com.botrecipe/vault

Est-ce que com.botrecipe/vault est sûr ?

Au dernier audit MCP Hub, le serveur MCP « com.botrecipe/vault » est classé « Non encore testé ». Référencé dans l'annuaire. Seul le pentest comportemental fait foi, et il n'a pas encore été exécuté sur ce serveur. Le verdict est réévalué en continu ; consultez la fiche pour l'état à jour.

Méthode : MCP Hub analyse la description de chaque outil (couche 1) et, pour le verdict fort, exécute le serveur dans une micro-VM isolée avec leurres et réseau bloqué (couche 2). On publie des noms et des compteurs, jamais le contenu brut renvoyé par un outil.

Les 11 outils

• audit_log≈ 70 tokens

  Owner only. The last uses of your vault: who (bot label), which login, which domain, what happened. Never contains secrets.

  Paramètres, retour & exemple (1)

  Paramètres

  • limit · integer · optionnel
    1-200, default 50.

  Exemple d'appel

  {"name": "audit_log", "arguments": {"limit": 1}}

  Exemple de retour

  {"content": [{"type": "text", "text": "…"}]}

• create_bot_key≈ 122 tokens

  Owner only. Make a per-bot key (vk_...) that can only open sessions on the logins you name. Shown once; we store only its hash. Revoke any time with revoke_bot_key.

  Paramètres, retour & exemple (2)

  Paramètres

  • label · string · requis
    Which bot, e.g. "invoice-bot".
  • logins · array · requis
    Names of saved logins this bot may use.

  Exemple d'appel

  {"name": "create_bot_key", "arguments": {"label": "texte", "logins": []}}

  Exemple de retour

  {"content": [{"type": "text", "text": "…"}]}

• delete_login≈ 58 tokens

  Owner only. Delete a saved login, end its open sessions and remove it from every bot key.

  Paramètres, retour & exemple (1)

  Paramètres

  • name · string · requis

  Exemple d'appel

  {"name": "delete_login", "arguments": {"name": "texte"}}

  Exemple de retour

  {"content": [{"type": "text", "text": "…"}]}

• end_session≈ 47 tokens

  End a session now and wipe its cookies.

  Paramètres, retour & exemple (1)

  Paramètres

  • session · string · requis

  Exemple d'appel

  {"name": "end_session", "arguments": {"session": "texte"}}

  Exemple de retour

  {"content": [{"type": "text", "text": "…"}]}

• list_logins≈ 64 tokens

  List saved logins (name, domain, scope, sessions today; never secrets). With your owner key it also lists bot keys. A bot key only sees the logins it was granted.

  Paramètres, retour & exemple (0)

  Exemple d'appel

  {"name": "list_logins", "arguments": {}}

  Exemple de retour

  {"content": [{"type": "text", "text": "…"}]}

• open_session≈ 314 tokens

  Sign in with a saved login without seeing it. The server fills {{username}}, {{password}} and {{totp}} into your form, posts it to url (https, inside the login's allowed hosts), keeps the cookies encrypted, and returns an opaque session id. Checked against the login's scope and daily cap; logged to the audit log. If the site shows a CAPTCHA or new-device check, the reply suggests next_step request_human (Human Handoff relay). Free watch-only logs would_use_vault and signs in nowhere.

  Paramètres, retour & exemple (6)

  Paramètres

  • as · string · optionnel · form | json
    Body encoding. Default form.
  • url · string · requis
    The sign-in endpoint, e.g. https://example.com/session.
  • form · object · optionnel
    Fields to send, values may use {{username}}, {{password}}, {{totp}}. Default {"username":"{{username}}","password":"{{password}}"}.
  • name · string · requis
    Saved login name.
  • method · string · optionnel · POST | PUT
    Default POST.
  • prefetch · boolean · optionnel
    GET the url first to pick up CSRF cookies. Default true.

  Exemple d'appel

  {"name": "open_session", "arguments": {"url": "texte", "name": "texte"}}

  Exemple de retour

  {"content": [{"type": "text", "text": "…"}]}

• revoke_bot_key≈ 56 tokens

  Owner only. Revoke a bot key right away and end every session it opened.

  Paramètres, retour & exemple (1)

  Paramètres

  • bot_id · string · requis

  Exemple d'appel

  {"name": "revoke_bot_key", "arguments": {"bot_id": "texte"}}

  Exemple de retour

  {"content": [{"type": "text", "text": "…"}]}

• save_login≈ 400 tokens

  Owner only (your Pro key, never a bot key). Store one login sealed with AES-256-GCM, with a scope: allowed hosts, allowed methods, a daily session cap and session TTL. Run it from your own machine, not inside the bot. The password and TOTP secret are never returned by any tool. Free watch-only stores nothing and logs would_use_vault.

  Paramètres, retour & exemple (6)

  Paramètres

  • name · string · requis
    Short id, e.g. "github-bot" (letters, digits, . _ - @).
  • scope · object · optionnel
    Where and how this login may be used.
  • domain · string · requis
    Site the login belongs to, e.g. github.com.
  • password · string · requis
  • username · string · requis
  • totp_secret · string · optionnel
    Optional base32 TOTP secret, so {{totp}} can fill 2FA codes.

  Exemple d'appel

  {"name": "save_login", "arguments": {"name": "texte", "domain": "texte", "password": "texte", "username": "texte"}}

  Exemple de retour

  {"content": [{"type": "text", "text": "…"}]}

• session_fetch≈ 131 tokens

  Make one request inside an open session. url must be https inside the login's allowed hosts and the method must be in its allowed methods. The password, TOTP secret and codes are redacted from the reply; cookies never leave the vault.

  Paramètres, retour & exemple (5)

  Paramètres

  • url · string · requis
  • body · ? · optionnel
    String or JSON.
  • method · string · optionnel
  • headers · object · optionnel
  • session · string · requis

  Exemple d'appel

  {"name": "session_fetch", "arguments": {"url": "texte", "session": "texte"}}

  Exemple de retour

  {"content": [{"type": "text", "text": "…"}]}

• usage_and_upgrade≈ 52 tokens

  Show today's usage for your key or IP and the $9/month upgrade link. Free tier: 500 calls/day. Not metered.

  Paramètres, retour & exemple (0)

  Exemple d'appel

  {"name": "usage_and_upgrade", "arguments": {}}

  Exemple de retour

  {"content": [{"type": "text", "text": "…"}]}

• weekly_report≈ 63 tokens

  Plain-English summary of the last 7 days: where your bots needed to sign in (by domain), sessions opened, blocked attempts, by bot. Read-only. Needs a key.

  Paramètres, retour & exemple (0)

  Exemple d'appel

  {"name": "weekly_report", "arguments": {}}

  Exemple de retour

  {"content": [{"type": "text", "text": "…"}]}

C'est votre serveur ?

Revendiquez-le sur l'espace créateur (preuve GitHub, domaine ou npm) pour afficher le badge « propriétaire vérifié » et lancer un pentest comportemental à la demande afin d'obtenir le badge « Vérifié ».

Créer un compte / revendiquer →

Source

https://vault.cloudforbots.com/mcp