Socket

Adicione o servidor hospedado através das configurações de conector personalizado do Claude. O arquivo de configuração do Developer é para servidores locais.

1. Abra Personalizar > Conectores no Claude.
2. Selecione Adicionar conector personalizado e insira https://mcp.socket.dev/ como a URL do servidor. Nos planos Team e Enterprise, um proprietário da organização adiciona o conector através de Configurações da Organização > Conectores primeiro.
3. Selecione Conectar e complete o fluxo de autorização do Socket quando solicitado.
4. Habilite o conector para sua conversa e pergunte ao Claude "Verifique a pontuação de segurança para express versão 4.18.2".

Para Claude Code, um único comando faz tudo:

claude mcp add --transport http socket-mcp https://mcp.socket.dev/

# For VS Code with GitHub Copilot
code --add-mcp '{"name":"socket-mcp","type":"http","url":"https://mcp.socket.dev/"}'

Ou adicione ao .vscode/mcp.json:

{
  "servers": {
    "socket-mcp": {
      "type": "http",
      "url": "https://mcp.socket.dev/"
    }
  }
}

Cursor Settings → MCP → Add new MCP Server. Nomeie socket-mcp, tipo http, URL https://mcp.socket.dev/.

{
  "mcpServers": {
    "socket-mcp": {
      "type": "http",
      "url": "https://mcp.socket.dev/"
    }
  }
}

O Windsurf não suporta servidores MCP do tipo http. Use a configuração stdio na Opção 2 abaixo, ou o formulário serverUrl:

{
  "mcpServers": {
    "socket-mcp": {
      "serverUrl": "https://mcp.socket.dev/mcp"
    }
  }
}

Factory é uma plataforma de engenharia de software alimentada por IA. Instale o servidor MCP Socket com a CLI do Factory:

droid mcp add socket https://mcp.socket.dev/ --type http

Para auto-hospedar com uma chave de API, veja a Opção 2 abaixo e registre o comando stdio com droid mcp add.

Alternativamente, digite /mcp dentro do droid do Factory para gerenciar servidores MCP a partir de uma interface interativa. Saiba mais na documentação MCP do Factory.

Claude Code:

claude mcp add socket-mcp -e SOCKET_API_TOKEN="your-api-token-here" -- socket-mcp

A maioria dos outros clientes MCP:

{
  "mcpServers": {
    "socket-mcp": {
      "command": "socket-mcp",
      "env": {
        "SOCKET_API_TOKEN": "your-api-token-here"
      }
    }
  }
}

Execute o servidor em modo HTTP:

MCP_HTTP_MODE=true SOCKET_API_TOKEN=your-api-token socket-mcp --http

O servidor escuta em http://localhost:3000/. O endpoint MCP é / e o endpoint de saúde é /health; todos os outros caminhos respondem 404.

O transporte é sem estado. Cada POST / é autocontido, sem sessão para abrir, sem cabeçalho Mcp-Session-Id e nada para expirar, então você pode colocar várias instâncias atrás de um balanceador de carga sem afinidade de sessão. GET e DELETE no endpoint MCP respondem 405. Clientes escritos para o protocolo de 2025, que abrem com um handshake initialize, ainda são atendidos.

Variáveis de ambiente para o modo HTTP:

As três variáveis OAuth são um conjunto: configure todas as três ou nenhuma. Definir apenas algumas delas faz o servidor imprimir Incomplete OAuth configuration for HTTP mode e sair com código 1, em vez de iniciar silenciosamente sem autenticação.

SOCKET_API_TOKEN é canônico. Estes aliases são lidos em ordem, o primeiro não vazio vence: SOCKET_API_TOKEN, SOCKET_API_KEY, SOCKET_CLI_API_TOKEN, SOCKET_CLI_API_KEY, SOCKET_SECURITY_API_TOKEN, SOCKET_SECURITY_API_KEY.

SOCKET_API_TOKEN, SOCKET_API_BASE_URL e SOCKET_DEBUG também se aplicam no modo stdio. Todo o resto na tabela é apenas HTTP.

