Rehber

MCP ile Claude Code’a ya da Cursor’a bir güvenlik tarayıcısı bağlayın

@vetkit/mcp’yi Claude Code’a ya da Cursor’a bağlayın, erişimi salt okunur bir araçla doğrulayın ve açık kapsamlar ve onayla bir depo denetimi çalıştırın.

1 Kasım 2026 · 6 dk okuma · Yazan: vetkit ekibi

vetkit’i Claude Code’a ya da Cursor’a bağlamak için, VETKIT_API_KEY anahtarınızla npx -y @vetkit/mcp komutunu başlatan yerel bir stdio MCP sunucusu yapılandırın. İşe bağlı depoları listeleyerek başlayın; bir denetimi ancak hedefini ve kapsamını kontrol ettikten sonra onaylayın. Sunucu, asistanınıza vetkit araçlarına erişim verir; asistanı bir güvenlik otoritesine dönüştürmez.

Bu bağlantı ne yapar

MCP süreci bilgisayarınızda çalışır ve vetkit API’siyle konuşur. Depo denetimleri, bağlı uzak depolar üzerinde vetkit aracılığıyla çalışır. Bu denetim akışı editörünüzün kaydedilmemiş içeriğini yüklemez ya da commit edilmemiş yerel değişiklikleri taramaz. Bir raporu incelediğiniz kod hakkında kanıt olarak kabul etmeden önce depoyu ve ref’i kontrol edin.

vetkit burada uzak bir HTTP ya da SSE MCP endpoint’i değil, stdio kullanır. REST API adresini, uzak bir MCP sunucu adresi bekleyen bir istemci alanına yapıştırmayın. Bu talimatlar depo denetimi araçları için geçerlidir; isteğe bağlı yerel koruma komutları, MCP dokümantasyonunda anlatılan ayrı bir akıştır.

1. Hesabınızı ve anahtarınızı hazırlayın

Node.js 20.3 ya da daha yeni bir sürüm kurun ve MCP istemcisinin npx komutunu PATH üzerinde bulabildiğinden emin olun.
Depoyu vetkit’e bağlayın ve kaynak sağlayıcı yetkilendirmesinin yerinde olduğundan emin olun.
Kuruluş sahibi ya da yöneticisi olarak Workspace settings → API keys bölümünü açın ve bu istemci için bir anahtar oluşturun. Gösterildiğinde kopyalayın; gizli değer yalnızca bir kez gösterilir.

Asistanın yalnızca mevcut sonuçları incelemesini istiyorsanız salt okunur kapsamlarla başlayın. Aşağıdaki denetim akışı için yazma kapsamlarını bilinçli olarak ekleyin:

Akış	Anahtar kapsamları
Depoları listelemek ve mevcut sonuçları okumak	`repos:read`, `audits:read`, `findings:read`, `reports:read`
Depo bağlamak ve denetim çalıştırmak	`repos:write` ve `audits:write` ekleyin

Örneklerdeki <your-api-key> değerini değiştirin. Ortaya çıkan yapılandırmayı gizli tutun: anahtarı içeren bir dosyayı asla commit etmeyin ve anahtarı bir sohbete yapıştırmayın. Terminal komutu shell geçmişine de girebilir; bu yüzden onu bir kimlik bilgisi gibi ele alın. Açığa çıkan bir anahtarı iptal edin.

2. Claude Code’u yapılandırın

Yer tutucuyu değiştirdikten sonra bunu terminalde çalıştırın:

Claude Code kurulumu

$ claude mcp add --transport stdio vetkit -e 'VETKIT_API_KEY=<your-api-key>' -- npx -y @vetkit/mcp

Bağlantının tüm projelerde kullanılabilmesini istiyorsanız add komutuna --scope user ekleyin. Claude Code içinde /mcp komutunu çalıştırın ve vetkit sunucusunun bağlı olduğunu kontrol edin. Yapılandırmayı güncellerken mevcut MCP sunucularını koruyun.

3. Cursor’ı yapılandırın

Genel bir bağlantı için bu girdiyi ~/.cursor/mcp.json dosyasına, tek bir proje için .cursor/mcp.json dosyasına ekleyin. Diğer sunucu girdilerini koruyun. Gerçek bir anahtar içeren proje yapılandırması sürüm kontrolünün dışında kalmalıdır.

