¿Es seguro este servidor MCP? Comprobación de seguridad

Los servidores de esta lista son populares en el ecosistema Claude y ahora mismo tienen al menos un aviso de seguridad de nuestro motor de puntuación. Un aviso es una señal, no un veredicto. Que falte la licencia o que el proyecto lleve una buena temporada sin commits no significa que sea malware; significa que hay algo que conviene valorar antes de conectarlo a tus datos. En nuestro informe The State of MCP Security 2026, el 29% de los 2.006 servidores auditados tenía al menos un aviso, así que es una situación habitual, no una lista negra.

Los avisos más frecuentes son fáciles de interpretar. Sin licencia (12% de los servidores auditados) significa que no hay claridad legal sobre cómo puedes usar o modificar el código. Sin mantenimiento (20%) significa que el repositorio lleva tiempo sin commits recientes, así que los parches de seguridad de las dependencias pueden no llegar nunca. Una instalación con curl|bash te pide ejecutar un script remoto con los privilegios de tu shell, algo que merece una lectura manual previa. Los patrones sospechosos en el README señalan redacciones que se parecen a técnicas conocidas de inyección de prompts o robo de credenciales y activan una revisión por IA más a fondo.

Los avisos no son permanentes. Los Trust Scores se recalculan cada 12 horas, de modo que un mantenedor que añada una licencia, retome los commits o sustituya un método de instalación arriesgado verá desaparecer el aviso en el siguiente escaneo. Si mantienes uno de estos proyectos y crees que un aviso es incorrecto, corrige la señal de fondo o escríbenos, y la ficha se actualizará automáticamente.