Habilitando OAuth. Defina todas as três variáveis de OAuth para exigir um token de acesso OAuth em cada solicitação MCP:

MCP_HTTP_MODE=true \
SOCKET_OAUTH_ISSUER=https://issuer.example.com \
SOCKET_OAUTH_INTROSPECTION_CLIENT_ID=your-client-id \
SOCKET_OAUTH_INTROSPECTION_CLIENT_SECRET=your-client-secret \
socket-mcp --http

Com OAuth habilitado, cada solicitação ao endpoint MCP passa pela introspecção de token RFC 7662. Um token bruto da API Socket é rejeitado com um 401, independentemente do prefixo; um token sktsec_ não tem mais privilégio do que qualquer outra string aqui. Os chamadores enviam um token de acesso OAuth, e o servidor usa esse token para as chamadas à API Socket que faz em nome deles. Execute sem as variáveis de OAuth para aceitar tokens brutos da API Socket.

Na inicialização, o servidor descobre os metadados RFC 8414 do emissor. Um emissor que contém um caminho (https://auth.example.com/tenant1) é sondado primeiro na URL well-known com o caminho inserido (https://auth.example.com/.well-known/oauth-authorization-server/tenant1), e o issuer do próprio documento de metadados deve corresponder a SOCKET_OAUTH_ISSUER byte por byte. O emissor deve ser https em um host público; um emissor de loopback ou rede privada é recusado imediatamente, a menos que SOCKET_DEBUG=true esteja definido para trabalho em pilha local. A mesma regra se aplica ao introspection_endpoint que os metadados anunciam.

Os clientes descobrem como autenticar por meio de GET /.well-known/oauth-protected-resource (RFC 9728), que o servidor publica assim que o OAuth está ativado:

{
  "resource": "https://mcp.example.com/",
  "authorization_servers": ["https://issuer.example.com"],
  "scopes_supported": ["packages:list"],
  "bearer_methods_supported": ["header"],
  "resource_name": "Socket MCP Server"
}

Uma solicitação rejeitada responde 401 com um cabeçalho WWW-Authenticate nomeando essa URL de metadados e os escopos que este recurso exige:

WWW-Authenticate: Bearer error="invalid_token", error_description="Invalid or expired token",
  resource_metadata="https://mcp.example.com/.well-known/oauth-protected-resource", scope="packages:list"

[!IMPORTANT] Validação de público. Quando uma resposta de introspecção inclui uma declaração aud, o servidor exige que ela nomeie este recurso e rejeita o token caso contrário. Essa verificação está sempre ativa e não tem opção de desativação. Quando a resposta não inclui nenhum aud, o token é aceito por padrão, porque um servidor de autorização que nunca emite a declaração falharia em todas as solicitações. A validação de público, portanto, protege você exatamente até onde seu servidor de autorização preenche aud; se ele não preencher, nenhum público está sendo verificado. Defina SOCKET_OAUTH_REQUIRE_AUDIENCE=true para exigir adicionalmente a presença da declaração, mas somente depois de confirmar que seu servidor de autorização retorna aud na introspecção. Habilitá-lo contra um servidor que omite a declaração rejeita todo o tráfego.

Adicione TRUST_PROXY=true somente quando o servidor estiver implantado atrás de um proxy reverso ou balanceador de carga confiável que normalize os cabeçalhos de host e protocolo encaminhados.

Configure seu cliente MCP para conectar ao servidor HTTP:

{
  "mcpServers": {
    "socket-mcp": {
      "type": "http",
      "url": "http://localhost:3000"
    }
  }
}

depscore

Consulta a API Socket para obter informações de pontuação de dependências. Retorna pontuações de cadeia de suprimentos, qualidade, manutenção, vulnerabilidade e licença por pacote.

Ecossistemas suportados

Com base no suporte de linguagens do Socket. O parâmetro ecosystem mapeia para tipos PURL:

packagist é aceito como um alias para composer, e openvsx para o tipo PURL vscode.

