node-man/dechonet-mcp

Ищет информацию об автономной системе (ASN) / BGP по IP-адресу или номеру AS: оператора сети, анонсированные префиксы, контакт для жалоб и классификацию (облачный провайдер, CDN, интернет-провайдер, хостинг или корпоративная сеть). Используйте это, чтобы узнать, кто управляет сетью или размещён ли IP у облачного провайдера или CDN. Для получения PTR-записи отдельного IP на уровне хоста используйте reverse_dns. Только чтение; не требует API-ключа; есть ограничение по частоте запросов. Возвращает оператора, префиксы, классификацию и контакт для жалоб.

Запрашивает DNS-записи (A, AAAA, MX, TXT, NS, SOA, CAA) для домена и проверяет записи, связанные с почтой, включая наличие DNSSEC и синтаксис SPF/DMARC, возвращая диагностику с оценкой серьёзности. Используйте для одного авторитетного ответа по одному домену. Вместо этого используйте dns_propagation, если нужно сравнить ответы нескольких глобальных резолверов (например, сразу после изменения), или email_auth для полной оценки доставляемости по SPF/DKIM/DMARC. Только чтение; не требует API-ключа или аутентификации; действуют ограничения по частоте запросов. Возвращает текстовый отчёт: статус, сводку KPI, обнаруженные проблемы и рекомендуемые действия.

Запрашивает одну DNS-запись одновременно через 8+ глобальных публичных резолверов (Google, Cloudflare, Quad9, OpenDNS и другие) и сообщает, какие резолверы возвращают устаревшие, а какие обновлённые значения. Используйте это после изменения записи, чтобы подтвердить глобальное распространение. Для получения одного авторитетного ответа с проверкой SPF/DMARC используйте вместо этого dns_lookup. Только чтение; не требует API-ключа; есть ограничение по частоте запросов. Возвращает значения по каждому резолверу и вердикт о согласованности.

Сообщает, что изменилось для домена со временем - регрессии безопасности и дрейф, которые ежедневный мониторинг DechoNet записал по каждому наблюдению за доменом (оценка SSL, заголовки, DNS, состояние OWASP, подверженность имперсонации и т. д.). Используйте это, чтобы ответить на вопрос «что изменилось на моём домене со вчерашнего дня / с прошлой недели?» - для ответа нужны постоянные снимки, и по одной живой проверке его не восстановить. Когда снова попадается домен, который вы уже смотрели раньше, начинайте с этого инструмента. Два источника: (a) ежедневная хронология наблюдения, если за доменом следят (наблюдение запускает watch_domain), и (b) даже без наблюдения - разница между двумя последними сохранёнными проверками каждого инструмента, так что уже вторая проверка даёт сравнение. Инструменты с состоянием на момент времени (security_scan, owasp_check, ssl_check) вместо этого показывают текущее состояние. Только чтение; API-ключ не нужен; есть ограничение по частоте запросов. Возвращает отслеживаемые инструменты, хронологию изменений от новых к старым, изменения между проверками и ссылку для управления мониторингом.

Показывает, как инфраструктура домена (или IPv4-адреса) менялась со временем по сохранённым наблюдениям DechoNet: nameservers, A/AAAA, MX, CNAME, издатель сертификата, регистратор, nameservers и статус RDAP, а для IP - его ASN и PTR, причём у каждого значения указано, когда оно впервые и последний раз встречалось. Используйте его, когда вопрос касается прошлого («когда менялись nameservers?», «какие IP он использовал?»); для текущего состояния берите dns_lookup или rdap_lookup. Охват: только то, что наблюдал сам DechoNet (запросы, наблюдения, собственное обнаружение и ежедневный повторный резолвинг корейских брендовых и фишинговых имён, которые он отслеживает), а не полный passive DNS. Только чтение; API-ключ не нужен; есть ограничение по частоте запросов. Возвращает хронологию значений по каждому типу и примечание об охвате.

