Bastion: External Attack Surface Monitoring

Verbinden Sie Ihren KI-Assistenten mit Ihrer Angriffsfläche.

Attack Surface Scan bietet einen gehosteten MCP-Server, sodass Claude und andere KI-Agenten Scans ausführen, Ergebnisse lesen, den Änderungsfeed beobachten, priorisieren und PDF-Berichte abrufen können. Alles im Chat, für die Domains, die Ihr Konto verifiziert hat – ohne Installation und ohne API-Schlüssel.

Serverdetails

Endpoint	https://mcp.attacksurfacescan.com/mcp
Transport	Streamable HTTP (zustandslos; SSE nicht erforderlich)
Authentifizierung	OAuth 2.1: Autorisierungscode + PKCE, dynamische Client-Registrierung (RFC 7591), Discovery über RFC 9728 / RFC 8414. Keine API-Schlüssel.
Umfang	account: delegierter Zugriff als der Benutzer, der die Verbindung genehmigt
Preise	In jedem Tarif enthalten (Tarifkontingente gelten). Tarife beginnen mit einer 7-tägigen Testphase, keine Kreditkarte erforderlich.
Widerruf	In der App: Team → Verbundene Apps → Trennen. Wirksam bei der nächsten Anfrage.

Einen Client verbinden

Jeder Client folgt demselben Handshake: Sie zeigen auf den Endpoint, ein Browserfenster öffnet die Zustimmungsseite von Attack Surface Scan, Sie melden sich an und klicken auf Zugriff erlauben. Sie benötigen ein Attack Surface Scan-Konto (die Testversion funktioniert), aber keine Schlüssel oder zusätzliche Einrichtung.

Claude (Web, Desktop, Mobil)

Einstellungen → Connectors → Benutzerdefinierten Connector hinzufügen und dann die Endpoint-URL einfügen. Claude erkennt die OAuth-Konfiguration und führt Sie durch die Genehmigung.

https://mcp.attacksurfacescan.com/mcp

Claude Code

claude mcp add --transport http afs https://mcp.attacksurfacescan.com/mcp

Führen Sie dann /mcp innerhalb einer Sitzung aus, um die Anmeldung abzuschließen.

ChatGPT

Benutzerdefinierte MCP-Connectors erfordern den Entwicklermodus (Pro-, Plus-, Business-, Enterprise- und Edu-Tarife, in der Web-App): Einstellungen → Apps → Erweiterte Einstellungen → Entwicklermodus. Dann Einstellungen → Connectors → Erstellen, die Endpoint-URL einfügen und OAuth als Authentifizierungsmethode wählen. Bei Workspace-Tarifen muss ein Administrator möglicherweise zuerst benutzerdefinierte Connectors zulassen.

OpenAI Codex

codex mcp add afs --url https://mcp.attacksurfacescan.com/mcp
codex mcp login afs

Der Login-Befehl führt den OAuth-Ablauf in Ihrem Browser aus. Die Konfiguration landet in ~/.codex/config.toml, falls Sie sie dort verwalten möchten.

Hermes

Fügen Sie den Server im Dashboard hinzu (hermes dashboard → MCP-Server) oder in ~/.hermes/config.yaml:

mcp_servers:
  afs:
    url: "https://mcp.attacksurfacescan.com/mcp"
    auth: oauth

Beim ersten Verbinden öffnet sich ein Browserfenster zur Autorisierung.

Manus

Einstellungen → Connectors → + Connectors hinzufügen → Benutzerdefiniertes MCP → Direkte Konfiguration. Benennen Sie es Attack Surface Scan, wählen Sie den HTTP-Transport, fügen Sie die Endpoint-URL ein und speichern Sie; Manus überprüft die Verbindung und führt Sie durch die Anmeldung.

OpenClaw

openclaw mcp add afs --url https://mcp.attacksurfacescan.com/mcp \
  --transport streamable-http --auth oauth
openclaw mcp login afs

Der Login-Befehl gibt die Autorisierungs-URL aus und schließt den Token-Austausch ab, sobald Sie im Browser zustimmen. Überprüfen Sie mit openclaw mcp status.

Cursor und andere MCP-Clients

Fügen Sie den Server zur MCP-Konfiguration Ihres Clients hinzu:

{
  "mcpServers": {
    "afs": { "url": "https://mcp.attacksurfacescan.com/mcp" }
  }
}

Ausprobieren

Sobald verbunden, fragen Sie Ihren Assistenten zum Beispiel:

• „Scanne attacksurfacescan.com und fasse alles zusammen, was seit letzter Woche neu ist.“
• „Welche unserer Zertifikate laufen in den nächsten 30 Tagen ab?“
• „Stummschalten des fehlenden HSTS-Befunds auf Staging bis März, mit einer Notiz.“
• „Erstelle den PDF-Bericht für den gestrigen Scan.“
• „Ordne diese drei Domains dem Acme-Kunden zu und fasse die Haltung dieses Bestands zusammen.“ (MSP-Tarife)

Verfügbare Tools

Der verbundene Client sieht die Live-Liste immer über tools/list; diese Tabelle ist die menschenlesbare Zusammenfassung.

