Referenz

Version 1, in der Beta. Jeder Pfad beginnt mit /api/cli/v1, jede Anfrage trägt einen Schlüssel als Bearer-Token, und jede Antwort ist { data, error }. Die gesamte Beschreibung gibt es auch als OpenAPI 3.1.

Agent-API

Die Serveroperationen hinter den MCP-Werkzeugen. Neue Integrationen sollten diese nutzen. lockpick_wait_for_scan fragt GET /agent/scans/{scanId} wiederholt ab. lockpick_evaluate_scan liest denselben Scan und wendet die Bewertungsrichtlinie im Client an. Diese beiden zusammengesetzten Werkzeuge haben keinen eigenen HTTP-Endpunkt. Skripte können den Scan-Status abfragen und seinen Abschlusszeitpunkt, die Abdeckung und die Anzahl offener Befunde gegen ihre eigene Richtlinie prüfen.

GET /agent/me

Die Person, der Arbeitsbereich, die Berechtigungen und das Ablaufdatum dieser Zugangsdaten sowie was sie starten können.

• Berechtigung: read
• MCP-Werkzeug: lockpick_whoami

data

GET /agent/allowance

Kostenlose Scans, die diesen Monat noch übrig sind, ihre Rücksetzdaten und Guthaben.

• Berechtigung: read
• MCP-Werkzeug: lockpick_get_allowance

data

GET /agent/monitor

Aktuelle Sicherheitsinformationen durchsuchen und Treffer für berechtigte Websites erklären.

• Berechtigung: read
• MCP-Werkzeug: lockpick_monitor

Abfrageparameter

data

Jeder Eintrag

GET /agent/sites

Eine Seite mit Websites und ihren letzten Scans.

• Berechtigung: read
• MCP-Werkzeug: lockpick_list_sites

Abfrageparameter

data

Jeder Eintrag

POST /agent/sites

Eine Website hinzufügen oder die Website mit dieser Adresse zurückgeben.

• Berechtigung: sites
• MCP-Werkzeug: lockpick_add_site

Anfragetext

data

GET /agent/sites/{siteId}/status

Der Stand einer Website: ihre letzten Scans und was als Nächstes zu tun ist.

• Berechtigung: read
• MCP-Werkzeug: lockpick_site_status

data

POST /agent/sites/{siteId}/dependencies

Die Paketnamen und genauen Versionen senden, die eine Website festlegt, niemals Code. Danach lesen Sie, welche Sicherheitshinweise sie betreffen.

• Berechtigung: sites
• MCP-Werkzeug: lockpick_send_dependencies

Anfragetext

data

POST /agent/sites/{siteId}/pulse

Einen Pulse-Scan auf einer Website starten.

• Berechtigung: pulse
• MCP-Werkzeug: lockpick_start_pulse

Anfragetext

data

POST /agent/sites/{siteId}/deep-verifications

Vor einem Deep-Scan einen DNS- oder Datei-Eigentumsnachweis ausstellen.

• Berechtigung: deep
• MCP-Werkzeug: lockpick_start_deep_verification

Anfragetext

data

POST /agent/sites/{siteId}/deep-verifications/{verificationId}/verify

Einen veröffentlichten Eigentumsnachweis prüfen. Jede Prüfung verbraucht einen seiner Versuche.

• Berechtigung: deep
• MCP-Werkzeug: lockpick_check_deep_verification

data

POST /agent/sites/{siteId}/deep-operations

Einen Deep-Scan vorbereiten und den Link erhalten, über den die Person ihn freigibt.

• Berechtigung: deep
• MCP-Werkzeug: lockpick_prepare_deep

Anfragetext

data

POST /agent/deep-operations/{operationId}/start

Einen von der Person freigegebenen Deep-Scan starten.

• Berechtigung: deep
• MCP-Werkzeug: lockpick_start_deep

data

POST /agent/free-site-switch

Eine Website entfernen, damit der kostenlose Pulse-Scan dieses Monats zu einer anderen wechseln kann.

• Berechtigung: sites und pulse
• MCP-Werkzeug: lockpick_switch_free_site

Anfragetext

data

GET /agent/scans

Eine Seite mit Scans, neueste zuerst, mit Filtern.

• Berechtigung: read
• MCP-Werkzeug: lockpick_list_scans

Abfrageparameter

data

Jeder Eintrag

GET /agent/scans/{scanId}

Ein Scan mit seinem Status und seiner Zusammenfassung.

• Berechtigung: read
• MCP-Werkzeug: lockpick_get_scan

data

GET /agent/scans/{scanId}/findings

Eine Seite mit Befunden eines Scans.

