com.get-obra/obra-cto

Est-ce que com.get-obra/obra-cto est sûr ?

Au dernier audit MCP Hub, le serveur MCP « com.get-obra/obra-cto » est classé « Vérifié ». Aucun comportement malveillant détecté au test comportemental. Le verdict est réévalué en continu ; consultez la fiche pour l'état à jour.

Méthode : MCP Hub analyse la description de chaque outil (couche 1) et, pour le verdict fort, exécute le serveur dans une micro-VM isolée avec leurres et réseau bloqué (couche 2). On publie des noms et des compteurs, jamais le contenu brut renvoyé par un outil.

Versions auditées & empreintes

Vérifiez la version que vous utilisez : son empreinte doit correspondre à celle listée ici — sinon vous n'utilisez pas la version auditée.

⚠ La dernière version publiée (0.3.1) n'a pas encore été auditée. Un nouveau pentest est programmé ; les verdicts ci-dessous portent sur les versions listées.

Vous utilisez ce serveur ? Suivez-le (créez un compte) pour être alerté dès qu'une nouvelle version paraît ou que le verdict change.

Les 5 outils

• scan_project≈ 136 tokens

  Read a local project and return mechanical Build Readiness signals: file and line counts, languages, test files, CI config, lockfile, docs, and a redacted scan for hardcoded secrets. Returns signals only, never your source. Run this first.

  Paramètres, retour & exemple (1)

  Paramètres

  • path · string · optionnel
    Absolute path to the project root. Defaults to the current working directory.

  Exemple d'appel

  {"name": "scan_project", "arguments": {"path": "texte"}}

  Exemple de retour

  {"content": [{"type": "text", "text": "…"}]}

• run_tests≈ 279 tokens

  Run the project's test suite on this machine and parse pass/fail counts. This EXECUTES the project's own test command (for example `npm test`, which runs whatever that script defines), so only approve it for a project you trust to run. Your host asks before it runs. A green suite is the strongest grade-A reliability evidence the Obra CTO Score can use. Pass the result numbers to score_build_readiness.

  Paramètres, retour & exemple (3)

  Paramètres

  • path · string · optionnel
    Project root. Defaults to the current working directory.
  • command · string · optionnel
    Override the test command (e.g. "pytest -q"). Defaults to the detected command.
  • acknowledge_risk · boolean · optionnel
    Only relevant if the malware tripwire flagged this repo as dangerous. Running the test command would execute the flagged code. Set true ONLY after you have inspected the findings and are running in a throwaway sandbox with no keys or logins.

  Exemple d'appel

  {"name": "run_tests", "arguments": {"path": "texte", "command": "texte", "acknowledge_risk": true}}

  Exemple de retour

  {"content": [{"type": "text", "text": "…"}]}

• check_dependencies≈ 136 tokens

  Query OSV.dev for known vulnerabilities in the project's locked dependencies, using exact versions from package-lock.json. Only package names and versions are sent, never your code. Real, current CVE data. Feed any findings into your security assessment.

  Paramètres, retour & exemple (1)

  Paramètres

  • path · string · optionnel
    Project root. Defaults to the current working directory.

  Exemple d'appel

  {"name": "check_dependencies", "arguments": {"path": "texte"}}

  Exemple de retour

  {"content": [{"type": "text", "text": "…"}]}

• prepare_code_review≈ 198 tokens

  Select the highest-signal files (security-relevant paths, entry points, large files) and return their contents on this machine, with a review checklist. YOU, the host model, then read them and produce a structured security and architecture assessment, which you pass to score_build_readiness as `qualitative`. This is what upgrades those dimensions from inferred (grade C) to verified (grade A). Files stay local.

  Paramètres, retour & exemple (2)

  Paramètres

  • path · string · optionnel
    Project root. Defaults to the current working directory.
  • max_files · number · optionnel
    Maximum files to return (default 12).

  Exemple d'appel

  {"name": "prepare_code_review", "arguments": {"path": "texte", "max_files": 1}}

  Exemple de retour

  {"content": [{"type": "text", "text": "…"}]}

• score_build_readiness≈ 505 tokens

  Produce the Obra CTO Score (0 to 100) with a per-dimension breakdown, evidence grades, and a Top Risks register. Scan runs automatically. If you ran run_tests first, pass its numbers so reliability becomes grade-A evidence.

  Paramètres, retour & exemple (7)

  Paramètres

  • path · string · optionnel
    Project root. Defaults to the current working directory.
  • stage · string · optionnel · prototype | mvp | growth
    Calibrate expectations to your stage: prototype, mvp, or growth. Defaults to a detected guess.
  • qualitative · object · optionnel
    Your structured security and architecture assessment from prepare_code_review. Supplying it upgrades those dimensions to grade A.
  • tests_total · number · optionnel
    Total tests, from a prior run_tests call.
  • tests_failed · number · optionnel
    Failing tests, from a prior run_tests call.
  • tests_passed · number · optionnel
    Passing tests, from a prior run_tests call.
  • write_report · boolean · optionnel
    Write the report to .obra/ in the project (default true), so the Obra CFO can read it later. Set false to skip writing.

  Exemple d'appel

  {"name": "score_build_readiness", "arguments": {"path": "texte", "stage": "prototype", "qualitative": {}, "tests_total": 1, "tests_failed": 1, "tests_passed": 1}}

  Exemple de retour

  {"content": [{"type": "text", "text": "…"}]}

Badge pour votre README

Ce serveur a passé le pentest comportemental. Le badge porte son nom et renvoie à cette fiche — la preuve, c'est la fiche (verdict live qu'on contrôle), pas l'image.

[![Vérifié par MCP Hub](https://dokore.fr/badge/com.get-obra--obra-cto.svg)](https://dokore.fr/serveur/com.get-obra--obra-cto)

<a href="https://dokore.fr/serveur/com.get-obra--obra-cto"><img src="https://dokore.fr/badge/com.get-obra--obra-cto.svg" alt="Vérifié par MCP Hub" height="20"></a>

Réévalué en continu : si le comportement change, le verdict tombe et le badge disparaît. Un badge qui ne pointe pas vers une fiche dokore.fr ne prouve rien. Comment ça marche

C'est votre serveur ?

Revendiquez-le sur l'espace créateur (preuve GitHub, domaine ou npm) pour afficher le badge « propriétaire vérifié » et lancer un pentest comportemental à la demande afin d'obtenir le badge « Vérifié ».

Créer un compte / revendiquer →

Source

obra-cto@0.3.0