Guida introduttiva a DepCheck

📄 Preferisci offline? Scarica questa guida in PDF.

DepCheck è un server MCP ospitato. Colleghi il tuo client AI una volta sola e, da quel momento in poi, l'agente del client può richiamare gli strumenti di controllo delle dipendenze ogni volta che ne ha bisogno.

Ci sono due modi per eseguirlo:

1. Ospitato (consigliato) — connettiti a https://mcp.cert-ix.com/depcheck via rete. Nulla da installare; sempre aggiornato.
2. Locale (stdio) — esegui il binario vuln-mcp accanto al tuo agente, così può leggere i manifest direttamente dal disco. Locale non significa offline: continua comunque a cercare gli advisory via rete.

Prerequisiti

• Un client compatibile con MCP: Claude Code, Claude Desktop, Cursor, VS Code (con un'estensione MCP), o qualsiasi client che parli streamable-HTTP MCP.
• Una chiave API DepCheck — gratuita, self-service, senza bisogno di un account Cert-IX. Richiedila su cert-ix.com/tools/depcheck-mcp: conferma il tuo indirizzo e-mail e la chiave ti arriva via e-mail. Una chiave dura 90 giorni; prima della scadenza ricevi un'e-mail con un link per rinnovarla con un clic, e la stessa chiave continua a funzionare. Viene inviata come token Bearer a ogni richiesta, quindi trattala come una password — vedi Sicurezza e gestione dei dati.

informazioni

L'endpoint ospitato richiede una chiave API. Le richieste prive di un header Authorization: Bearer <key> valido vengono rifiutate con 401.

Opzione 1 — Endpoint ospitato

Claude Code (CLI)

Aggiungi il server con il comando claude mcp:

claude mcp add --transport http depcheck https://mcp.cert-ix.com/depcheck \
  --header "Authorization: Bearer YOUR_API_KEY"

Verifica che sia stato registrato e che gli strumenti siano visibili:

claude mcp list

Dovresti vedere depcheck con cinque strumenti: check_package, scan_dependencies, suggest_safe_version, get_advisory e get_cve_intel.

Claude Desktop / Cursor / client MCP generico

Aggiungi una voce alla configurazione MCP del tuo client. La maggior parte dei client accetta un blocco server streamable-HTTP come questo:

{
  "mcpServers": {
    "depcheck": {
      "type": "http",
      "url": "https://mcp.cert-ix.com/depcheck",
      "headers": {
        "Authorization": "Bearer YOUR_API_KEY"
      }
    }
  }
}

Riavvia il client dopo aver salvato. La posizione esatta del file varia in base al client (Claude Desktop usa claude_desktop_config.json; Cursor usa il suo pannello delle impostazioni MCP) — il blocco server qui sopra è la parte che conta.

Verifica rapida con curl

L'endpoint è un server MCP standard, quindi puoi confermare raggiungibilità e autenticazione con una chiamata initialize grezza:

curl -sS https://mcp.cert-ix.com/depcheck \
  -H "Authorization: Bearer YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"initialize",
       "params":{"protocolVersion":"2025-06-18",
                 "capabilities":{},
                 "clientInfo":{"name":"curl","version":"1.0"}}}'

Un 200 con un risultato JSON-RPC significa che autenticazione e connettività sono a posto. Un 401 significa che la chiave è mancante o errata; un 429 significa che hai raggiunto il limite di frequenza (vedi Sicurezza e gestione dei dati).

Opzione 2 — Locale (stdio)

Quando vuoi che l'agente legga i manifest direttamente dal disco, esegui il server localmente tramite stdio. In questa modalità scan_dependencies accetta un percorso di file (manifest_path) oltre al contenuto inline.

{
  "mcpServers": {
    "depcheck": {
      "command": "vuln-mcp"
    }
  }
}

Locale non significa offline. Configurato così, il server cerca gli advisory nell'API pubblica di osv.dev, e suggest_safe_version legge gli elenchi delle versioni da deps.dev; entrambi i servizi ricevono le coordinate dei pacchetti — vedi Sicurezza e gestione dei dati.

Ospitato vs locale: cosa cambia

• Manifest. Il server ospitato non ha accesso al tuo filesystem, quindi il suo strumento scan_dependencies prende il testo del manifest (manifest_content + manifest_name) — il tuo agente legge il file e ne passa il contenuto. Il server stdio locale accetta anche un manifest_path.
• Fonte degli advisory. Il server ospitato risponde innanzitutto dal mirror degli advisory di Cert-IX e offre get_cve_intel, che ha bisogno dei dati KEV / EPSS del mirror. Un'istanza locale senza accesso al mirror interroga direttamente osv.dev ed espone gli altri quattro strumenti.

Prima chiamata

Una volta connesso, chiedi al tuo agente qualcosa come:

"Prima di aggiungerlo, [email protected] è sicuro? Se no, qual è la versione pulita più recente?"

L'agente chiamerà check_package(ecosystem="npm", name="express", version="4.17.1") e, se ci sono advisory, suggest_safe_version — e ti dirà quale versione usare. Questo è tutto il senso: il controllo avviene prima che la dipendenza approdi nel tuo manifest.

Prosegui con Riferimento degli strumenti per il set completo di parametri di ciascuno strumento, oppure con Flussi di lavoro degli agenti per la disciplina del controllo-prima-di-aggiungere.