Arnakoff

com.arnakoffPublished by arnakoff.comOfficial publisherv1.0.0Updated Nov 7, 2026

Signaux anti-arnaque sourcés sur un site, un e-mail, un numéro, un IBAN ou un SIREN

VerifiedStreamable HTTPWeb executableFinanceSecurity & Monitoring

Overview

AI-generated overview

Remote anti-scam API that returns sourced, French-language risk signals for a website, email, phone number, IBAN or SIREN.

What you can do
  • Check a website, email, phone number, IBAN or SIREN against public sources such as AMF and ACPR blacklists, SIRENE, BODACC, domain age and ARCEP numbering
  • Receive a list of signals, each with a stable code, level, factual French message, source and source URL, and observation date
  • Get an explicit "no known signal" answer when nothing matches, rather than a safety verdict
  • No tool list is published; the README describes a single check operation exposed over MCP
When to use it
Useful when you want an assistant to look up documented red flags about a counterparty before a payment, purchase or reply, and to show where each flag comes from. Note the README says the API is still under construction and not yet in service.
Requirements
Remote MCP endpoint at api.arnakoff.com over streamable HTTP, with a bearer API key sent in the Authorization header. The README also describes a local stdio variant built with Go 1.27 and a Docker Compose setup needing ARNAKOFF_LOG_KEY, ARNAKOFF_DATABASE_URL and ARNAKOFF_API_KEY_SECRET.
Before you install
Requires an Arnakoff API key in the Authorization header, and the same key and quota apply as to the REST endpoint. Inputs include personal data such as emails, phone numbers and IBANs; the README says these are not logged in clear text or shared with third parties. Absence of a signal proves nothing, and the service is not yet live.

Installation

In SourceWeft

  1. Open Arnakoff in the dashboard and add it to a workspace.
  2. Connect Authorization token credentials. They are stored privately and never shown on public pages.
  3. Enable the server for the chats that should use its tools.

Web executable via Streamable HTTP. Remote servers run from the web runtime once configured in a workspace.

Use with an agent

Paste this prompt into Claude Code, Codex, Cursor or another agent — or into SourceWeft chat. The agent reads this server's install guide, shows you its publisher, endpoint and sign-in, and adds it to your client once you agree. Keys never go into a command.

Read https://sourceweft.com/mcp/com.arnakoff%2Fapi/install.md and connect the MCP server it describes to my client. Before changing any config, show me its publisher, endpoint and sign-in method and wait for my OK. Never put an API key in a command or in a file I would commit; ask me where it should come from.

Read the install guide the agent follows

Other MCP clients

Add this to your client's mcpServers config.

{
  "mcpServers": {
    "arnakoff": {
      "type": "http",
      "url": "https://api.arnakoff.com/mcp",
      "headers": {
        "Authorization": "Bearer <YOUR_TOKEN>"
      }
    }
  }
}

README

Arnakoff API

[CI] [OpenSSF Scorecard] [Licence : AGPL-3.0-only]

API publique anti-arnaque : pour un site, un e-mail, un numéro de téléphone, un IBAN ou un SIREN, elle renvoie des signaux sourcés expliqués en français.

Statut

En service depuis le 06/11/2026, version 1.0.0 : https://api.arnakoff.com. Le contrat (api/openapi.yaml) est stable : un changement cassant passera par une nouvelle version majeure ou par une dépréciation annoncée (Deprecation, Sunset). La clé est gratuite et s'obtient par un lien de connexion envoyé par e-mail (POST /v1/keys/request) ; la page du site qui la demande n'est pas encore en ligne. Suis la suite dans la feuille de route.

Ce que fait l'API

Tu lui donnes une entrée ; elle la confronte à des sources publiques (listes noires de l'AMF et de l'ACPR, répertoire SIRENE, BODACC, âge du domaine, numérotation de l'ARCEP…) et renvoie une liste de signaux. Chaque signal porte :

  • code : identifiant stable du signal ;
  • level : niveau du signal ;
  • message : une phrase factuelle en français, par exemple « Figure sur la liste noire de l'AMF depuis le 08/10/2026 » ;
  • source et source_url : l'éditeur de la donnée et où la vérifier ;
  • observed_at : la date à laquelle la donnée a été relevée.

Les signaux prévus sont dans docs/signals.md, les sources et leurs licences dans docs/sources.md. L'API est aussi exposée comme serveur MCP : à distance sur POST /mcp, avec la même clé et le même quota que /v1/check, ou en local avec cmd/mcp (stdio). Il figure dans le registre MCP officiel sous le nom com.arnakoff/api.

