Guida introduttiva a DepCheck

📄 Preferisci offline? Scarica questa guida in PDF.

DepCheck è un server MCP ospitato. Colleghi il tuo client AI una volta sola e, da quel momento in poi, l'agente del client può richiamare gli strumenti di controllo delle dipendenze ogni volta che ne ha bisogno.

Ci sono due modi per eseguirlo:

1. Ospitato (consigliato) — connettiti a https://mcp.cert-ix.com/depcheck via rete. Nulla da installare; sempre aggiornato.
2. Locale (stdio) — esegui il binario vuln-mcp accanto al tuo agente per una configurazione completamente offline e consapevole del filesystem.

Prerequisiti

• Un client compatibile con MCP: Claude Code, Claude Desktop, Cursor, VS Code (con un'estensione MCP), o qualsiasi client che parli streamable-HTTP MCP.
• Una chiave API DepCheck. Richiedila al tuo team account Cert-IX; viene inviata come token Bearer a ogni richiesta. Trattala come una password — vedi Sicurezza e gestione dei dati.

informazioni

L'endpoint ospitato richiede una chiave API. Le richieste prive di un header Authorization: Bearer <key> valido vengono rifiutate con 401.

Opzione 1 — Endpoint ospitato

Claude Code (CLI)

Aggiungi il server con il comando claude mcp:

claude mcp add --transport http depcheck https://mcp.cert-ix.com/depcheck \
  --header "Authorization: Bearer YOUR_API_KEY"

Verifica che sia stato registrato e che gli strumenti siano visibili:

claude mcp list

Dovresti vedere depcheck con cinque strumenti: check_package, scan_dependencies, suggest_safe_version, get_advisory e get_cve_intel.

Claude Desktop / Cursor / client MCP generico

Aggiungi una voce alla configurazione MCP del tuo client. La maggior parte dei client accetta un blocco server streamable-HTTP come questo:

{
  "mcpServers": {
    "depcheck": {
      "type": "http",
      "url": "https://mcp.cert-ix.com/depcheck",
      "headers": {
        "Authorization": "Bearer YOUR_API_KEY"
      }
    }
  }
}

Riavvia il client dopo aver salvato. La posizione esatta del file varia in base al client (Claude Desktop usa claude_desktop_config.json; Cursor usa il suo pannello delle impostazioni MCP) — il blocco server qui sopra è la parte che conta.

Verifica rapida con curl

L'endpoint è un server MCP standard, quindi puoi confermare raggiungibilità e autenticazione con una chiamata initialize grezza:

curl -sS https://mcp.cert-ix.com/depcheck \
  -H "Authorization: Bearer YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"initialize",
       "params":{"protocolVersion":"2025-06-18",
                 "capabilities":{},
                 "clientInfo":{"name":"curl","version":"1.0"}}}'

Un 200 con un risultato JSON-RPC significa che autenticazione e connettività sono a posto. Un 401 significa che la chiave è mancante o errata; un 429 significa che hai raggiunto il limite di frequenza (vedi Sicurezza e gestione dei dati).

Opzione 2 — Locale (stdio)

Per il lavoro air-gapped, o quando vuoi che l'agente legga i manifest direttamente dal disco, esegui il server localmente tramite stdio. In questa modalità scan_dependencies accetta un percorso di file (manifest_path) oltre al contenuto inline.

{
  "mcpServers": {
    "depcheck": {
      "command": "vuln-mcp",
      "env": {
        "VULN_MCP_SOURCE": "es-then-osv"
      }
    }
  }
}

Ospitato vs locale: una differenza in scan_dependencies

Il server ospitato non ha accesso al tuo filesystem, quindi il suo strumento scan_dependencies prende il testo del manifest (manifest_content + manifest_name) — il tuo agente legge il file e ne passa il contenuto. Il server stdio locale accetta anche un manifest_path. Tutto il resto è identico.

Prima chiamata

Una volta connesso, chiedi al tuo agente qualcosa come:

"Prima di aggiungerlo, [email protected] è sicuro? Se no, qual è la versione pulita più recente?"

L'agente chiamerà check_package(ecosystem="npm", name="express", version="4.17.1") e, se ci sono advisory, suggest_safe_version — e ti dirà quale versione usare. Questo è tutto il senso: il controllo avviene prima che la dipendenza approdi nel tuo manifest.

Prosegui con Riferimento degli strumenti per il set completo di parametri di ciascuno strumento, oppure con Flussi di lavoro degli agenti per la disciplina del controllo-prima-di-aggiungere.