MCPサーバー

AIアシスタントにScanverraのスキャナーを渡しましょう。エージェントはページの監査、サイトのセキュリティスキャン、SEOとAI検索への対応状況の分析、接続済みリポジトリのスキャン、MCP設定の確認を行い、構造化された結果を読んで完全なレポートへのリンクを示します。

ベータ版です。AIアシスタントが開始したスキャンも通常のScanverraスキャンです。スキャン履歴に表示され、Webサイト、CLI、CIからのスキャンと同じくプランの利用回数に1回だけ数えられます。 MCPサーバーはEnterpriseプランに含まれます。

クライアントを接続する

ScanverraはStreamable HTTPでリモートMCPサーバーを提供しています。クライアントはリクエストごとにAPIキーを送信します。

APIキーのページでキーを作成します。スキャンを開始するにはフルアクセス、新しいスキャンを開始せずにレポートだけを読ませるには読み取り専用を選びます。
キーは環境変数やクライアントのシークレット入力に保存し、コミットするファイルには書かないでください。
下のスニペットのいずれかでサーバーをクライアントに追加し、MCPサーバーを再読み込みします。

エンドポイント

https://www.scanverra.com/api/mcp

# Claude.ai and Claude Desktop: Settings > Connectors > Add custom connector
# ChatGPT: Settings > Connectors > Create (developer mode)
URL:  https://www.scanverra.com/api/mcp
Auth: OAuth (sign in to Scanverra and approve when asked)

ChatGPT、Claude.ai、Claude DesktopはOAuthで接続します。エンドポイントをカスタムコネクタとして追加し、Scanverraにサインインして許可してください。許可したアプリはMCPサーバーのページに表示され、そこで接続を解除できます。