Tool	Funktion
get_account	Plan, Abonnementstatus und Nutzung im Verhältnis zu Limits
list_domains	Beanspruchte Domains, Verifizierungsstatus und der Nachweis, der jeweils noch fehlt
add_domain	Domain beanspruchen; sofort verifiziert, wenn Ihre E-Mail bei dieser Domain liegt, andernfalls wird der TXT-Eintrag oder die Datei zur Veröffentlichung zurückgegeben
verify_domain	Eigentumsnachweise jetzt ausführen: Ihre E-Mail-Domain, das DNS-TXT-Token und die well-known-Datei
request_domain_approval	Jemanden bei der Domain per E-Mail kontaktieren und ihn die Überwachung genehmigen lassen
start_scan	Passiven Scan eines verifizierten Hostnamens in die Warteschlange stellen; gibt eine scanId zurück
get_scan	Vollständige Ergebnisse für einen Scan: Befunde, Beweise, Behebung, Haltungs-Score
list_scans	Aktuelle Scans mit Zusammenfassungs-Scores, neueste zuerst
get_report	Abgeschlossenen Scan als PDF rendern und Download-Link zurückgeben
check_report	PDF-Auftrag abfragen, der das Inline-Warten von get_report überschreitet
list_changes	Was sich im Bestand bewegt hat: Subdomains, DNS, Ports, Zertifikate, Befunde
list_lookalikes	Registrierte Typosquats Ihrer Domains (nur über DNS- und CT-Protokolle beobachtet)
list_certificates	Jeder überwachte Endpoint und das ausgelieferte Zertifikat: Aussteller, Ablauf, Zustand
list_unknown_certificates	Zertifikate, die in CT-Protokollen von nicht autorisierten Zertifizierungsstellen gesehen wurden, plus die Liste autorisierter Zertifizierungsstellen
acknowledge_certificate	Unbekanntes Zertifikat als erwartet markieren, optional dessen Zertifizierungsstelle ab sofort vertrauen
list_triage	Priorisierungsstatus pro Befund, einschließlich abgelaufener Unterdrückungen
set_triage	Befund auf einem Ziel bestätigen, stummschalten oder akzeptieren
list_clients	Client-Workspaces und deren Domain-Anzahlen (MSP-Tarife)
add_client	Client-Workspace erstellen, um Domains darunter abzulegen (MSP-Tarife, Admin)
assign_domain_client	Domain unter einem Client ablegen: nur Gruppierung, Eigentumsregeln unverändert
get_branding	Die White-Label-Identität, die auf PDF-Berichte gestempelt wird (MSP-Tarife)
set_branding	Firmennamen und Akzentfarbe des Berichts festlegen (MSP-Tarife, Admin)

Fragen

Brauche ich einen API-Schlüssel?

Nein. Der Server verwendet standardmäßiges MCP-OAuth: Ihr Client registriert sich selbst, Ihr Browser öffnet die Zustimmungsseite von Attack Surface Scan, Sie melden sich mit Ihrem normalen Konto an und klicken auf Erlauben. Es gibt nichts aus einem Dashboard zu kopieren und nichts Langlebiges, das in eine Konfigurationsdatei gelangen könnte.

Was kann ein verbundener Agent tun (und was nicht)?

Er handelt als die Person, die die Verbindung genehmigt hat: Er kann Domains hinzufügen und verifizieren, Scans ausführen, Befunde und Berichte lesen, den Änderungsfeed beobachten und Befunde priorisieren. Bei MSP-Tarifen kann er auch Client-Workspaces organisieren und das Berichts-Branding verwalten. Er kann keine Abrechnung berühren, das Team verwalten oder Daten anderer Konten sehen. Der Zugriff kann jederzeit in der App unter Team → Verbundene Apps widerrufen werden, und der Widerruf wird bei der nächsten Anfrage der Verbindung wirksam.

Kann er beliebige Websites scannen?

Nein. Die MCP-Oberfläche durchläuft genau dieselbe Hürde wie die App: Ein Hostname ist nur scannbar, nachdem das Konto die Kontrolle über seine Domain nachgewiesen hat (ein DNS-TXT-Eintrag, eine Datei auf der Website, eine Arbeits-E-Mail bei der Domain oder eine per E-Mail erteilte Genehmigung), und DNS- und Dateinachweise werden nächtlich erneut geprüft. Die Aufforderung an einen verbundenen Agenten, die Infrastruktur einer anderen Person zu scannen, schlägt auf dieselbe Weise fehl wie in der Benutzeroberfläche.

Kostet es etwas extra?

Nein. Der MCP-Server ist in jedem Tarif enthalten, einschließlich der kostenlosen Testversion. Über MCP gestartete Scans zählen gegen dasselbe monatliche Kontingent wie in der App gestartete Scans, und PDF-Berichte, die in der Testversion ohne Kreditkarte erstellt werden, tragen dasselbe TRIAL-Wasserzeichen.

Welche Clients werden unterstützt?

Alles, was MCP über Streamable HTTP mit OAuth spricht: Claude (Web-, Desktop- und Mobil-Connectors), Claude Code, ChatGPT (Entwicklermodus), OpenAI Codex, Hermes, Manus, OpenClaw, Cursor und andere MCP-Clients, die Remote-Server mit dynamischer Client-Registrierung unterstützen. Wenn Ihr Client einen Remote-MCP-Server per URL hinzufügen kann, kann er sich mit Attack Surface Scan verbinden, und der Verbindungsleitfaden behandelt jeden einzelnen.

Ist die Verbindung sicher dauerhaft einzurichten?

Tokens sind kurzlebig, werden bei uns nur als Hashes gespeichert und sind an eine Verbindung gebunden, die Sie in der App sehen und widerrufen können, mit der Person, die sie autorisiert hat, und dem Zeitpunkt der letzten Nutzung. Wenn ein Teammitglied geht, funktionieren seine Verbindungen in dem Moment nicht mehr, in dem seine Mitgliedschaft endet.