• Berechtigung: read
• MCP-Werkzeug: lockpick_list_findings
• Senden Sie x-lockpick-agent-features: finding-code, um den code jedes Befunds zu erhalten (LP- und sechs Zeichen, wie ihn der Web-Bericht zeigt). Ohne den Header enthält die Antwort keinen code, die Form, die ältere Clients erwarten.

Abfrageparameter

data

Jeder Eintrag

GET /agent/scans/{scanId}/findings/{findingId}

Ein Befund mit seinen geschwärzten Nachweisen.

• Berechtigung: read
• MCP-Werkzeug: lockpick_get_finding
• Senden Sie x-lockpick-agent-features: finding-code, um den code jedes Befunds zu erhalten (LP- und sechs Zeichen, wie ihn der Web-Bericht zeigt). Ohne den Header enthält die Antwort keinen code, die Form, die ältere Clients erwarten.

data

GET /agent/scans/{scanId}/repair-brief

Ein Teil der Korrekturanleitung eines Scans.

• Berechtigung: read
• MCP-Werkzeug: lockpick_get_repair_brief

Abfrageparameter

data

GET /agent/scans/{scanId}/comparison

Was sich zwischen einem Scan und dem Scan geändert hat, den er erneut prüft.

• Berechtigung: read
• MCP-Werkzeug: lockpick_compare_scans
• Senden Sie x-lockpick-agent-features: finding-code, um den code jedes Befunds zu erhalten (LP- und sechs Zeichen, wie ihn der Web-Bericht zeigt). Ohne den Header enthält die Antwort keinen code, die Form, die ältere Clients erwarten.

data

POST /agent/scans/{scanId}/dns-rechecks

Die kostenlose DNS-Prüfung für einen Scan erneut ausführen. Es wird nichts an die Website gesendet.

• Berechtigung: pulse
• MCP-Werkzeug: lockpick_recheck_dns

Anfragetext

data

GET /agent/scans/{scanId}/dns-rechecks/latest

Die letzte kostenlose erneute DNS-Prüfung eines Scans.

• Berechtigung: read
• MCP-Werkzeug: lockpick_get_dns_recheck

data

POST /agent/quick-checks

Einen kostenlosen Schnellcheck einer Startseite starten.

• Berechtigung: pulse
• MCP-Werkzeug: lockpick_quick_check

Anfragetext

data

POST /agent/repository-checks

Prüfen Sie ein öffentliches GitHub-Repository (einen Skill, ein Plugin, einen MCP-Server oder eine App), bevor Sie es installieren.

• Berechtigung: pulse
• MCP-Werkzeug: lockpick_check_repository

Anfragetext

data

GET /agent/repository-checks/{checkId}

Eine Repository-Prüfung und ihre Befunde.

• Berechtigung: read
• MCP-Werkzeug: lockpick_get_repository_check

data

GET /agent/quick-checks/{checkId}

Ein Schnellcheck und sein Ergebnis.

• Berechtigung: read
• MCP-Werkzeug: lockpick_get_quick_check

data

GET /agent/docs/search

Die öffentliche Dokumentation von Lockpick durchsuchen.

• Berechtigung: read
• MCP-Werkzeug: lockpick_search_docs

Abfrageparameter

data

GET /agent/docs/page

Eine öffentliche Dokumentationsseite als Markdown, bei langen Seiten in Teilen.

• Berechtigung: read
• MCP-Werkzeug: lockpick_read_doc

Abfrageparameter

data

Geräteanmeldung

So bekommt lockpick login einen Schlüssel: Es fragt nach einem Code, die Person bestätigt ihn im Browser, und das Abfragen liefert den Schlüssel zurück.

POST /device/code

Eine Geräteanmeldung starten und einen Code erhalten, den die Person im Browser bestätigt.

• Berechtigung: keine, Teil der Anmeldung

Anfragetext

data

POST /device/token

Die Geräteanmeldung abfragen, bis die Person sie bestätigt, und dann den Schlüssel erhalten.

• Berechtigung: keine, Teil der Anmeldung

Anfragetext

Veraltet

Die ursprünglichen CLI-Routen, die CLI 0.2 nutzt. Sie bleiben unverändert. Neue Integrationen sollten die oben beschriebene Agent-API nutzen.

Ursprüngliche CLI-Routen

POST /projects/{projectId}/local-assessments/authorize

Eine lokale Prüfung vor der Untersuchung des Repositorys autorisieren. Quellcode und Ergebnisse werden nicht hochgeladen.