Principes

  • Jamais « sûr ». Sans signal, la réponse est « Aucun signal connu dans nos sources » : l'absence d'une liste noire ne prouve rien.
  • Des faits, pas des accusations. Chaque signal cite sa source ; aucun message ne qualifie une entité nommée d'arnaque.
  • Des licences d'abord. Une source n'est utilisée que si sa licence autorise la réutilisation commerciale.
  • Les données personnelles protégées. Les e-mails, numéros et IBAN ne sont jamais journalisés en clair ni transmis à un tiers.
  • Aucune URL fournie par l'utilisateur n'est appelée. Les registres sont interrogés par identifiant, à travers une liste d'hôtes autorisés.
  • Une synchronisation prudente. Un instantané de source invalide, ou qui perd plus de 20 % de ses entrées, est rejeté ; le précédent reste en service.

Démarrer

Il te faut Go 1.27 : la version exacte (toolchain go1.27.3) est dans go.mod et se télécharge d'elle-même. Installe aussi golangci-lint à la version indiquée dans docs/standards.md.

sh
go build ./...go vet ./...golangci-lint rungo test -race -shuffle=on ./...go tool govulncheck ./... tool

La CI lance les mêmes commandes sur chaque pull request. Les tests n'utilisent jamais le réseau.

Avec Docker, l'image (Dockerfile) contient les commandes api, sync et admin sur une base distroless sans shell, exécutées par un utilisateur non root. compose.yaml lance l'API et la synchronisation, qui partagent le volume des instantanés :

sh
cp .env.example .env   # renseigner ARNAKOFF_LOG_KEY, ARNAKOFF_DATABASE_URL et ARNAKOFF_API_KEY_SECRETdocker compose up --build

Chaque version publiée (tag vX.Y.Z) produit l'image ghcr.io/arnakoff/api pour linux/amd64 et linux/arm64, taguée X.Y.Z, X.Y et latest, avec son SBOM et son attestation de provenance. Elle est signée sans clé par cosign depuis le workflow image.yml ; pour vérifier la signature d'une version (ici 0.48.0) :

sh
cosign verify ghcr.io/arnakoff/api:0.48.0 \  --certificate-identity https://github.com/arnakoff/api/.github/workflows/image.yml@refs/tags/v0.48.0 \  --certificate-oidc-issuer https://token.actions.githubusercontent.com

Le SBOM et la provenance se lisent avec docker buildx imagetools inspect ghcr.io/arnakoff/api:0.48.0 --format '{{ json .SBOM.SPDX }}' (ou '{{ json .Provenance.SLSA }}').

Organisation

Architecture propre (ADR 0002) : les dépendances vont vers l'intérieur uniquement.

DossierRôle
internal/domain/Objets métier, normalisation des entrées et règles des signaux, sans entrée-sortie.
internal/app/Cas d'usage (vérification, synchronisation) et interfaces dont ils ont besoin.
internal/adapter/Sources, registres, stockage, API HTTP et serveur MCP.
internal/platform/Client HTTP sortant, journaux, configuration.
cmd/Points d'entrée : api, sync, mcp et eval.

Documentation

Contribuer

Lis CONTRIBUTING.md. Pour une faille de sécurité, suis la politique de sécurité, jamais une issue publique. Pour de l'aide, vois SUPPORT.md.

Licence

Le code est sous GNU AGPL-3.0-only (ADR 0003). Les données gardent la licence de leur source, indiquée dans docs/sources.md.

Source: README.md at commit 130f1f9

Tools

0
This server asks for a credential such as an API key, so SourceWeft could not read its tools without one and has not indexed them.

Version history

5
  1. v1.0.0LatestNov 7, 2026
  2. v0.62.1Nov 6, 2026
  3. v0.60.1Nov 5, 2026
  4. v0.58.0Nov 5, 2026
  5. v0.56.2Nov 4, 2026

Score

85% of the applicable checks met

How complete this listing is, computed from the registry entry, the endpoint and public sources. Not a rating of the server and not a statement that it is safe or working today: reachability is a dated check, and no installs or reviews go into the score.

  • Reached in the last 30 daysRequired25 pts
  • Auth declaredRequired10 pts
  • Tools listed15 pts

    Answer tools/list without a credential, or ship a package that starts in a sandbox without one.

  • DescriptionRequired15 pts
  • Logo10 pts
  • Documentation15 pts
  • License10 pts