Оценивает состояние почтовой аутентификации и доставляемости домена: MX-записи, SPF, DMARC, DKIM (проверяет 15 распространённых селекторов), BIMI, MTA-STS, TLS-RPT и DANE, а также проверку по чёрным спискам для всех MX-хостов — возвращает оценку доставляемости от 0 до 100. Используйте для полной проверки готовности домена к отправке и приёму писем. Если нужны только сырые TXT/MX-записи, используйте dns_lookup, а для диагностики конкретного уже отправленного письма — email_header_analysis. Только чтение; не требует API-ключа; ограничение по частоте запросов. Возвращает текстовый отчёт: оценка, показатели по каждому механизму, проблемы и действия.

Парсит сырые заголовки email, чтобы восстановить маршрут доставки (каждый Received-переход по порядку), извлекает результаты аутентификации SPF/DKIM/DMARC, замеряет задержки на каждом переходе и помечает незашифрованные (non-TLS) переходы. Используйте для диагностики конкретного уже доставленного письма — чтобы выявить подделку, задержки или место потери письма. Вместо этого используйте email_auth, чтобы оценить настройки отправки домена до отправки. Только чтение; не требует API-ключа; с ограничением частоты запросов. ВХОДНЫЕ ДАННЫЕ: полный блок сырых заголовков. ВЫХОДНЫЕ ДАННЫЕ: текстовый отчёт, содержащий: упорядоченный маршрут переходов, результаты аутентификации по каждому механизму (пройден/не пройден), обнаруженные межпереходные задержки и статус шифрования каждого перехода.

Показывает, что организация выставляет в интернет помимо главной страницы: поддомены из логов Certificate Transparency (плюс хосты, которые DechoNet уже видел), каждый открывается один раз снаружи и распределяется по категориям - инструменты разработчика/эксплуатации, листинги каталогов, админ-экраны, входы в VPN/удалённый доступ, staging-серверы, страницы установки по умолчанию, страницы входа и так далее, - забытые активы, которые инструменты атак на базе AI ищут в первую очередь. Используйте, когда пользователь хочет узнать свою поверхность атаки или после утечки в его отрасли. Возвращает количество по каждой категории, вердикт (bad/warn/ok) и что делать. Только публичный вид: список по каждому хосту и проверку чувствительных файлов показывают подтверждённому владельцу домена в веб-отчёте (DNS TXT), но никогда через этот инструмент. Работает только на чтение и пассивно, кроме одного запроса первой страницы на хост; без логинов и угадывания путей; не требует API-ключа; есть ограничение по частоте (тяжелее других инструментов - до ~1 минуты).

Проверяет, готов ли домен к запуску или миграции: вердикт «годен/не годен» по пяти ключевым параметрам: DNS резолвится в IP, записи согласованно распространились по мировым резолверам, SSL/TLS готов, сайт доступен по HTTPS, и регистрация домена не истекает в ближайшее время. Используйте непосредственно перед переключением DNS на новый сервер или для подтверждения, что миграция завершилась. Отвечает на вопрос «можно ли уже переключаться?»; для оценки уровня безопасности используйте security_scan, а для глубины - отдельные инструменты. Любой непройденный параметр даёт not_ready; только предупреждения дают caution; всё чисто даёт ready. Только чтение (пассивная мульти-проба, хотя инструмент резолвит и загружает домен); API-ключ не требуется; есть лимит частоты запросов. Возвращает вердикт, статусы по каждому параметру и ссылку на отчёт, которой можно поделиться.

Отслеживает цепочку HTTP-перенаправлений по URL и проверяет заголовки безопасности ответа (CSP, HSTS, X-Frame-Options, COOP, CORP, COEP, Permissions-Policy), оценивает по шкале от A+ до F шесть основных заголовков (CSP, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy; COOP/CORP/COEP выводятся в отчёте, но не оцениваются) и помечает утечки информации, например раскрытие версии сервера. Используйте это для оценки состояния HTTP-слоя и заголовков. Для проблем с сертификатом или TLS-рукопожатием вместо этого используйте ssl_check, а для полного отчёта по домену используйте security_scan. Только для чтения (HTTP-проба в стиле GET, не отправляющая полезную нагрузку); API-ключ не нужен; действует ограничение по частоте запросов. Возвращает текстовый отчёт: оценка, результаты проверки заголовков, трассировка перенаправлений, проблемы и действия.

