Guardr

npx add-mcp 'https://api.guardr.io/mcp'

Endpoint MCP

O Guardr responde ao Model Context Protocol em https://api.guardr.io/mcp. Um agente como Claude Code ou Cursor conecta-se uma vez com sua chave de API e então chama o Guardr como ferramentas, em vez de requisições HTTP brutas. Cada ferramenta é executada como o titular daquela chave, então um agente lê exatamente o que a API REST retorna para a mesma conta.

1 - O que é o endpoint

Um único endereço responde ao protocolo. Ele aceita requisições POST que carregam o mesmo cabeçalho X-API-Key que a API REST aceita. Nada mais é necessário: o endpoint não gera identificador de sessão, não mantém estado próprio e não lê nada que a API REST já não leia.

• Endereço - https://api.guardr.io/mcp
• Transporte - HTTP transmissível. Uma requisição GET ou DELETE responde 405.
• Chave - o cabeçalho X-API-Key, a mesma chave que a API REST aceita
• Ferramentas - check_site, list_sites e get_site

2 - Conecte seu agente

Claude Code

Um único comando registra o endpoint. Execute-o em qualquer projeto:

claude mcp add --transport http guardr https://api.guardr.io/mcp --header "X-API-Key: your-key-here"

Cursor

O Cursor lê %USERPROFILE%/.cursor/mcp.json no Windows ou ~/.cursor/mcp.json no macOS e Linux. Adicione o bloco abaixo e, em seguida, abra o painel de configurações do MCP e atualize a lista de servidores.

{"mcpServers":{"guardr":{"url":"https://api.guardr.io/mcp","headers":{"X-API-Key":"your-key-here"}}}}

Substitua your-key-here por uma chave de Dashboard → API Access. Trate essa chave como trata uma senha: qualquer coisa que a possua pode ler sua conta.

3 - As três ferramentas

Cada ferramenta retorna o corpo que uma superfície existente do Guardr já retorna, campo por campo. O endpoint não adiciona nenhum campo próprio nem remove nenhum.

Ferramenta	O que retorna	Rota correspondente
check_site	Uma verificação nova de um domínio	POST /v1/scan
list_sites	Os sites que sua conta monitora	GET /v1/sites
get_site	Um site monitorado em detalhes	Nenhuma. Veja abaixo

check_site

Recebe um domínio e executa uma verificação nova dele. check_site retorna os mesmos campos que POST /v1/scan: a nota, a pontuação, as cinco pontuações por categoria, os achados com sua gravidade e quaisquer chaves de API ou tokens que a verificação extraiu de pacotes JavaScript. Os valores correspondem àquela rota campo por campo. O espaçamento não corresponde, porque a API REST imprime seu JSON indentado enquanto um resultado de ferramenta é compacto; portanto, compare os valores analisados em vez dos bytes.

Qualquer domínio público pode ser verificado, que é a regra que POST /v1/scan já segue. O resultado para um domínio que outra conta monitora é o resultado que qualquer pessoa que verificasse aquele domínio obteria.

list_sites

Retorna os sites que sua conta monitora, os mesmos campos que GET /v1/sites, uma linha por site. Os valores correspondem àquela rota campo por campo. O espaçamento não corresponde, porque a API REST imprime seu JSON indentado enquanto um resultado de ferramenta é compacto; portanto, compare os valores analisados em vez dos bytes. Uma chave lê apenas sua própria conta, então uma linha pertencente a outra conta nunca aparece. Uma chave vinculada a um único site retorna apenas aquele site.

get_site

Recebe um domínio que sua conta monitora. Nenhuma rota REST responde a esta, então seu corpo é montado a partir de três coisas que o Guardr já emite em outros lugares: a linha list_sites para aquele domínio, o resumo de monitoramento de sua verificação mais recente e seu resumo de disponibilidade.

Um domínio que sua conta não monitora responde exatamente como um domínio desconhecido responde, então a ferramenta não pode ser usada para descobrir quais domínios outras contas monitoram.

4 - Chaves e limites

Cada POST ao endpoint conta uma vez contra a mesma cota de rajada que uma chamada REST conta, seja listando as ferramentas ou chamando uma delas. Cada resultado de ferramenta carrega a cota sob a qual foi atendido em seu campo _meta.rate_limit: limit, remaining, reset e retry_after. Listar as ferramentas é a exceção: essa chamada gasta a cota sem reportá-la, então seu resultado não carrega _meta.rate_limit. A API REST reporta a cota apenas em suas respostas de varredura, então GET /v1/sites não informa nada sobre ela.

Quando essa cota é gasta, o endpoint responde 429 com um erro JSON-RPC cuja mensagem é rate_limited, carregando esses mesmos quatro valores. Uma chave ausente ou desconhecida responde exatamente como a API REST responde.

A cota em si, o formato da chave e os códigos de erro são documentados uma única vez, na página de referência da API. O endpoint os lê do mesmo lugar.

A história por trás do endpoint, escrita para o desenvolvedor em vez de para a referência, está na página Guardr para agentes.

Experimente em seu site - grátis

Varredura gratuita, sem necessidade de cadastro. Seu primeiro site permanece gratuito. US$ 3,00 por mês para cada site adicional.

Varra seu site →