GitGuardian

Digitalize projetos em busca de mais de 500 tipos de segredos usando a API do GitGuardian para evitar vazamentos de credenciais.

GitHub

Experimente este MCPPatrocinado

Documentação

Servidor MCP do GitGuardian

Traga a detecção de segredos e o gerenciamento de incidentes do GitGuardian para o seu agente de IA. Analise o código em busca de credenciais antes que elas vazem, faça triagem de incidentes existentes, gere honeytokens e corrija descobertas — tudo de dentro do seu IDE ou cliente de chat, com suporte dos mais de 500 detectores do GitGuardian.

[!CAUTION] Servidores MCP são uma tecnologia emergente. Agentes agem em seu nome e sob sua responsabilidade. Use servidores MCP confiáveis e revise as ações do agente quando elas interagem com ferramentas. Para limitar o raio de impacto, o servidor usa por padrão permissões com tendência a somente leitura; o que é realmente exposto é determinado pelos escopos OAuth que seu token de acesso possui.

O que ele faz

Varredura de segredos — analise proativamente arquivos em busca de credenciais vazadas.
Gerenciamento de incidentes — liste, filtre, atribua, resolva e marque incidentes (tanto incidentes internos quanto de Monitoramento Público).
Honeytokens — gere honeytokens e liste os existentes.
Automação de correção de código — abra pull requests que corrigem segredos em repositórios que seu workspace monitora.

O conjunto exato de ferramentas expostas ao seu agente depende dos escopos OAuth concedidos ao seu token de acesso.

Exemplos de prompt

Scan this codebase for any leaked secrets or credentials.

Remediate all incidents related to my project.

Check if there are any new security incidents assigned to me.

Help me understand this security incident and provide remediation steps.

List all my active honeytokens.

Generate a new honeytoken for monitoring AWS credential access.

Create a honeytoken named 'dev-database' and hide it in config files.

Início rápido

A maneira recomendada de executar o servidor MCP do GitGuardian é apontar seu cliente MCP para o servidor hospedado. O cliente MCP lida com OAuth automaticamente; sem instalação local, sem token para gerenciar, sem uvx.

Escolha a URL que corresponde à sua região do GitGuardian:

Região	URL
US SaaS	`https://mcp.gitguardian.com/mcp`
EU SaaS	`https://mcp.eu1.gitguardian.com/mcp`
Self-hosted	Veja Auto-hospedagem do servidor MCP

Cursor

Edite ~/.cursor/mcp.json:

{
  "mcpServers": {
    "GitGuardian": {
      "type": "http",
      "url": "https://mcp.gitguardian.com/mcp"
    }
  }
}

Claude Desktop

Edite ~/Library/Application Support/Claude Desktop/mcp.json (macOS) ou %APPDATA%\Claude Desktop\mcp.json (Windows). Mesmo JSON do Cursor. Versões do Claude Desktop anteriores ao suporte a HTTP MCP precisam do fallback local stdio.

Claude.ai (web)

Adicione o servidor em Configurações → Conectores → Adicionar conector personalizado com a URL acima. O OAuth é tratado na aba do navegador.

Windsurf

Edite ~/Library/Application Support/Windsurf/mcp.json (ou ~/.config/Windsurf/mcp.json no Linux):

{
  "mcp": {
    "servers": {
      "GitGuardian": {
        "type": "http",
        "url": "https://mcp.gitguardian.com/mcp"
      }
    }
  }
}

Zed

Edite ~/Library/Application Support/Zed/mcp.json (ou ~/.config/Zed/mcp.json no Linux) com o mesmo trecho type: http.

Escolhendo uma implantação

Dois caminhos de implantação são suportados. Escolha com base em onde sua instância do GitGuardian está e quais trade-offs você aceita.

Implantação	Quando usar
MCP hospedado (Início rápido acima)	GitGuardian SaaS (US/EU) e você aceita que as requisições passem por `mcp.gitguardian.com` além de `api.gitguardian.com`
MCP auto-hospedado (§)	GitGuardian auto-hospedado, ambientes isolados, ou você quer o servidor MCP na sua própria infraestrutura
stdio local com PAT (§)	CI/CD, scripts, invocações pontuais, ou clientes MCP mais antigos sem suporte a `type: http`

Autenticação

A maioria dos usuários não precisa mexer nisso — a configuração do Início rápido usa implicitamente o modo proxy OAuth no servidor hospedado, e a configuração stdio local usa env PAT.

Há quatro modos de autenticação nos quais o servidor pode rodar; você escolhe um via variáveis de ambiente.

Modo	Configuração	Usado por
Proxy OAuth (HTTP)	`MCP_OAUTH_PROXY_ENABLED=true` + `ENABLE_LOCAL_OAUTH=false`	O servidor MCP hospedado. O cliente MCP executa OAuth contra `/authorize`+`/token`; o servidor faz proxy para o dashboard do GG.
Bearer bruto (HTTP)	`ENABLE_LOCAL_OAUTH=false` + `MCP_PORT` definidos	Implantações auto-hospedadas sem OAuth. O cliente envia `Authorization: Bearer <PAT>` em toda requisição.
env PAT (qualquer transporte)	`GITGUARDIAN_PERSONAL_ACCESS_TOKEN=<pat>` + `ENABLE_LOCAL_OAUTH=false`	CI, scripts, stdio local. O servidor usa o PAT da variável de ambiente para toda chamada à API do GG.
OAuth stdio no navegador (obsoleto)	`ENABLE_LOCAL_OAUTH=true` (padrão atual em stdio)	Fluxo legado `uvx --from …` que abre um callback em localhost e armazena o PAT em disco.