Находит другие домены, которые DechoNet видел с тем же значением инфраструктуры (сервер имён, IP-адрес, MX-хост, издатель сертификата или регистратор) с первой и последней датой обнаружения, чтобы отобразить связанную инфраструктуру (например, другие фишинговые домены на том же редком сервере имён). Используется после того, как domain_history или dns_lookup дадут вам уникальное значение. Общая инфраструктура (периферийные узлы CDN, публичные CA, крупные регистраторы и DNS-хосты) возвращает только количество, так как её совместное использование ничего не говорит о владении. Только для чтения; ТРЕБУЕТ бесплатный API-ключ DechoNet (страница аккаунта; удалённо: необходимо отправить Authorization: Bearer dn_…, npm: установить DECHONET_API_KEY); 20 строк, 100 с MCP·API Pro; ограничение по скорости. Охват: только собственные наблюдения DechoNet.

Сообщает информацию о публичном IP вызывающего сервера: IPv4/IPv6-адрес, интернет-провайдера, ASN, примерное географическое положение и признаки прокси/VPN. Не принимает никаких входных данных — он показывает исходящий IP сети ЭТОГО MCP-сервера, который обычно НЕ является IP конечного пользователя. Используйте, чтобы узнать исходящий адрес сервера или проверить соединение. Для проверки конкретного известного IP используйте asn_lookup или reverse_dns. Только чтение; API-ключ не требуется; есть ограничение частоты запросов.

Генерирует опечаточные/похожие варианты домена, которые фишеры действительно регистрируют: замены гомоглифов (l→1, o→0, rn→m), замены TLD (.com→.co), пропуски символов, перестановки, повторения, вставки дефисов, и проверяет, какие из них в настоящее время зарегистрированы (проверка делегации NS в реальном времени через DoH). Используйте это для оценки рисков имитации бренда и фишинга для домена, за который отвечает пользователь. Зарегистрированный вариант НЕ доказывает злоупотребление (это может быть несвязанный легитимный сайт). Для каждого найденного варианта выполните whois_lookup, чтобы узнать его владельца и дату регистрации. Только чтение; не требует API-ключа; ограничен по частоте запросов. Возвращает количество сгенерированных/проверенных вариантов и зарегистрированные варианты с техникой, которая создала каждый из них.

Оценивает защищённость домена по OWASP ТОЛЬКО НА ОСНОВЕ ВНЕШНЕГО НАБЛЮДЕНИЯ: проект OWASP Secure Headers Project плюс внешне наблюдаемое подмножество Top 10 - A02 Cryptographic Failures (TLS/сертификат), A05 Security Misconfiguration (утечки через заголовки/информацию) и A06 Vulnerable & Outdated Components (раскрытие версии) - и возвращает оценку от A+ до F. Область проверки: A01 (Access Control), A03 (Injection), A04, A07 (Authentication), A08, A09 и A10 (SSRF) не проверяются - им нужен аутентифицированный доступ или активное/инъекционное тестирование, поэтому в результате они указываются как out-of-scope, а не как «pass». Представляет результат как проверку внешней защищённости, а не как полную оценку OWASP Top 10. В отличие от security_scan, это ПАССИВНАЯ проверка (обычный HTTPS-запрос, TLS-сертификат и поиск по публичному CT-логу; без сканирования портов и перебора путей), поэтому она подходит для доменов, которые вам не принадлежат. Проверка чувствительных файлов (.env, .git, server-status) запускается только для подтверждённого владельца домена в веб-отчёте (DNS TXT), и никогда через этот инструмент. Для глубокой проверки одного слоя используйте http_security или ssl_check. Только чтение; API-ключ не нужен; есть ограничение по частоте запросов. Возвращает текстовый отчёт: оценку, находки по категориям, список out-of-scope и ссылку на отчёт, которой можно поделиться.

