NPMScan — MCP-сервер для Claude Code: проверка npm-пакетов
Подключает к агенту поиск по реестру npm и проверку уязвимостей через OSV.dev и GitHub. Пригодится, когда нужно понять, безопасно ли ставить пакет.
claude mcp add --transport http npmscan https://npmscan.com/api/mcpЧто делает NPMScan
NPMScan — публичный MCP-сервер на https://npmscan.com/api/mcp с двадцатью тремя инструментами. Агент ищет пакеты в реестре npm, смотрит метаданные конкретной версии, историю мейнтейнеров, скрипты установки и находки по уязвимостям. Каждый результат содержит npmscanUrl со ссылкой на полный разбор на сайте.
Ключ API не нужен, авторизации нет. Сервер не хранит состояние между запросами, а частота обращений ограничена тридцатью в минуту на IP — при массовом аудите монорепозитория этот лимит упрётся первым. У каждой находки есть флаг isMalware, поэтому подтверждённо вредоносный пакет приходит как malware к удалению, а не как обычный баг.
В комплекте пять скиллов: /npmscan:dependency-audit прогоняет цепочку инструментов по package.json, локфайлу или SBOM, /npmscan:package-trust-check копает один пакет, /npmscan:new-dependency-evaluation сравнивает кандидатов на добавление, /npmscan:incident-response собирает шаги по устранению, /npmscan:ci-pr-gate выдаёт вердикт PASS/WARN/FAIL для CI.
Какие задачи решает
- проверить, не вредоносный ли пакет, который тянет зависимость
- найти уязвимости в версии, зафиксированной в локфайле
- сравнить двух-пяти кандидатов перед добавлением в проект
- разобрать вывод
npm audit --jsonв понятный отчёт - получить вердикт по диффу зависимостей для PR
Примеры запросов агенту
- Проверь зависимости в
package.jsonи покажи, что опасно - Безопасен ли пакет
event-stream? - Сравни
axios,gotиnode-fetchдля нашего проекта
Как установить NPMScan
Командой платформы: удалённый сервер
claude mcp add --transport http npmscan https://npmscan.com/api/mcpКомандой платформы: удалённый сервер
codex mcp add npmscan --url https://npmscan.com/api/mcpФайл настроек
{
"mcpServers": {
"npmscan": {
"url": "https://npmscan.com/api/mcp"
}
}
}Файл настроек
{
"servers": {
"npmscan": {
"type": "http",
"url": "https://npmscan.com/api/mcp"
}
}
}Командой платформы: удалённый сервер
gemini mcp add -t http npmscan https://npmscan.com/api/mcpПо шагам, с командами для каждой платформы: Как подключить MCP-сервер: Claude Code, Codex, Cursor, VS Code, Gemini CLI и другие
Вопросы о NPMScan
Как установить NPMScan в Claude Code?
Одной командой: claude mcp add --transport http npmscan https://npmscan.com/api/mcp.
Что делает NPMScan?
Даёт агенту доступ к поиску пакетов в реестре npm и к проверкам уязвимостей через OSV.dev и GitHub. Плюс пять скиллов для аудита зависимостей, проверки одного пакета, сравнения кандидатов, разбора инцидента и гейта для CI.
Нужен ли ключ API?
Нет, сервер публичный и без авторизации. Ограничение — тридцать запросов в минуту на IP.
