com.free-sign/signing

Est-ce que com.free-sign/signing est sûr ?

Au dernier audit MCP Hub, le serveur MCP « com.free-sign/signing » est classé « Non encore testé ». Référencé dans l'annuaire. Seul le pentest comportemental fait foi, et il n'a pas encore été exécuté sur ce serveur. Le verdict est réévalué en continu ; consultez la fiche pour l'état à jour.

Méthode : MCP Hub analyse la description de chaque outil (couche 1) et, pour le verdict fort, exécute le serveur dans une micro-VM isolée avec leurres et réseau bloqué (couche 2). On publie des noms et des compteurs, jamais le contenu brut renvoyé par un outil.

Les 5 outils

• create_signing_envelope≈ 288 tokens

  Create a FreeSign envelope from a PDF SHA-256 hash. Do not send PDF bytes. The created envelope is NOT yet session-bound — the browser that opens the returned signing_url generates an ECDSA P-256 keypair locally and POSTs the public JWK to /api/envelopes/{id}/session-bind before any protected request will succeed. AI agents calling this tool just hand the signing_url to a human, who continues in a browser.

  Paramètres, retour & exemple (1)

  Paramètres

  • document_sha256 · string · requis
    SHA-256 of the original PDF bytes, computed locally by the user or agent.

  Exemple d'appel

  {"name": "create_signing_envelope", "arguments": {"document_sha256": "texte"}}

  Exemple de retour

  {"content": [{"type": "text", "text": "…"}], "structuredContent": {"expires_at": "texte", "envelope_id": "texte", "signing_url": "texte", "session_binding_required": true}}

• get_ots_proof≈ 322 tokens

  Return the .ots proof (base64) for a given OpenTimestamps anchor on an envelope. Use the official `ots-cli` to verify offline against Bitcoin block headers. Each seal has two anchors: `kind: "byterange"` commits to the signed document, `kind: "signed_attrs"` commits to SHA-256 of the CMS SignedAttributes (which carry the post-quantum key commitment).

  Paramètres, retour & exemple (2)

  Paramètres

  • anchor_id · string · requis
  • envelope_id · string · requis

  Exemple d'appel

  {"name": "get_ots_proof", "arguments": {"anchor_id": "texte", "envelope_id": "texte"}}

  Exemple de retour

  {"content": [{"type": "text", "text": "…"}], "structuredContent": {"kind": "byterange", "status": "pending", "anchor_id": "texte", "envelope_id": "texte", "proof_base64": "texte", "anchored_hash": "texte", "calendar_urls": [], "btc_block_hash": "texte", "btc_block_height": 1}}

• get_receipt≈ 160 tokens

  Return the envelope record (including final_pdf_sha256, final_signature_base64url, final_payload_json), per-signer signing receipts, and OpenTimestamps anchor metadata. Evidence only, never PDF bytes.

  Paramètres, retour & exemple (1)

  Paramètres

  • envelope_id · string · requis

  Exemple d'appel

  {"name": "get_receipt", "arguments": {"envelope_id": "texte"}}

  Exemple de retour

  {"content": [{"type": "text", "text": "…"}], "structuredContent": {"envelope": {}, "receipts": [], "ots_anchors": []}}

• verify_audit_chain≈ 563 tokens

  Return an envelope's append-only audit-event hash chain together with a server-computed integrity verdict: every event_hash is recomputed from its canonical material, and the prev_event_hash linkage and per-envelope seq contiguity are checked. Evidence only, never PDF bytes. The raw events are included verbatim so the caller can independently re-derive the verdict instead of trusting `chain.valid`.

  Paramètres, retour & exemple (1)

  Paramètres

  • envelope_id · string · requis

  Exemple d'appel

  {"name": "verify_audit_chain", "arguments": {"envelope_id": "texte"}}

  Exemple de retour

  {"content": [{"type": "text", "text": "…"}], "structuredContent": {"chain": {}, "events": [], "envelope_id": "texte", "attested_audit_chain_head_hash": "texte", "attested_head_signature_verified": true}}

• verify_document_hash≈ 108 tokens

  Find FreeSign receipts matching a local document SHA-256 hash.

  Paramètres, retour & exemple (1)

  Paramètres

  • document_sha256 · string · requis

  Exemple d'appel

  {"name": "verify_document_hash", "arguments": {"document_sha256": "texte"}}

  Exemple de retour

  {"content": [{"type": "text", "text": "…"}], "structuredContent": {"matches": []}}

C'est votre serveur ?

Revendiquez-le sur l'espace créateur (preuve GitHub, domaine ou npm) pour afficher le badge « propriétaire vérifié » et lancer un pentest comportemental à la demande afin d'obtenir le badge « Vérifié ».

Créer un compte / revendiquer →

Source

https://free-sign.com/mcp