Exemplo de solicitação:

{
  "packages": [
    { "ecosystem": "npm", "depname": "express", "version": "4.18.2" },
    { "ecosystem": "pypi", "depname": "fastapi", "version": "0.100.0" }
  ]
}

Resposta, como um único bloco de texto. Cada pontuação é um inteiro de 0 a 100, quanto maior, melhor:

Dependency scores:
pkg:npm/express@4.18.2: license: 100, maintenance: 87, quality: 100, supplyChain: 97, vulnerability: 98
  Report: https://socket.dev/npm/package/express
pkg:pypi/fastapi@0.100.0: license: 100, maintenance: 100, quality: 100, supplyChain: 100, vulnerability: 100
  Report: https://socket.dev/pypi/package/fastapi

Os pacotes retornam na ordem em que a API os retorna, não na ordem em que você solicitou. Um pacote do qual o Socket não tem registro é omitido da lista em vez de ser relatado como erro, então compare a resposta com sua solicitação quando um nome estiver ausente.

organizations

Lista as organizações Socket às quais o usuário autenticado pertence. Não recebe parâmetros. Use para descobrir o valor org_slug que as ferramentas com escopo de organização (alerts, threat_feed) exigem.

Esta ferramenta precisa de um token da API Socket. Veja Autenticação para ferramentas com escopo de organização abaixo.

A resposta é o JSON da API Socket, indexado pelo ID da organização. O slug é o que as outras ferramentas querem:

{
  "organizations": {
    "1234": {
      "id": "1234",
      "name": "Acme Robotics",
      "plan": "enterprise",
      "slug": "acme-robotics"
    }
  }
}

alerts

Lista os alertas de segurança mais recentes para uma organização Socket: problemas de cadeia de suprimentos, vulnerabilidade, qualidade, licença e manutenção nos pacotes monitorados da organização. Suportado por GET /v0/orgs/{org_slug}/alerts. Os resultados são paginados; passe o endCursor da resposta anterior como cursor para buscar a próxima página.

threat_feed

Consulta itens no feed de ameaças de uma organização Socket: pacotes recentemente sinalizados como malware, typosquats, código ofuscado e similares. Suportado por GET /v0/orgs/{org_slug}/threat-feed. A resposta carrega um nextPageCursor; passe-o como cursor para avançar de página.

package_files

Lista os arquivos publicados em um pacote: uma árvore de caminhos de arquivos, cada um com seu tamanho e hash de blob, para qualquer pacote em um ecossistema suportado. Use-o para inspecionar o que uma dependência entrega antes de instalá-la. Passe o hash de um arquivo para package_file_contents ou package_file_grep.

A saída é uma linha de cabeçalho e uma árvore. O token após cada tamanho é o hash do blob:

pkg:npm/lodash@4.17.21 — 1054 files, 1379.3 KB
└── package/
    ├── fp/
    │   ├── __.js  43B  QlKUJ6782LHNEISw-t4uX1hyH1TCZye4ShYOMIAghheg
    │   ├── _baseConvert.js  16.0K  QpGkoQltpQn5ZeTFxYQOnk8FWp-7yyeUQtyzdZXl48nA

package_file_contents

Lê um único arquivo de um pacote. Passe o hash impresso ao lado de uma entrada na saída de package_files. Retorna até 1 MB de texto UTF-8; arquivos binários retornam apenas metadados.

package_file_grep

Pesquisa um único arquivo de um pacote por linhas que correspondam a uma expressão regular JavaScript, retornando correspondências com números de linha (estilo grep -n). Cada blob é buscado uma vez e mantido em um cache de todo o processo, então leituras e greps repetidos do mesmo hash pulam a rede.

Pré-requisitos: Node.js 24+.

1. Copie todo o diretório dist/socket-gate para sua pasta de hooks. O socket-gate.cjs incluído é autocontido, então executa sem dependências ao lado dele.