• Berechtigung: local

Anfragetext

Feld	Typ	Pflicht
cliVersion	string	Ja
scannerVersion	string	Ja
rulesetVersion	string	Ja
reportSchemaVersion	string	Ja
checks	list of tracked-secrets, public-environment, browser-artifacts, supabase-client, supabase-migrations, git-history, docker-files, docker-values, actions-injection, source-maps	Ja

data

Feld	Typ	Immer vorhanden
admissionId	string	Ja
projectId	string	Ja
workspaceId	string	Ja
policyVersion	string	Ja
startBy	string	Ja
checks	list of object	Ja

GET /me

Die Person, der Arbeitsbereich und der Schlüssel hinter diesen Zugangsdaten.

• Berechtigung: read

data

Feld	Typ	Immer vorhanden
user	object	Ja
workspace	object	Ja
key	object	Ja

DELETE /me

Widerruft den vorgelegten Schlüssel.

• Berechtigung: jeder gültige Schlüssel

data

Feld	Typ	Immer vorhanden
revoked	boolean	Ja

GET /projects

Websites (Projekte) mit ihren letzten Pulse- und Deep-Scans.

• Berechtigung: read

Jeder Eintrag in data

Feld	Typ	Immer vorhanden
id	string	Ja
name	string	Ja
status	string	Ja
baseDomain	string or null	Ja
latestPulse	object or null	Ja
latestDeep	object or null	Nein
latestBox	object or null	Ja
webPath	string	Ja
webUrl	string	Nein

GET /projects/{projectId}/status

Die letzten Ergebnisse einer Website und was sich geändert hat.

• Berechtigung: read

data

Feld	Typ	Immer vorhanden
project	object	Ja
latestPulse	object or null	Ja
latestDeep	object or null	Nein
latestBox	object or null	Ja
lastComparison	object or null	Ja
caveats	list of string	Ja

POST /projects/{projectId}/pulse

Startet einen Pulse-Scan für eine Website oder eine erneute Prüfung ihres letzten Pulse-Scans.

• Berechtigung: pulse
• Antwortet mit 201, wenn es funktioniert

Anfragetext

Feld	Typ	Pflicht
idempotencyKey	string	Ja

data

Feld	Typ	Immer vorhanden
id	string	Ja
kind	pulse, box (Deep, alter Name)	Ja
projectId	string	Ja
target	string	Ja
status	queued, running, cancelling, succeeded, incomplete, failed, cancelled	Ja
mode	autonomous, authenticated, active or null	Ja
createdAt	string or null	Ja
finishedAt	string or null	Ja
webPath	string	Ja
assessmentLevel	pulse, standard, deep or null	Nein
headline	object	Nein
webUrl	string	Nein
suggestedPollAfterSeconds	integer or null	Nein
baselineRunId	string or null	Ja
open	object	Ja
findingCount	integer	Ja
progress	object or null	Ja
coverage	object	Ja
caveats	list of string	Ja
outcome	object or null	Nein
exposureCheck	object or null	Nein

POST /projects/{projectId}/deep

Startet den Deep-Scan eines Releases mit einem CI-Schlüssel, der für diese Website erstellt wurde und Deep erlaubt.

• Berechtigung: deep
• Antwortet mit 201, wenn es funktioniert

Anfragetext

Feld	Typ	Pflicht
idempotencyKey	string	Ja

data

Feld	Typ	Immer vorhanden
id	string	Ja
kind	pulse, box (Deep, alter Name)	Ja
projectId	string	Ja
target	string	Ja
status	queued, running, cancelling, succeeded, incomplete, failed, cancelled	Ja
mode	autonomous, authenticated, active or null	Ja
createdAt	string or null	Ja
finishedAt	string or null	Ja
webPath	string	Ja
assessmentLevel	pulse, standard, deep or null	Nein
headline	object	Nein
webUrl	string	Nein
suggestedPollAfterSeconds	integer or null	Nein
baselineRunId	string or null	Ja
open	object	Ja
findingCount	integer	Ja
progress	object or null	Ja
coverage	object	Ja
caveats	list of string	Ja
outcome	object or null	Nein
exposureCheck	object or null	Nein

GET /runs

Pulse- und Deep-Scans, neueste zuerst.