[!NOTE] OAuth dirigido por navegador em modo stdio está obsoleto. Novas implantações stdio devem autenticar com um PAT; fluxos dirigidos por OAuth devem usar o servidor HTTP hospedado ou auto-hospedado. O caminho de código OAuth em stdio será removido em um lançamento futuro; até lá, permanece o padrão em stdio para compatibilidade retroativa.

Modo stdio local (somente PAT)

Para CI/CD, ambientes isolados ou clientes MCP mais antigos, execute o servidor localmente via stdio com um PAT:

{
  "mcpServers": {
    "GitGuardian": {
      "command": "uvx",
      "args": [
        "--from",
        "git+https://github.com/GitGuardian/ggmcp.git",
        "gg-mcp-server"
      ],
      "env": {
        "ENABLE_LOCAL_OAUTH": "false",
        "GITGUARDIAN_PERSONAL_ACCESS_TOKEN": "your_pat_here",
        "GITGUARDIAN_URL": "https://dashboard.gitguardian.com"
      }
    }
  }
}

Crie um PAT no seu dashboard do GitGuardian em API → Personal Access Tokens. O conjunto de ferramentas que o servidor expõe depende dos escopos do PAT.

Para Claude Desktop no macOS, o campo command precisa do caminho absoluto para uvx (ex.: /Users/you/.local/bin/uvx) — o Claude Desktop não resolve $PATH para servidores MCP.

Auto-hospedagem do servidor MCP

O servidor MCP estará disponível em breve pronto para uso como parte da sua implantação auto-hospedada do GitGuardian (Helm chart). Esta seção serve apenas para descrever como funciona, mas você não precisa configurá-lo.

Uma imagem Docker é publicada em ghcr.io/gitguardian/mcp-server. Execute-a atrás de um proxy reverso que encerra TLS e aponte seus clientes MCP para ela. O contêiner expõe o transporte StreamableHTTP na porta 8000 por padrão.

Configuração mínima:

docker run -p 8000:8000 \
  -e GITGUARDIAN_URL=https://dashboard.gitguardian.mycorp.local \
  -e IS_ON_PREM=true \
  -e MCP_BASE_URL=https://mcp.mycorp.local \
  -e MCP_OAUTH_PROXY_ENABLED=true \
  -e ENABLE_LOCAL_OAUTH=false \
  ghcr.io/gitguardian/mcp-server:latest \
  gunicorn --workers=4 --worker-class=uvicorn.workers.UvicornWorker \
           -b 0.0.0.0:8000 gg_mcp_server.http_app:app

IS_ON_PREM=true informa ao servidor que ele fala com uma instância GIM auto-hospedada (API servida sob /exposed/v1, escopo auto-hospedado definido). Quando não definido, o servidor adivinha a partir do hostname GITGUARDIAN_URL, o que falha para instâncias auto-hospedadas implantadas sob um domínio gitguardian.com/gitguardian.tech — defina-o explicitamente para qualquer implantação auto-hospedada.

MCP_OAUTH_PROXY_ENABLED=true faz o servidor se anunciar como um Protected Resource OAuth (RFC 9728) e fazer proxy de /authorize, /token, /register para o seu dashboard do GitGuardian. Os clientes MCP então executam o fluxo OAuth contra o seu domínio.

Referência de configuração

Variável	Descrição	Padrão
`GITGUARDIAN_URL`	URL do dashboard do GitGuardian	`https://dashboard.gitguardian.com`
`IS_ON_PREM`	`true` => auto-hospedado; `false` => SaaS; não definido ⇒ adivinhar pelo hostname	Não definido
`GITGUARDIAN_PERSONAL_ACCESS_TOKEN`	PAT (substitui OAuth)	Não definido
`GITGUARDIAN_SCOPES`	Escopos OAuth separados por vírgula a solicitar	Automático
`GITGUARDIAN_CLIENT_ID`	ID do cliente OAuth	`ggshield_oauth`
`GITGUARDIAN_TOKEN_NAME`	Nome de exibição para PATs emitidos via OAuth	`MCP Token`
`GITGUARDIAN_TOKEN_LIFETIME`	Validade do PAT em dias (ou `never`)	`30`
`MCP_PORT`	Porta para transporte HTTP (não definido ⇒ stdio)	Não definido
`MCP_HOST`	Endereço de bind para transporte HTTP	`127.0.0.1`
`MCP_BASE_URL`	URL pública deste servidor MCP (modo proxy OAuth)	`http://localhost:8000`
`MCP_OAUTH_PROXY_ENABLED`	Anunciar metadados de Protected Resource OAuth	`false`
`ENABLE_LOCAL_OAUTH`	Legado: habilitar fluxo OAuth em stdio (obsoleto)	`true`

Notas de migração

Os scripts de console developer-mcp-server e secops-mcp-server estão obsoletos e reexportam o unificado gg-mcp-server. Atualize sua configuração do cliente MCP para invocar gg-mcp-server diretamente; ambos os scripts antigos serão removidos em um lançamento futuro.

Quer mais?

Tem um caso de uso não coberto? Abra uma issue com sua ideia.

Desenvolvimento

Veja DEVELOPMENT.md para contribuir, executar testes e adicionar novas ferramentas.