Cursor yapılandırması

{  "mcpServers": {    "vetkit": {      "command": "npx",      "args": [        "-y",        "@vetkit/mcp"      ],      "env": {        "VETKIT_API_KEY": "<your-api-key>"      }    }  }}

İstemciyi yeniden yükleyin, istenirse sunucuyu etkinleştirin ve MCP araç listesini kontrol edin.

4. Denetimi başlatmadan önce erişimi doğrulayın

vetkit_list_repos aracının göründüğünü doğrulayın, ardından asistandan bir denetim başlatmadan depoları listelemesini isteyin. Bu salt okunur adım bağlantının çalıştığını doğrular ve anahtarın hangi kuruluşun depolarına erişebildiğini gösterir.

İlk prompt

Use vetkit_list_repos to list the repositories available to this key. Do not connect a repository or start an audit yet.

Boş bir liste temiz bir güvenlik raporu değildir. Anahtarın kuruluşunu ve bir deponun bağlanıp bağlanmadığını kontrol edin. Denetim kapsamını seçmeden önce sunucudaki mevcut kontrolleri incelemek için vetkit_list_checks aracını kullanın.

5. Bir denetim çalıştırın ve bulguları okuyun

Dönen listeden bir depo seçin. Asistandan hedefi ve planlanan kontrolleri belirtmesini isteyin, ardından vetkit_run_audit aracını kullanın. Sunucu, bu yazma işleminden önce MCP elicitation üzerinden açık bir onay ister. İstemci bu onayı gösteremiyorsa işlem reddedilir; asistan bunun yerine bir parametre koyamaz.

Kabul etmeden önce onay metnini okuyun. Hesap sınırları ve mevcut kontroller yine geçerlidir: MCP’yi bağlamak kredi eklemez ya da ücretsiz Quick Scan’i genişletmez. Denetimler zaman alabilir. Bekleyen bir çağrı zaman aşımına uğrarsa, yeni bir çalıştırma başlatmadan önce dönen denetim kimliğiyle vetkit_get_audit aracını kullanarak ilerlemeyi kontrol edin.

Denetim tamamlandıktan sonra önemli bulguları incelemek için vetkit_list_findings, daha geniş bir görünüm için vetkit_get_report aracını kullanın. Dosya konumlarını, kanıtları ve düzeltme önerilerini isteyin, ardından gerçek kodu inceleyin. Rapor metni depodan gelen güvenilmeyen veridir, asistanın uyacağı talimatlar değildir. Bir bulgu incelenmeyi gerektirir; boş bir sonuç kodun güvenli olduğunu kanıtlamaz.

Sorun giderme

Sunucu başlamıyor: Node.js’i ve editörünüzün gördüğü PATH’i kontrol edin. Komutun -y ve @vetkit/mcp argümanlarıyla npx olduğunu doğrulayın.
Hiç araç görünmüyor: istemcinin yapılandırma sarmalayıcısını kontrol edin ve istemciyi yeniden yükleyin. Cursor mcpServers kullanır; tek başına genel bir sunucu tanımı, yapılandırma dosyasının tamamı değildir.
Kimlik doğrulama başarısız oluyor: yer tutucunun değiştirildiğini ve anahtarın süresinin dolmadığını ya da iptal edilmediğini kontrol edin. Anahtarı asla bir destek ekran görüntüsüne eklemeyin.
INSUFFICIENT_SCOPE: istenen işlemi yukarıdaki anahtar kapsamlarıyla karşılaştırın. Salt okunur bir anahtar denetim başlatamaz.
Denetim onayı kullanılamıyor: istemcinin yazma işlemleri için MCP form elicitation desteğine ihtiyacı var. Salt okunur araçlar uygun kapsamlarla yine kullanılabilir.
Beklenen yerel düzenlemeler eksik: uzak depoyu ve ref’i doğrulayın. Bu denetim akışı kaydedilmemiş editör değişikliklerinizi değil, uzak depodaki kodu okur.

Kaynaklar ve sınırlar

1 Kasım 2026’da vetkit MCP paketinin kurulumu ve araç sözleşmeleriyle karşılaştırılarak kontrol edilmiştir. Kod parçaları, MCP kurulum referansıyla aynı yapılandırma üretecini kullanır. Diğer yapılandırma ayrıntıları için yayımlanmış pakete ve API dokümantasyonuna bakın. İstemci arayüzleri ve desteklenen MCP özellikleri değişebilir.