   De uma instalação publicada:

   mkdir -p ~/.claude/hooks
   cp -R node_modules/@socketsecurity/mcp/dist/socket-gate ~/.claude/hooks/
   

   De um checkout, compile-o primeiro:

   pnpm run build
   mkdir -p ~/.claude/hooks
   cp -R dist/socket-gate ~/.claude/hooks/
   

2. Adicione a ~/.claude/settings.json:

{
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Bash",
        "hooks": [
          {
            "type": "command",
            "command": "node ~/.claude/hooks/socket-gate/socket-gate.cjs"
          }
        ]
      }
    ]
  }
}

Veja hooks/socket-gate/README.md para a referência completa.

Este repositório usa pnpm, e todos os comandos são executados a partir da raiz do repositório. Node.js 24+ é necessário.

git clone https://github.com/SocketDev/socket-mcp.git
cd socket-mcp
pnpm install

Execute a partir do código-fonte. Nenhuma etapa de build é necessária, pois o Node 24 remove o TypeScript automaticamente:

export SOCKET_API_TOKEN=your_api_token_here
pnpm run server-stdio

Ou em modo HTTP:

pnpm run server-http

Ambos os scripts leem SOCKET_API_TOKEN (com fallback para SOCKET_API_KEY) do seu ambiente. Adicione :debug a qualquer um deles (pnpm run server-http:debug) para definir SOCKET_DEBUG=1 e obter rastreamento por requisição no stderr.

Nunca coloque -- antes de um caminho de teste; isso amplia a execução para toda a suíte. Escreva pnpm test test/repo/unit/purl.test.mts.

Para operar um servidor em execução manualmente, veja depuração com mock-client.

Endpoint de verificação de saúde

Ao executar em modo HTTP, GET /health retorna a versão do servidor em execução e ignora a validação de origem, o que o torna seguro para ser chamado por uma sonda que não envia cabeçalho Origin:

{
  "status": "healthy",
  "service": "socket-mcp",
  "version": "0.0.20",
  "timestamp": "2026-07-29T01:50:30.394Z"
}

Adequado para sondas de liveness/readiness do Kubernetes, verificações de saúde do Docker e balanceadores de carga.

Solução de problemas

P: O servidor público não está respondendo — Verifique a URL https://mcp.socket.dev/, confirme a configuração do seu cliente MCP e reinicie o cliente MCP.

P: Obtendo um erro 403 Forbidden: Invalid origin, ou o conector nunca abre uma tela OAuth — O servidor aceita cabeçalhos Origin do cliente quando o Host da requisição corresponde à implantação hospedada. Confirme que seu cliente usa https://mcp.socket.dev/ e siga as etapas de configuração acima. Uma resposta persistente Invalid origin exige verificar se a implantação hospedada inclui a correção.

P: O servidor local falha ao iniciar — Garanta que o Node.js 24+ esteja instalado, verifique se SOCKET_API_TOKEN está definido e confirme que o token da API tem permissão packages:list. No modo stdio, um token ausente é fatal: o servidor imprime SOCKET_API_TOKEN environment variable is required in stdio mode e sai com código 1.

P: O servidor sai com Incomplete OAuth configuration for HTTP mode — SOCKET_OAUTH_ISSUER, SOCKET_OAUTH_INTROSPECTION_CLIENT_ID e SOCKET_OAUTH_INTROSPECTION_CLIENT_SECRET devem estar todos definidos ou todos não definidos.

P: Obtendo erros de autenticação com o servidor local — Verifique novamente se sua chave de API é válida, garanta o escopo packages:list e regenere se necessário. Se a ferramenta que falhou foi organizations, alerts, threat_feed ou package_files em uma implantação HTTP, o servidor se recusa a responder com o token do operador por design; envie o seu próprio em um cabeçalho Authorization: Bearer.

P: O assistente de IA não encontra a ferramenta depscore — Reinicie seu cliente MCP após alterações de configuração, verifique se a configuração foi salva e confirme que o servidor está em execução. tools/list anuncia um cache público de uma hora, então um cliente que armazena em cache a lista de ferramentas pode precisar de uma reinicialização para detectar uma ferramenta recém-adicionada.

Obtendo ajuda

• 📖 Documentação do Socket
• 🐛 Reportar Problemas
• 💬 Suporte da Comunidade