PROCESSO

Do Código Fonte à Produção

SmeltSec gerencia todo o ciclo de vida do servidor MCP — análise, portões de segurança, geração, pontuação, implantação, monitoramento e exportação de dados.

Analisar

Portão 1

Gerar

Portão 2

Pontuar & Reportar

Implantar & Configurar

Monitorar

Analisar & Exportar

ETAPA 1

Analisar

Código Fonte → Análise AST

SmeltSec analisa seu código fonte usando Tree-sitter para extrair assinaturas de funções, definições de rotas e superfícies de API. Suporta repositórios GitHub, specs OpenAPI e descrições em linguagem natural. A análise AST identifica superfícies de API públicas e filtra funções internas.

Equivalente API

POST /v1/generate { source: 'github', repo: 'owner/repo' }

Análise de Fonte

◆ Analisando repositório... 342 files, 89 functions discovered

◆ Análise com Tree-sitter... Python AST extracted for 89 functions

◆ Mapeamento de superfície API... 14 public endpoints, 75 internal filtered

✓ Detecção de rotas: Flask routes (GET: 8, POST: 4, PUT: 2)

✓ Análise de autenticação: 12/14 endpoints require @auth_required

✓ Pronto para o Portão 1 14 tool candidates identified

ETAPA 2

Portão 1: Pré-Geração

Varredura de Segurança → Código Fonte

Antes de qualquer servidor MCP ser gerado, o Portão 1 executa 4 ferramentas de segurança no seu código fonte: Semgrep para SAST, Gitleaks para secrets, OSV-Scanner para vulnerabilidades de dependências e Análise de Superfície de API para mapeamento de permissões. Descobertas críticas bloqueiam a geração.

Equivalente API

GET /v1/servers/{id}/security/gate1

Portão 1 — Varredura Pré-Geração

◆ Semgrep SAST: 342 files scanned — 0 critical, 1 warning (unsafe pattern usage)

◆ Gitleaks: Code + git history — 0 secrets found

◆ OSV-Scanner: 23 deps — 1 medium CVE (requests 2.28)

◆ Superfície de API: 14 endpoints mapped, auth requirements logged

✓ Decisão Portão 1: PASSED — 0 blockers, 2 warnings

ETAPA 3

Gerar

AST → Código do Servidor MCP

Com o Portão 1 aprovado, SmeltSec gera o servidor MCP. As ferramentas são selecionadas da análise de superfície de API, as descrições são geradas a partir de assinaturas de funções e docstrings, e o resultado é código FastMCP (Python) ou TypeScript SDK pronto para produção.

Equivalente API

POST /v1/generate { source: 'github', repo: 'owner/repo' }

Pipeline de Geração

◆ Selecionando ferramentas... 14 tools selected from 89 functions

◆ Gerando descrições... AST + docstring analysis

◆ Construindo schemas... Zod schemas from type annotations

◆ Gerando servidor... FastMCP + Python 3.11

✓ Padrões de código: Retry, circuit breaker, sanitization embedded

✓ Servidor gerado 14 tools, ready for Gate 2

ETAPA 4

Portão 2: Pós-Geração

Varredura de Segurança → Servidor Gerado

O Portão 2 verifica o servidor MCP gerado antes de enviá-lo a você. MCP-Scan detecta envenenamento de ferramentas, Análise Comportamental compara descrições vs comportamento do código, Semgrep Self-Check captura novas vulnerabilidades, e Verificação de Permissões previne escalação.

Equivalente API

GET /v1/servers/{id}/security/gate2

Portão 2 — Varredura Pós-Geração

◆ MCP-Scan: 14 tools scanned — 0 poisoning, 0 hidden instructions

◆ Análise Comportamental: 14/14 tools — intent matches action

◆ Semgrep Self-Check: 0 new vulnerabilities introduced

◆ Verificação de Permissões: No escalation detected (all tools ≤ source scope)

✓ Decisão Portão 2: PASSED — Security Grade: A (91/100)

ETAPA 5

Pontuar & Reportar

Pontuação de Qualidade + Segurança

Após passar pelos dois portões, o servidor é avaliado em dois eixos: qualidade (6 dimensões medindo usabilidade com LLM) e segurança (5 categorias medindo risco de vulnerabilidade). Ambas as pontuações produzem cartões de relatório com sugestões de correção automática.

