Open security artifact · MIT + CC BY 4.0

MCP security control matrix

Тринадцать controls связывают требования MCP и рекомендации OWASP с тестами, review steps и evidence, которые можно проверить перед релизом.

Это материал для review. Сертификата безопасности он не выдаёт. Matrix рассчитана на MCP revision 2026-07-28 и не заменяет threat model вашего deployment.

Файлы

mcp-security-controls.json Тринадцать controls с источниками и evidence mcp-security-controls.schema.json JSON Schema для matrix validate-controls.ts Строгий TypeScript validator без dependencies validate-controls_test.ts Одиннадцать детерминированных Deno tests deployment-checklist.md Английский checklist перед релизом deployment-checklist.ru.md Русский checklist перед релизом README.md Команды запуска, источники и ограничения

Источники с датой

Normative levels MCP привязаны к одной ревизии протокола. Для строк OWASP явно указано, что это guidance.

Проверяемые действия

Каждый control содержит две процедуры и ожидаемый результат. Общих советов без способа проверки здесь нет.

Evidence без содержимого

Matrix хранит только IDs артефактов. Tokens, персональные данные и внутренние host names в JSON не нужны.

Проверенная область

Deno type check и одиннадцать validator tests проходят без сети и сторонних packages. Они проверяют дубликаты, ревизии MCP, корректную атрибуцию OWASP, HTTPS и разрешённые hosts, ссылки на разделы, verification procedures, неизвестные поля и content-free evidence IDs.

Лицензия MIT Лицензия CC BY 4.0 Гайд по безопасности MCP