• Berechtigung: read

Abfrageparameter

Feld	Typ	Pflicht
projectId	string	Nein
kind	pulse, box (Deep, alter Name)	Nein
assessmentLevel	pulse, standard, deep	Nein
status	queued, running, cancelling, succeeded, incomplete, failed, cancelled	Nein
limit	integer	Nein

Jeder Eintrag in data

Feld	Typ	Immer vorhanden
id	string	Ja
kind	pulse, box (Deep, alter Name)	Ja
projectId	string	Ja
target	string	Ja
status	queued, running, cancelling, succeeded, incomplete, failed, cancelled	Ja
mode	autonomous, authenticated, active or null	Ja
createdAt	string or null	Ja
finishedAt	string or null	Ja
webPath	string	Ja
assessmentLevel	pulse, standard, deep or null	Nein
headline	object	Nein
webUrl	string	Nein
suggestedPollAfterSeconds	integer or null	Nein

GET /runs/{runId}

Ein Lauf mit seiner Zusammenfassung und seinen Zählwerten.

• Berechtigung: read

data

Feld	Typ	Immer vorhanden
id	string	Ja
kind	pulse, box (Deep, alter Name)	Ja
projectId	string	Ja
target	string	Ja
status	queued, running, cancelling, succeeded, incomplete, failed, cancelled	Ja
mode	autonomous, authenticated, active or null	Ja
createdAt	string or null	Ja
finishedAt	string or null	Ja
webPath	string	Ja
assessmentLevel	pulse, standard, deep or null	Nein
headline	object	Nein
webUrl	string	Nein
suggestedPollAfterSeconds	integer or null	Nein
baselineRunId	string or null	Ja
open	object	Ja
findingCount	integer	Ja
progress	object or null	Ja
coverage	object	Ja
caveats	list of string	Ja
outcome	object or null	Nein
exposureCheck	object or null	Nein

GET /runs/{runId}/findings

Befunde eines Laufs.

• Berechtigung: read

Abfrageparameter

Feld	Typ	Pflicht
severity	critical, high, medium, low, info	Nein
state	attention, information, unknown, pass	Nein
all	true, false	Nein

Jeder Eintrag in data

Feld	Typ	Immer vorhanden
id	string	Ja
code	string	Nein
runId	string	Ja
kind	pulse, box (Deep, alter Name)	Ja
severity	critical, high, medium, low, info	Ja
state	attention, information, unknown, pass	Ja
category	string	Ja
title	string	Ja
meaning	string	Ja
fix	string or null	Ja
confidence	string	Ja
evidence	list of string	Ja
sources	list of string	Ja
steps	list of string	Ja
webPath	string	Ja
webUrl	string	Nein
verdict	confirmed, needs_review, not_actionable or null	Nein
certainty	high, medium, low or null	Nein
exploitability	direct, conditional, hygiene, none or null	Nein
proof	object or null	Nein
proofGap	string or null	Nein
urgency	now, week, later, none	Nein
howSure	confirmed, likely, possible or null	Nein

GET /runs/{runId}/findings/{findingId}

Ein Befund mit seinen geschwärzten Nachweisen.

• Berechtigung: read

data

Feld	Typ	Immer vorhanden
id	string	Ja
code	string	Nein
runId	string	Ja
kind	pulse, box (Deep, alter Name)	Ja
severity	critical, high, medium, low, info	Ja
state	attention, information, unknown, pass	Ja
category	string	Ja
title	string	Ja
meaning	string	Ja
fix	string or null	Ja
confidence	string	Ja
evidence	list of string	Ja
sources	list of string	Ja
steps	list of string	Ja
webPath	string	Ja
webUrl	string	Nein
verdict	confirmed, needs_review, not_actionable or null	Nein
certainty	high, medium, low or null	Nein
exploitability	direct, conditional, hygiene, none or null	Nein
proof	object or null	Nein
proofGap	string or null	Nein
urgency	now, week, later, none	Nein
howSure	confirmed, likely, possible or null	Nein

GET /runs/{runId}/repair-brief

Die Korrekturen eines Laufs als eine Markdown-Anleitung.

• Berechtigung: read

Abfrageparameter

Feld	Typ	Pflicht
findingId	string	Nein
agent	claude-code, codex, cursor, vscode, opencode, lovable, bolt, replit, v0	Nein

data

Feld	Typ	Immer vorhanden
runId	string	Ja
findingIds	list of string	Ja
saved	boolean	Ja
markdown	string	Ja
webUrl	string	Nein

GET /runs/{runId}/comparison

Was sich zwischen einem Lauf und dem vorherigen geändert hat.

• Berechtigung: read

data

Feld	Typ	Immer vorhanden
runId	string	Ja
baselineRunId	string	Ja
error	string or null	Ja
changes	list of object	Ja
webUrl	string	Nein