Checklist de sécurité MCP : 8 points à vérifier

Avant d’installer un serveur MCP, cochez chaque point. Un serveur MCP s’exécute avec vos droits et peut accéder à vos données : la prudence est de mise.

La source est fiable
Le serveur vient d’un éditeur officiel ou d’un dépôt connu et actif. Vérifiez le nombre d’étoiles, la date du dernier commit et l’identité du mainteneur. Le code est ouvert et lisible
Vous pouvez consulter le code source. Pour un serveur non officiel, un coup d’œil au code évite les mauvaises surprises. Les permissions sont limitées
Pour un serveur de fichiers, limitez toujours le dossier autorisé. Ne donnez jamais accès à la racine du système, à ~/.ssh ou aux fichiers .env. Les secrets sont protégés
Vos clés d’API et vos jetons sont stockés dans des variables d’environnement, jamais en clair dans un fichier partagé ou versionné sur Git. Les serveurs distants sont en HTTPS
Une connexion à un serveur distant doit passer par HTTPS et par une authentification OAuth, pas par un jeton statique collé en clair. Vous avez lu ce que le serveur peut faire
Vous connaissez la liste des outils exposés. Un outil qui peut supprimer, envoyer des e-mails ou dépenser de l’argent mérite une confiance particulière. Le principe du moindre privilège
Le serveur n’a que les accès strictement nécessaires à sa tâche, rien de plus. Une surveillance minimale
Vous savez où consulter les journaux si un comportement anormal survient.

0 / 8 vérifié(s)

Checklist de sécurité MCP

Recevez gratuitement le guide complet du MCP