Проверяет ссылки в подозрительном текстовом сообщении (smishing) или e-mail, прежде чем кто-то по ним нажмёт. Принимает всё сообщение или один URL: каждую ссылку извлекает, отслеживает через сокращатели URL до реального назначения и оценивает по наблюдаемым сигналам: возраст домена из RDAP, имитацию корейских банков/курьеров/телекомов/порталов и глобальных брендов, включая AI-сервисы вроде ChatGPT/Claude/Gemini (ключевое слово бренда, похожее написание или домен бренда, подставленный как поддомен), страницы ClickFix (фальшивая проверка «verify you are human», при которой посетителя заставляют вставить команду в Win+R/PowerShell), загрузки Android APK, punycode, публичные фиды фишинга/вредоносного ПО и собственный трекинг имитаций DechoNet. Применяется, когда пользователь спрашивает, мошенническая ли ссылка или сообщение. Вердикты: danger, suspicious, unreachable, official (ведёт на собственный домен бренда), no_signals (предупреждающих признаков не найдено, никогда не называйте это «safe»). Читает HTML лендинга; для неубедительных ссылок может также запускать скрипты страницы в изолированном Chromium в рамках общего дневного лимита. DechoNet не кликает, не вводит значения и не отправляет формы. Текст сообщения не хранится; API-ключ не требуется; есть ограничение по частоте запросов. Возвращает вердикты по каждой ссылке с причинами и ссылкой на отчёт, которой можно поделиться.

Сканирует хост на наличие фиксированного набора распространённых TCP-портов (HTTP, HTTPS, SSH, FTP, SMTP, DNS и популярные базы данных) и сообщает, какие из них открыты, имя службы и время отклика. ПОВЕДЕНИЕ: этот инструмент устанавливает АКТИВНОЕ TCP-соединение с целью. Он неинтрузивен — только проверка соединения; не выполняет аутентификацию, не отправляет эксплойты и не передаёт данные — и ничего не меняет на цели (только чтение), но соединение видно в логах цели, поэтому сканируйте только те хосты, которыми владеете или на тестирование которых получили явное разрешение. Используйте этот инструмент, чтобы подтвердить, какие службы доступны. Для оценки конфигурации конкретной службы используйте ssl_check или http_security. Не требует API-ключа; есть ограничение частоты запросов. Возвращает список портов с указанием открыт/закрыт и имена служб.

Проверяет, готов ли публичный TLS-эндпоинт сайта к постквантовой криптографии: проходит ли он рукопожатие TLS 1.3, где предлагается только гибридный обмен ключами X25519MLKEM768 (ML-KEM), и кто его обеспечивает - собственный сервер организации или CDN-узел перед ним. Ещё сообщает, чем подписана цепочка сертификатов (отслеживается, но не входит в оценку: публичные удостоверяющие центры пока не выпускают постквантовые сертификаты). Вердикты: ready (поддерживает сервер-источник), partial (обеспечивает CDN-узел; участок CDN-источник не виден), not_ready (рукопожатие только с гибридным обменом отклонено), unknown (неубедительно; не сообщайте об этом как о "нет"). Область охвата: только публичный эндпоинт на порту 443. Внутренние системы, VPN, код и корейские PQC-алгоритмы (стандартных TLS-кодовых точек пока нет) не наблюдаются, поэтому подавайте результат как внешний индикатор прогресса миграции, а не как полный PQC-аудит. Только чтение; не требует API-ключа; есть ограничение по частоте запросов. Возвращает вердикт, оценку готовности от 0 до 100 и грейд, статусы по каждой проверке и ссылку на отчёт, которой можно поделиться.

Разрешает PTR-запись (обратный DNS) для IPv4 или IPv6 адреса и проверяет прямой обратный DNS (FCrDNS) — убеждается, что PTR-имя хоста разрешается обратно в тот же IP. Определяет хостинг-провайдера по шаблонам PTR-имён. Используйте для проверки rDNS почтового сервера или идентификации хоста по одному IP. Для выяснения сетевой/BGP-принадлежности IP используйте asn_lookup. Только чтение; не требует API-ключа; есть ограничение на количество запросов. Возвращает PTR-имя хоста, результат FCrDNS (пройдено/не пройдено) и предположительного провайдера.

Одношаговая комплексная проверка домена: параллельно запускает проверки DNS, SSL, HTTP-заголовков, аутентификации email, сканирование портов, распространение DNS, обратный DNS и ASN/RDAP, после чего вычисляет показатель здоровья от 0 до 100 с оценкой от A до F и приоритетным списком действий. Используй это как точку входа по умолчанию для вопросов вида "этот домен здоров/безопасен?". Вызывай отдельные инструменты (например, ssl_check, email_auth), когда нужно углубиться в одну область. ПОВЕДЕНИЕ: включает АКТИВНОЕ сканирование портов хоста домена, поэтому запускай его только на доменах, которыми владеешь или имеешь разрешение тестировать. В остальном — только чтение; не требует API-ключа; с ограничением частоты (выполняет несколько внутренних запросов). Возвращает оценку, разбивку по областям, основные действия и сводки по каждой области.