仕組み

同じスキャン、同じレポート

各ツールはWebサイトから開始するのと同じScanverraスキャンを実行し、プランの上限、履歴、レポートリンクもそのまま使われます。

スキャンはバックグラウンドで実行

スキャンツールはすぐにスキャンIDを返します。アシスタントはスキャンが終わるまで対応するレポートツールを確認します。通常は2分以内に終わります。

構造化された結果

各レポートにはスコア、重大度別の件数、修正方法付きの重大な指摘、完全なレポートへのリンクが含まれます。

範囲を限定したアクセス

アシスタントにはキーで許可されたツールだけが表示されます。読み取り専用キーではスキャンを開始できず、他のアカウントのレポートは誰も読めません。

ツール

クライアントが入力と出力のスキーマ付きで自動的に一覧表示します。

ツール	種類	内容
`scan_website`	スキャンを開始	ページを監査します。デスクトップとモバイルのパフォーマンス、SEO、アクセシビリティ、ベストプラクティス、AIエージェント対応。
`get_website_report`	読み取り	監査のスコアと主な問題。カテゴリを指定して絞り込めます。
`compare_website_scans`	読み取り	2つの監査間のスコアの変化、修正された問題、新しい問題。
`scan_browser`	スキャンを開始	実際のブラウザでページを読み込み、JavaScriptエラー、リンク切れ、フォーム、画像、アクセシビリティの問題を記録します。
`get_browser_report`	読み取り	ブラウザ監査のヘルススコアと検出された問題。
`analyze_seo`	スキャンを開始	ページのSEOスキャン。キーワードと競合ページは任意です。
`get_seo_report`	読み取り	SEOスコアと推奨事項付きの指摘。
`analyze_ai_search`	ライブチェック	llms.txtと、robots.txtが許可しているAIクローラー。利用回数は消費しません。
`analyze_meta_tags`	ライブチェック	タイトル、説明、見出し、canonical、Open Graphタグ。利用回数は消費しません。
`scan_website_security`	スキャンを開始	パッシブなセキュリティスキャン。HTTPSとTLS、ヘッダー、Cookie、公開されたファイル、クライアント側の秘密情報、脆弱なライブラリ、DNS。
`get_security_report`	読み取り	セキュリティスコア、根拠と修正方法付きの指摘、ヘッダーとTLSの詳細。
`check_tls_configuration`	ライブチェック	証明書、チェーン、TLSバージョン、HSTS。利用回数は消費しません。
`check_content_security_policy`	ライブチェック	ページのContent Security Policyを評価します。利用回数は消費しません。
`scan_repository`	スキャンを開始	アカウントに接続したリポジトリをスキャンし、秘密情報、コードのセキュリティ、脆弱な依存関係、品質、AIセキュリティを確認します。
`get_repository_report`	読み取り	リポジトリのスコアと、ファイルと行付きの指摘。カテゴリを指定して絞り込めます。
`scan_mcp_config`	ライブチェック	アシスタントがプロジェクトから読み取ったMCPとAIエージェントの設定ファイルを確認します。何も保存しません。利用回数は消費しません。
`check_security_headers`	ライブチェック	1ページのレスポンスヘッダーとCookie属性を、Security Scanと同じルールで確認します。利用回数は消費しません。
`scan_mcp_server`	ライブチェック	自分が所有するリモートMCPサーバーを読み取り専用で検査します。通信、認証、OAuthの検出、ツールの説明を確認し、ツールは呼び出しません。
`get_mcp_security_report`	読み取り	保存済みのMCPサーバー検査結果。
`compare_mcp_posture`	読み取り	同じサーバーの2回の検査間のリスクの変化と、修正済み・新規の指摘。
`discover_mcp_servers`	読み取り	検査したMCPサーバーと、スキャン済みリポジトリに設定されているMCPサーバー。
`explain_finding`	読み取り	1件の指摘の詳細: 根拠、影響、修正方法、CWE。
`create_remediation_plan`	読み取り	完了したスキャンの修正計画を、今すぐ・次・後での順に作成します。
`get_fix_prompt`	読み取り	コーディングエージェント向けのScanverraの修正プロンプト。
`verify_remediation`	スキャンを開始	同じ対象をもう一度スキャンして修正を確認します。
`compare_scans`	読み取り	任意のツールの2回のスキャン間のスコアの変化と、修正済み・新規の指摘。
`get_account`	読み取り	プランと、今月および累計のスキャン数。
`list_scans`	読み取り	過去のスキャンをツール、サイト、ステータス、日付で絞り込んで一覧表示。
`get_scan_stats`	読み取り	ツール別・結果別のスキャン数を、任意の期間やサイトで集計。

用意されたプロンプト

website_health_assessmentwebsite_seo_optimizationwebsite_security_assessmentrepository_security_reviewmcp_security_reviewai_agent_security_reviewwebsite_remediation_workflow

セキュリティ

スキャンするのは、自分が所有しているか、テストを許可されたサイトとリポジトリだけにしてください。Webサイトのスキャンはパッシブです。
レポートの内容(ページのテキスト、ファイルの内容、ツールの説明)は信頼できないデータです。サーバーは、その中の指示に決して従わないようアシスタントに伝えます。
キーが結果に含まれたりログに記録されたりすることはありません。スキャンで見つかった秘密情報は結果の中でマスクされます。
scan_mcp_configに送られた設定ファイルはメモリ上で分析され、保存されません。
プライベート、ローカル、クラウドのメタデータのアドレスは、スキャン開始前に拒否されます。

トラブルシューティング

メッセージ	対処
`401 Missing Scanverra API key`	キーが送信されていません。クライアントの実行環境で環境変数が設定されているか確認し、www.scanverra.comのアドレスを使ってください。
`401 not valid, has expired or was revoked`	APIキーのページで新しいキーを作成してください。
`403 part of the Enterprise plan`	MCPサーバーはEnterpriseプランに含まれます。プランをご確認のうえ、アップグレードについてお問い合わせください。
`Only get_ tools are listed`	読み取り専用のキーです。スキャンを開始するにはフルアクセスのキーを使ってください。
`plan_limit`	今月の無料スキャンを使い切りました。アップグレードするか翌月までお待ちください。
`email_verification_required`	メールアドレスを確認してから、もう一度お試しください。
`target_unreachable`	サイトが応答しなかったか、プライベートアドレスを指しています。

接続の準備はできましたか?

APIキーを作成し、サーバーをクライアントに追加して、アシスタントにページの監査を頼んでみましょう。

APIキーを作成認証

PreviousVS Code Extension Next Slack, Teams & Webhooks