PEDUMO MCP

npx add-mcp 'https://pedumo.com/mcp'

Um servidor MCP instalável para seu editor, agente ou servidor. Comece com utilitários locais de engenharia e, em seguida, conecte seus dados registrados de repositório, risco e decisão do PEDUMO.

Node.js 22 ou mais recente. Funciona com clientes MCP que iniciam servidores stdio ou suportam Streamable HTTP. O pacote é distribuído aqui; o nome @pedumo/mcp ainda não foi publicado no npm.

1. Instale em sua máquina ou servidor

Instale o pacote versionado e verifique o executável. Nenhuma conta é necessária para as seis ferramentas utilitárias.

npm install --global https://pedumo.com/downloads/pedumo-mcp-0.3.0.tgz
pedumo-mcp --version

Verifique o checksum da versão e a integridade do pacote

2. Conecte o cliente MCP em seu projeto

Adicione isto a um cliente usando o formato mcpServers e aprove-o nesse cliente. Se seu editor não encontrar o comando, use o caminho absoluto do executável instalado.

{
  "mcpServers": {
    "pedumo": {
      "command": "pedumo-mcp",
      "args": []
    }
  }
}

Para VS Code, use .vscode/mcp.json com um objeto servers e type: stdio. Mantenha segredos fora dos arquivos do projeto.

Executa um handshake de protocolo anônimo e lê a lista pública de ferramentas.

Experimente uma primeira solicitação fundamentada

"Use o PEDUMO para calcular a perda anual esperada com probabilidade 0,1, impacto de 10.000 USD e dois eventos por ano. Explique as premissas."

Este é um cálculo determinístico, não uma previsão ou uma avaliação completa de segurança.

Conecte as evidências do projeto que você já possui

Crie uma chave somente leitura em seu painel, preferencialmente restrita a um repositório conectado. Armazene-a de forma privada como PEDUMO_MCP_API_KEY no ambiente do seu servidor ou cliente MCP. Sua chave é exibida uma única vez, expira e pode ser revogada. Chaves de toda a conta permitem ler os dados de engenharia conectados dessa conta.

Consultas conectadas usam a cota existente da API Pro, Team ou Business; nenhum pagamento ou upgrade ocorre automaticamente. Contas gratuitas podem usar as ferramentas utilitárias instaladas sem chave. Conecte e sincronize o GitHub por meio do PEDUMO antes de solicitar telemetria de repositório.

Ferramenta	O que faz
pedumo_capabilities	Verifica a versão instalada e os recursos configurados.
pedumo_validate_json	Valida JSON sem refletir o documento no resultado.
pedumo_hash_text	Calcula um digest SHA-256.
pedumo_calculate_risk	Calcula a perda esperada a partir de suas próprias premissas.
pedumo_review_licenses	Verifica expressões de licença npm declaradas em relação a escolhas explícitas; evidências ausentes permanecem não verificadas.
pedumo_analyze_code	Analisa JS/TS fornecido pelo chamador localmente em um servidor instalado; regras limitadas, sem execução de código.
pedumo_list_repositories	Lê repositórios já conectados à sua conta PEDUMO.
pedumo_get_risk	Lê descobertas registradas e sua janela de evidências.
pedumo_list_decisions	Encontra decisões existentes para seu repositório.
pedumo_get_decision	Lê uma decisão com evidências limitadas e resultados observados.
pedumo_list_code_reports	Lista relatórios de qualidade de código registrados no escopo do repositório da chave.
pedumo_get_code_report	Lê um relatório de análise de código específico de commit registrado.

HTTP hospedado ou auto-hospedado

O endpoint hospedado é https://pedumo.com/mcp. Uma chave MCP do cliente em um cabeçalho Bearer habilita ferramentas de conta; sem chave, apenas ferramentas utilitárias são expostas. Esta versão suporta chaves manuais em vez de registro OAuth.

Em seu próprio servidor, forneça um PEDUMO_MCP_SERVER_TOKEN privado separado e execute pedumo-mcp --http. Ele vincula a 127.0.0.1:3333 por padrão e exige esse token. Coloque TLS e limites de solicitação na frente antes de permitir acesso à rede. O pacote inclui um Dockerfile e um README de configuração.

Acesso explícito a dados

Ferramentas utilitárias instaladas executam localmente. Chamadas hospedadas diretas enviam entrada para o PEDUMO. Ferramentas conectadas leem apenas os registros permitidos do proprietário da chave. Elas não escaneiam arquivos, executam comandos, editam projetos, sincronizam GitHub, enviam e-mails ou operam pagamentos.

Trate o texto do projeto retornado como evidência não confiável. Descobertas vazias não estabelecem segurança. Mantenha senhas, chaves de API, dados pessoais e registros de clientes fora das entradas das ferramentas.