Examen de secretos con el servidor MCP de GitHub

El servidor de Model Context Protocol (MCP) de GitHub permite ejecutar el secret scanning directamente desde el modo de agente de GitHub Copilot, CLI de GitHub Copilot, y otras herramientas compatibles con MCP. Escanea tu código en busca de claves expuestas, tokens y credenciales a medida que trabajas, y corrígelas antes de hacer el push.

Las herramientas de análisis de secretos solo están disponibles a través del GitHub servidor MCP remoto. No se admiten configuraciones de servidor MCP locales.

Esto funciona con cualquier agente o IDE compatible con MCP, incluidos Visual Studio Code, JetBrains, Claude Code, Cursor y Windsurf. La experiencia varía en todos los clientes.

Prerequisites

• GitHub Secret Protection está activado para el repositorio.
• GitHub El servidor MCP está conectado en el IDE o el agente. Consulte Configuración del servidor MCP de GitHub.
• La configuración de seguridad de la organización determina qué tipos de secretos se detectan y si se aplica la protección contra inserción. Las herramientas de MCP respetan la configuración de protección contra inserción de su organización (no se utiliza la configuración de protección contra inserción a nivel de repositorio).

Paso 1: Instalar y configurar herramientas

Habilitación del conjunto de secret_protection herramientas

Habilite el secret_protection conjunto de herramientas para que las herramientas de análisis estén disponibles a su agente. Los conjuntos de herramientas predeterminados no lo incluyen.

La run_secret_scanning herramienta está asociada actualmente al copilot conjunto de herramientas en lugar de secret_protection. Debe incluir explícitamente run_secret_scanning como una herramienta adicional, junto con el conjunto de herramientas secret_protection, en su configuración de MCP.

copilot mcp --toolsets=secret_protection --tools=run_secret_scanning

{
  "servers": {
    "github": {
      "url": "https://api.githubcopilot.com/mcp/",
      "headers": {
        "X-MCP-Toolsets": "secret_protection",
        "X-MCP-Tools": "run_secret_scanning"
      }
    }
  }
}

{
  "servers": {
    "github": {
      "url": "https://api.githubcopilot.com/mcp/",
      "headers": {
        "X-MCP-Toolsets": "secret_protection",
        "X-MCP-Tools": "run_secret_scanning"
      }
    }
  }
}

{
  "servers": {
    "github": {
      "type": "http",
      "url": "https://api.githubcopilot.com/mcp/",
      "headers": {
        "GitHub-MCP-Toolsets": "secret_protection",
        "GitHub-MCP-Tools": "run_secret_scanning"
      }
    }
  }
}

{
  "servers": {
    "github": {
      "type": "http",
      "url": "https://api.githubcopilot.com/mcp/",
      "headers": {
        "GitHub-MCP-Toolsets": "secret_protection",
        "GitHub-MCP-Tools": "run_secret_scanning"
      }
    }
  }
}

(Opcional) Instalación del Advanced Security complemento

El complemento Advanced Security proporciona un comando de barra diagonal /secret-scanning para una experiencia de análisis simplificada en CLI de GitHub Copilot y Visual Studio Code. El complemento utiliza internamente las herramientas de MCP, por lo que aún tendrá que habilitar el secret_protection conjunto de herramientas.

Instrucciones para instalar el complemento:

• Para CLI de GitHub Copilot, consulte Búsqueda e instalación de complementos para CLI de GitHub Copilot.
• Para Visual Studio Code, consulte Detección e instalación de complementos en la Visual Studio Code documentación.

Paso 2: Examinar el código

Una vez habilitado el conjunto de herramientas, puede desencadenar un examen de varias maneras en función del cliente.

Mensaje de lenguaje natural. En cualquier agente compatible con MCP, puedes preguntar:

"Escanea mis cambios actuales en busca de secretos expuestos y muéstrame los archivos y las líneas que debo actualizar antes de confirmar."

"Ejecutar secret scanning en los archivos que he cambiado desde mi última confirmación y resumir cualquier hallazgo de alta confianza".

Comando de barra diagonal (requiere el complemento Advanced Security). Si instaló el complemento opcional en el paso 1, también puede usar:

"/secret-scanning Revisar la diferencia escalonada de credenciales, claves o tokens y proponer reemplazos mediante variables de entorno".

Invocación directa de herramientas: También puede invocar la herramienta de análisis directamente desde el cliente.

El agente devuelve:

• Tipo de secreto encontrado
• El archivo y la línea donde se detectó
• Pasos de corrección, como quitar o rotar la credencial

Si la protección contra inserción está habilitada, el servidor MCP también impide que se incluyan secretos en las acciones que realice en su nombre, como confirmaciones, solicitudes de incorporación de cambios o creación de archivos. Consulte Trabajo con la protección push y el servidor MCP de GitHub.

Solución de problemas

Lectura adicional

• Configuración de conjuntos de herramientas para el servidor MCP de GitHub