Servidor MCP do vetkit

$ claude mcp add vetkit -e VETKIT_API_KEY=vk_live_... -- npx -y @vetkit/mcp

Depois, peça ao seu agente algo como “Audite acme/payments-api e me diga o que corrigir primeiro.” Execute /mcp no Claude Code para confirmar que o vetkit está conectado.

Requisitos

• Node.js 20.3 ou mais recente, com npx no seu PATH.
• Uma conta vetkit com o GitHub App instalado nos repositórios que você quer auditar.
• Uma chave de API do vetkit (próximo passo).

Crie uma chave de API

1. Abra Configurações → Chaves de API no app vetkit. Apenas proprietários e administradores da organização podem gerenciar chaves.
2. Dê à chave um nome que indique onde ela será usada, por exemplo “Claude Code — notebook”.
3. Escolha os escopos. Para a funcionalidade completa do MCP, escolha repos:read, repos:write, audits:read, audits:write, findings:read e reports:read. Para um agente somente leitura, deixe de fora repos:write e audits:write.
4. Opcionalmente, defina uma expiração e um limite de taxa por minuto (padrão 60, até 600).
5. Copie o segredo. Ele tem o formato vk_live_… e é exibido uma única vez; o vetkit armazena apenas um hash.

Instalação

Claude Code

$ claude mcp add vetkit -e VETKIT_API_KEY=vk_live_... -- npx -y @vetkit/mcp

Adicione --scope user para disponibilizar o vetkit em todos os projetos, e não apenas no atual.

Claude Desktop

Abra Configurações → Desenvolvedor → Editar configuração e adicione o vetkit ao claude_desktop_config.json; depois, reinicie o Claude Desktop:

{  "mcpServers": {    "vetkit": {      "command": "npx",      "args": ["-y", "@vetkit/mcp"],      "env": { "VETKIT_API_KEY": "vk_live_..." }    }  }}

Cursor

Adicione o mesmo bloco a ~/.cursor/mcp.json (global) ou a .cursor/mcp.json em um projeto. Não faça commit de uma configuração de projeto que contenha sua chave.

{  "mcpServers": {    "vetkit": {      "command": "npx",      "args": ["-y", "@vetkit/mcp"],      "env": { "VETKIT_API_KEY": "vk_live_..." }    }  }}

Outros clientes MCP

Qualquer cliente capaz de iniciar um servidor stdio funciona: execute npx -y @vetkit/mcp com VETKIT_API_KEY no ambiente. Você também pode instalar o pacote globalmente e executar o binário vetkit-mcp diretamente.

$ npm install -g @vetkit/mcp$ VETKIT_API_KEY=vk_live_... vetkit-mcp

Configuração

O servidor é configurado inteiramente por variáveis de ambiente.

Ferramentas

Toda ferramenta retorna texto legível, e todas, exceto vetkit_get_report, também retornam conteúdo estruturado tipado. As ferramentas têm anotações MCP, para que os clientes possam aprovar automaticamente as que são somente leitura. Nenhuma das ferramentas exclui nada.

{ "limit": 10 }

{ "url": "https://github.com/acme/payments-api" }

{ "repo": "acme/payments-api", "ref": "main" }

{ "auditId": "0192f3a4-5b6c-7d8e-9f01-23456789abcd" }

{ "auditId": "0192f3a4-…", "severity": ["CRITICAL", "HIGH"] }

{ "auditId": "0192f3a4-…", "format": "markdown" }

Auditorias demoradas

A maioria das auditorias termina em poucos minutos. vetkit_run_audit consulta o status a cada poucos segundos e envia notificações de progresso enquanto aguarda. Alguns clientes cancelam chamadas de ferramenta após um tempo fixo — o Claude Code, por exemplo, respeita MCP_TOOL_TIMEOUT. Se for o caso do seu, passe "wait": false e consulte com vetkit_get_audit. Quando timeoutSeconds se esgota, a auditoria continua em execução e a ferramenta retorna "outcome": "still_running".

Erros

Os erros da API voltam como resultados de ferramenta com isError: true e incluem o status HTTP, o código de erro do vetkit, a mensagem, o id da requisição e uma dica.

• 401 API_KEY_INVALID, API_KEY_REVOKED, API_KEY_EXPIRED — crie ou rotacione uma chave, atualize VETKIT_API_KEY e reinicie o servidor.
• 403 INSUFFICIENT_SCOPE — falta à chave um escopo de que a ferramenta precisa.
• 409 AUDIT_CONCURRENCY_LIMIT e 429 RATE_LIMITED — aguarde e tente novamente; a dica inclui o tempo de espera quando a API envia Retry-After.
• INSTALLATION_REQUIRED é retornado como um resultado normal com a URL de instalação do GitHub App, e não como erro.

Notas de segurança

• Trate a chave de API como uma senha. Ela dá acesso às auditorias e aos achados da sua organização, incluindo repositórios privados. Mantenha-a na configuração env do seu cliente MCP, nunca em arquivos que você commita. Conceda apenas os escopos de que você precisa, defina uma expiração e revogue-a no app se ela vazar.
• A chave é enviada apenas para VETKIT_API_URL, como um cabeçalho Authorization: Bearer via HTTPS. O servidor nunca a registra em log nem a inclui em mensagens de erro.
• O servidor fala MCP apenas via stdio. Ele não abre portas de rede e grava logs apenas em stderr.
• Os trechos dos achados são mascarados antes de o vetkit armazená-los; valores de segredos nunca são retornados.
• O texto de relatórios e achados vem do repositório auditado (caminhos de arquivo, mensagens). Trate-o como entrada não confiável, como qualquer outra saída de ferramenta — um repositório malicioso pode tentar embutir instruções direcionadas ao seu agente.

Prefere HTTP puro? Tudo o que o servidor MCP faz está disponível pela API REST.