Equivalente API

POST /v1/score { manifest: '...' }

Pipeline de Pontuação

◆ Pontuação de Qualidade: 87/100 (B) — 6 dimensions

◆ Pontuação de Segurança: 91/100 (A) — 5 categories

◆ Descrição: 92/100 | Schema: 88 | Naming: 95

◆ Sobreposição: 78/100 — search_docs and find_docs similar

✓ Correção automática: 3 suggestions available (+12 points)

✓ Relatórios gerados Quality + Security report cards

ETAPA 6

Implantar & Configurar

Configs de Cliente → Sincronização Automática

Implante seu servidor e gere configurações de cliente para Claude Desktop, Cursor, VS Code, ChatGPT, Windsurf e clientes personalizados. A instalação com um clique copia o arquivo de configuração para o caminho correto. O modo daemon monitora mudanças no servidor e atualiza todas as configurações automaticamente.

Equivalente API

GET /v1/servers/{id}/config?client=claude_desktop

Implantação & Configuração

✓ Claude Desktop: synced — ~/.config/claude/config.json

✓ Cursor: synced — ~/.cursor/mcp.json

✓ VS Code: synced — .vscode/mcp.json

✓ ChatGPT: synced — plugin manifest

✓ Windsurf: synced — ~/.windsurf/mcp.json

◆ Daemon: running — auto-sync on changes

ETAPA 7

Monitorar

Detecção de Mudanças → Atualizações Cirúrgicas

Vincule um repositório GitHub ao seu servidor. SmeltSec instala um webhook que dispara em eventos de push. Quando o código muda, os diffs do Tree-sitter identificam quais funções mudaram, mapeiam-nas para ferramentas MCP e classificam o impacto. Patches cirúrgicos preservam suas personalizações.

Equivalente API

POST /v1/servers/{id}/monitor { repoUrl, branch: 'main' }

Detecção de Mudanças

◆ Push detectado: main @ abc1234

◆ Calculando diff: api/users.py (3 functions changed)

! Impacto ALTO: get_user — parameter signature changed

~ Impacto MÉDIO: update_user — return type changed

· Impacto BAIXO: list_users — docstring updated

→ Atualização proposta: Surgical patch (preserves 12 edits)

ETAPA 8

Analisar & Exportar

Análise de Uso → Exportação de Dados

Rastreie análises por ferramenta: contagens de chamadas, taxas de erro, percentis de latência (p50/p95/p99) e distribuição de clientes. 51 endpoints REST API. Registre webhooks para 16 tipos de eventos. Exportação em massa para JSON Lines, CSV ou Parquet. Envie métricas de série temporal via OpenTelemetry.

Equivalente API

GET /v1/servers/{id}/analytics?range=7d

Análise & Exportação

◆ Total de chamadas (7d): 12,847

◆ Taxa de erro: 1.2% (below 5% threshold)

◆ Latência p95: 142ms

◆ REST API: 51 endpoints, 12 groups

◆ Webhooks: 16 events — HMAC-SHA256 signed

◆ OTEL push: Grafana / Datadog / custom OTLP endpoint

COMPARAÇÃO

Sem vs Com SmeltSec

Segurança e manutenção — antes e depois do SmeltSec.

Tarefa

Sem

Com SmeltSec

Varredura de segurança

Nenhum / manual

8 ferramentas, 2 portões, automático

Detecção de envenenamento de ferramentas

N/D

MCP-Scan + análise comportamental

Gerar servidor MCP de um repositório

2-4 horas

< 60 segundos

Detectar mudanças de API upstream

Revisão manual

Automático (webhook)

Atualizar ferramentas do servidor

Reescrever do zero

Patch cirúrgico

Pontuar qualidade das ferramentas

N/D

Auto-pontuação de 6 dimensões

Rastrear uso de ferramentas

Logging personalizado

Proxy plug-and-play

Sincronizar configs de cliente

Cópia manual

Um clique + daemon

Exportar dados de análise

Construir pipeline

API / exportação em massa / OTEL

Pronto para começar?

Gere seu primeiro servidor MCP em menos de 60 segundos. Varredura de segurança incluída em todos os planos.