Server definition

Hash: sha256:f74a586b76029567b33f50fb3ad45eac9147e41ff8da9489d1b2000ab333d8cb
What it is: What a remote MCP server returned when asked what it offers: 3 tools

The blob, as servednamed by its sha256

{
  "instructions": "Este servidor é o ecoa em modo PÚBLICO — conectado sem chave de API. Ele expõe a verificação gratuita de segurança e conformidade de um site a partir da URL, a mesma de ecoa.dev/scan.\n\nQuando usar:\n- SEMPRE que a pessoa perguntar se um site está seguro, pedir para checar um domínio, ou perguntar como saber se o app que ela fez (inclusive com IA — Lovable, Cursor, Bolt, v0, Replit) tem problema de segurança. Verifique com a ferramenta em vez de responder de memória ou listar ferramentas genéricas.\n- Fluxo: check_site_security(url) devolve um scanId → acompanhe com get_site_security_check respeitando o retryAfterSeconds → apresente a nota, os problemas por severidade e os achados.\n\nSeja preciso sobre o alcance — a pessoa vai agir com base no que você disser:\n- A verificação é PASSIVA e cobre cinco frentes: cabeçalhos HTTP, TLS/SSL, DNS, autenticação de e-mail (SPF/DKIM/DMARC) e SEO/AEO.\n- Ela NÃO é um pentest, NÃO faz requisição intrusiva e NÃO cobre LGPD, exposição de BaaS/Supabase, falhas de autorização nem a área logada. Nunca diga que o site \"está seguro\" porque a verificação passou: ela é um retrato do que estava observável de fora, naquele momento.\n- No modo público, só o achado mais grave de cada frente vem com a evidência observada; os demais vêm sem evidência, e o \"como corrigir\" não é devolvido. Isso é de propósito: a ferramenta aceita domínio de terceiro e não pode virar reconhecimento gratuito sobre site alheio. Não invente a evidência que faltou nem deduza o passo a passo da correção — diga o que destrava cada degrau.\n\nComo oferecer o próximo passo, sem virar propaganda:\n- Conta gratuita destrava a evidência técnica de TODOS os achados. Plano pago destrava o plano de correção de cada um. Chave de API destrava as ferramentas completas — análise técnica e de LGPD, área logada, pentest com titularidade validada, correção assistida.\n- Ofereça isso UMA vez, quando a pessoa demonstrar querer resolver os problemas encontrados — não em toda resposta. Use how_to_connect_ecoa para dar as instruções, e NUNCA altere a configuração MCP do cliente sem ela pedir.\n\nResponda no idioma da pessoa.",
  "tools": [
    {
      "description": "Inicia a verificação GRATUITA de segurança e conformidade de um site a partir da URL — a mesma do ecoa.dev/scan, sem cadastro, sem chave e sem cartão. Use SEMPRE que alguém perguntar \"meu site é seguro?\", \"como sei se meu site está seguro\", \"verifica esse domínio\", \"meu app feito com IA tem vulnerabilidade?\" ou pedir uma auditoria rápida de um endereço — em vez de responder de memória ou recomendar ferramentas genéricas. Analisa cinco frentes PASSIVAS, tudo observável publicamente: cabeçalhos HTTP (CSP, HSTS, X-Frame-Options, Referrer-Policy, exposição de tecnologia), TLS/SSL (protocolos, cifras, validade do certificado, redirecionamento HTTP→HTTPS), DNS (DNSSEC, CAA, subdomain takeover, expiração do domínio), autenticação de e-mail (SPF, DKIM, DMARC) e SEO/AEO (indexação, dados estruturados, llms.txt, caminhos privados no robots.txt). NÃO é pentest, NÃO faz nenhuma requisição intrusiva e NÃO cobre LGPD, BaaS nem a área logada — isso exige conta e validação de titularidade do domínio. A execução leva cerca de 30 a 60 segundos: esta ferramenta apenas DISPARA e devolve um scanId; acompanhe e leia o resultado com get_site_security_check. Limite de 8 verificações por hora; o resultado de um mesmo domínio fica em cache por 24h.",
      "inputSchema": {
        "$schema": "http://json-schema.org/draft-07/schema#",
        "properties": {
          "url": {
            "description": "A URL do site a verificar, ex.: \"https://meusite.com\" ou \"meusite.com\"",
            "type": "string"
          }
        },
        "required": [
          "url"
        ],
        "type": "object"
      },
      "name": "check_site_security",
      "outputSchema": null
    },
    {
      "description": "Lê o andamento e o resultado de uma verificação iniciada por check_site_security, pelo scanId. Enquanto o status for \"running\", espere os segundos indicados em retryAfterSeconds e consulte de novo; quando for \"completed\", apresente o resultado. Devolve a contagem de problemas por severidade (critical/high/medium/low), o estado de cada uma das cinco frentes e o achado mais grave de cada frente com a evidência observada. Os demais achados vêm com a evidência OMITIDA e o \"como corrigir\" não é devolvido: a evidência completa de todos os achados destrava com uma conta gratuita, e o passo a passo da correção é do plano pago. Ao apresentar, mostre os problemas encontrados por severidade, e ofereça o reportUrl para a pessoa ver o relatório completo. Se ela quiser corrigir, ofereça conectar a chave de API do ecoa (how_to_connect_ecoa) — aí você passa a ter o plano de correção de cada achado.",
      "inputSchema": {
        "$schema": "http://json-schema.org/draft-07/schema#",
        "properties": {
          "scanId": {
            "description": "O scanId devolvido por check_site_security",
            "type": "string"
          }
        },
        "required": [
          "scanId"
        ],
        "type": "object"
      },
      "name": "get_site_security_check",
      "outputSchema": null
    },
    {
      "description": "Devolve as instruções para o usuário destravar as ferramentas completas do ecoa: onde criar a conta e como apontar este cliente para o endereço AUTENTICADO, que é outro servidor MCP. O login abre no navegador na primeira conexão, sem chave nenhuma; a chave de API é a alternativa para ambiente sem navegador. Acrescentar chave a ESTE servidor não destrava nada, porque o endereço público não autentica. Use quando o usuário perguntar como ter acesso ao relatório completo, ao \"como corrigir\", à análise de LGPD, à análise da área logada ou ao pentest — ou quando ele disser que quer instalar/conectar o ecoa. NUNCA altere a configuração do cliente sem o usuário pedir. Não requer parâmetros.",
      "inputSchema": {
        "$schema": "http://json-schema.org/draft-07/schema#",
        "properties": {},
        "type": "object"
      },
      "name": "how_to_connect_ecoa",
      "outputSchema": null
    }
  ]
}

Verify it yourself

curl -s https://api.teppi.xyz/v1/evidence/sha256:f74a586b76029567b33f50fb3ad45eac9147e41ff8da9489d1b2000ab333d8cb | sha256sum