Проверяет TLS/SSL-сертификат, который отдаёт хост, и соединение: дату истечения, издателя, список SAN, целостность цепочки, отзыв (OCSP, затем CRL; статус неизвестен, если ни один не ответил, не оценивается, если сертификат не отозван), версию TLS и HSTS, возвращая оценку от A+ до F, взвешенную по валидности сертификата (40%), версии TLS (25%), доверию к цепочке (15%) и HSTS (20%). Помогает диагностировать проблемы с сертификатом или HTTPS-рукопожатием для одного хоста. Вместо этого аудит заголовков безопасности ответа выполняет http_security, а сводный отчёт по домену делает security_scan. Только для чтения: завершает TLS-рукопожатие, но не отправляет данные приложения; не требует API-ключа; есть ограничение по частоте запросов. Возвращает текстовый отчёт: оценку, KPI по дате истечения и издателю, проблемы и действия.

Перечисляет поддомены домена из журналов Certificate Transparency: полностью пассивно (пакеты не отправляются на цель; журналы CT - это публичные записи о каждом когда-либо выпущенном TLS-сертификате). Отмечает похожие на операционные имена (dev, staging, admin, vpn, legacy) и wildcard-сертификаты, потому что забытые поддомены - распространённый путь к захвату. Используйте этот инструмент как первый шаг разведки, чтобы составить карту поверхности атаки домена. Используйте dns_lookup, чтобы проверить, резолвится ли обнаруженное имя, или lookalike_domains для поиска typosquat-вариантов самого имени домена. Только чтение; не требует API-ключа; частота запросов ограничена. Возвращает количество поддоменов, количество рискованных имён, флаг wildcard и список hostname.

Вычисляет детали IPv4-подсети по CIDR-нотации полностью локально — без сетевых вызовов: адрес сети и широковещательный адрес, диапазон доступных хостов, общее количество доступных хостов, маску подсети и обратную маску. /31 и /32 обрабатываются согласно RFC 3021 (точка-точка / одиночный хост). Используйте для планирования IPv4-адресации. Не запрашивает DNS и не обращается ни к одному хосту, поэтому выполняет только вычисления. Не требует API-ключа и НЕ лимитирован по частоте (вычисляется в процессе). Возвращает вычисленные поля в виде текста.

Запускает (или возобновляет) ежедневное наблюдение DechoNet за доменом, чтобы изменения фиксировались с течением времени: оценка истечения срока действия SSL-сертификата, DNS-записи, заголовки безопасности HTTP, регистрация домена и, по желанию, состояние OWASP и подверженность подделке. Используйте это один раз, когда пользователь заботится о домене не только в рамках разовой проверки (свой домен, домен клиента, поставщика, исследуемой цели). После этого domain_changes отвечает на вопрос «что изменилось с прошлого раза?», используя реальные ежедневные снимки. Не только для чтения (создаёт запись наблюдения), но и идемпотентно: наблюдение за уже наблюдаемым доменом возвращает существующее наблюдение. Без учётной записи, без электронной почты, без персональных данных: наблюдение привязано к домену и инструменту, а его страница истории представляет собой публичный неподдающийся угадыванию URL, которым можно поделиться с пользователем. Ограничение частоты запросов (несколько наблюдений в минуту).

Получает данные регистрации домена через RDAP (с запасным вариантом WHOIS): регистратора, даты создания/истечения/обновления, серверы имён и флаги статуса EPP, выделяя рискованные состояния, такие как clientHold и pendingDelete. Используйте это для вопросов о владельце, жизненном цикле и истечении срока зарегистрированного домена. Вместо этого используйте dns_lookup для текущих DNS-записей, или reverse_dns/asn_lookup для определения владельца на уровне IP. Только чтение; не требует API-ключа; ограничен по частоте запросов. Возвращает регистратора, ключевые даты, серверы имён и флаги статуса.