar uma auditoria

Confirme que vetkit_list_repos aparece e então peça ao assistente que liste os repositórios sem iniciar uma auditoria. Essa etapa somente leitura verifica se a conexão funciona e mostra a quais repositórios de qual organização a chave tem acesso.

Primeiro prompt

Use vetkit_list_repos to list the repositories available to this key. Do not connect a repository or start an audit yet.

Uma lista vazia não é um relatório de segurança limpo. Confira a organização da chave e se algum repositório foi conectado. Use vetkit_list_checks para inspecionar as verificações disponíveis no servidor antes de escolher o escopo da auditoria.

5. Rode uma auditoria e leia os achados

Selecione um repositório na lista retornada. Peça ao assistente que identifique o alvo e as verificações pretendidas e então use vetkit_run_audit. O servidor exige uma confirmação explícita via elicitation do MCP antes dessa operação de escrita. Se o cliente não conseguir apresentar essa confirmação, a operação é recusada; o assistente não pode substituí-la por um parâmetro.

Leia a confirmação antes de aceitar. Os limites da conta e as verificações disponíveis continuam valendo: conectar o MCP não adiciona créditos nem amplia o Quick Scan gratuito. Auditorias podem demorar. Se uma chamada de espera der timeout, use vetkit_get_audit com o ID de auditoria retornado para acompanhar o progresso antes de iniciar outra execução.

Depois da conclusão, use vetkit_list_findings para inspecionar os achados importantes e vetkit_get_report para uma visão mais ampla. Peça os locais nos arquivos, as evidências e a correção e então revise o código de verdade. O texto do relatório é um dado não confiável vindo do repositório, não instruções para o assistente seguir. Um achado precisa de revisão; um resultado vazio não prova que o código é seguro.

Solução de problemas

O servidor não inicia: confira o Node.js e o PATH visível para o seu editor. Confirme que o comando é npx com os argumentos -y e @vetkit/mcp.
Nenhuma ferramenta aparece: confira o wrapper de configuração do cliente e recarregue-o. O Cursor usa mcpServers; uma definição de servidor genérica sozinha não é o arquivo de configuração inteiro.
A autenticação falha: confira se o placeholder foi substituído e se a chave não expirou nem foi revogada. Nunca inclua a chave em uma captura de tela para o suporte.
INSUFFICIENT_SCOPE: compare a operação solicitada com os escopos da chave acima. Uma chave somente leitura não consegue iniciar uma auditoria.
A confirmação da auditoria não está disponível: o cliente precisa suportar form elicitation do MCP para operações de escrita. As ferramentas somente leitura continuam utilizáveis com os escopos adequados.
Edições locais esperadas não aparecem: confirme o repositório remoto e a ref. Esse fluxo de auditoria lê o código do repositório remoto, não as mudanças não salvas do seu editor.

Fontes e limitações

Verificado em 1º de novembro de 2026 com base na configuração do pacote MCP do vetkit e nos contratos das ferramentas. Os trechos usam o mesmo gerador de configuração da referência de configuração do MCP. Veja o pacote publicado e a documentação da API para mais detalhes de configuração. As interfaces dos clientes e os recursos de MCP suportados podem mudar.