trustlists

io.github.trustlists由 GitHub 帳號 trustlists 發布v0.3.0更新於 Oct 31, 2026

Find public vendor trust centers, analyze SOC 2 reports, and request trust-center access.

已驗證STDIO僅桌面開發者工具安全與監控

概覽

AI 產生的概覽

可搜尋公開的廠商信任中心目錄、把專案相依套件對應到信任中心，並在登入後分析 SOC 2 報告、提出信任中心存取申請。

可以做什麼
  • 依名稱、網域、平台、所列框架或 CSA STAR 等級搜尋、查詢與瀏覽公開的廠商信任中心
  • 把專案清單檔（npm、Python、Go、Rust、Ruby、PHP）對應到公開的廠商信任中心
  • 以裝置碼登入並查看目前工作階段
  • 分析本機 SOC 2 PDF，包含預覽、狀態查詢與報告步驟
  • 填寫申請人資料，並送出 SafeBase 或 Vanta 存取申請，可單筆送出或一次最多五家批次送出
適用情境
適合在需要確認專案相依清單中哪些廠商公開了信任中心時使用，也適合讓助理查詢某廠商公開列出的合規框架並申請其信任中心文件的存取權。
執行需求
以本機 stdio 程序執行，通常由 MCP 用戶端透過 npx 啟動，因此需要 Node.js。搜尋、查詢、瀏覽與相依稽核工具不需帳號。帳號相關工具需要裝置碼登入，憑證會存放在本機的驗證檔案中；託管端點版本則改用 OAuth 登入。需要能連線至 trustlists 服務的網路。
安裝前請注意
登入後會在本機檔案中保存工作階段憑證。SOC 2 分析會消耗額度，且需要明確的確認步驟；存取申請在送出前同樣需要確認。存取申請會把申請人資料提交給第三方廠商。目錄標籤僅反映公開紀錄所列內容，並不證明驗證範圍、有效性或安全品質。

安裝

在 SourceWeft 中

  1. 開啟 儀表板中的 trustlists，將其新增到工作區。
  2. 為需要使用其工具的對話啟用該服務。

Desktop only，透過 STDIO。 STDIO 服務會啟動本機處理程序，因此需要 SourceWeft 桌面主機。

其他 MCP 客戶端

參照 儲存庫 中的啟動說明。

README

@trustlists/mcp

MCP server that gives AI assistants access to the public trustlists directory, plus signed-in SOC 2 analysis and trust-center access requests.

This npm package powers the trustlists_ plugin for Cursor, Claude Code, and other Model Context Protocol clients.

Installation

You don't install this package directly. It is spawned by your MCP-aware AI client.

Cursor

The trustlists_ plugin handles installation. Or add it manually to ~/.cursor/mcp.json:

json
{  "mcpServers": {    "trustlists": {      "command": "npx",      "args": ["-y", "@trustlists/mcp"]    }  }}

Claude Desktop

Add to ~/Library/Application Support/Claude/claude_desktop_config.json (macOS) or %APPDATA%\Claude\claude_desktop_config.json (Windows):

json
{  "mcpServers": {    "trustlists": {      "command": "npx",      "args": ["-y", "@trustlists/mcp"]    }  }}

Tools

Free (no account)

ToolDescription
trustlists_searchSearch thousands of trust centers by name or domain
trustlists_lookupLook up a single vendor by exact domain
trustlists_browseFilter by platform, listed framework, or CSA STAR level
trustlists_audit_dependenciesMap project manifests to public vendor trust centers

Account

Sign in with trustlists_login (device code). Credentials are stored in ~/.trustlists/auth.json on this machine. The hosted endpoint at mcp.trustlists.org/mcp serves these tools after an OAuth sign-in instead, with SOC 2 uploads in the trustlists app (trustlists_soc2_upload) in place of local PDF paths.

ToolDescription
trustlists_login / logout / whoamiDevice-code sign-in and session
trustlists_soc2_analyze / status / reportAnalyze local SOC 2 PDFs (preview, then confirmCredits)
trustlists_requester_profileIdentity used on vendor access forms
trustlists_access_request / status / continueRequest SafeBase/Vanta access (preview, then confirm)
trustlists_access_request_batchSame, up to 5 vendors, one confirm

Directory labels show what a public record lists. They do not independently prove certification scope, validity, legal compliance, or security quality.

Supported manifest formats (audit tool)

  • package.json (npm/yarn/pnpm)
  • requirements.txt, pyproject.toml, Pipfile (Python)
  • go.mod (Go)
  • Cargo.toml (Rust)
  • Gemfile (Ruby)
  • composer.json (PHP)

License

Apache 2.0. See LICENSE and NOTICE.

Links

來源：packages/mcp/README.md，提交 7b6665f

工具

0
SourceWeft 尚未在沙箱中啟動過該軟體包，因此其工具未知。

版本歷史

2
  1. v0.3.0最新Oct 3, 2026
  2. v0.2.1Sep 16, 2026

評分

已滿足適用檢查項的 50%

該評分衡量此收錄條目的完整程度，依據註冊中心條目、端點與公開來源計算得出。它不是對伺服器本身的評價，也不表示伺服器安全或目前可用：可連通性是帶日期的檢查結果，評分也不包含安裝量或使用者評價。

  • 近 30 天內可連通25 分

    請保持端點能夠回應 MCP 握手；SourceWeft 每 30 天探測一次。

  • 已宣告認證方式10 分

    請在註冊中心條目中宣告憑證請求標頭，或保持端點能夠回應探測，以便判定其認證方式。

  • 已列出工具15 分

    請讓伺服器在無憑證時回應 tools/list，或發布可在沙箱中無憑證啟動的軟體包。

  • 描述必需15 分
  • 圖示10 分
  • 文件15 分
  • 授權條款10 分