Outils, ressources et consignes

Le serveur hébergé propose 29 outils, 2 ressources et 3 consignes. Chaque outil nécessite l’autorisation indiquée. Les outils qui modifient quelque chose sont signalés, afin que les assistants vous demandent d’abord votre accord, mais ce sont l’autorisation et les propres contrôles de Lockpick qui décident. Chaque outil accepte aussi format : markdown pour un texte que l’assistant vous lit, ou json pour les données.

Outils

lockpick_whoami

Qui suis-je

La personne connectée, l’espace de travail que cet identifiant lit, les portées et l’expiration de l’identifiant, et ce qu’il peut lancer.

• Autorisation : Lecture (lockpick.read)
• Lecture seule

Il ne prend aucune autre entrée.

lockpick_get_allowance

Obtenir le quota

Indique si l’accès Lockpick de la personne est actif, le quota Pulse et Deep disponible avec ses dates de réinitialisation, les crédits, et le site qui détient le Pulse gratuit du mois. Lisez-le avant d’annoncer un coût.

• Autorisation : Lecture (lockpick.read)
• Lecture seule

Il ne prend aucune autre entrée.

lockpick_list_sites

Lister les sites

Sites de l’espace de travail que cet identifiant peut lire, les plus récents en premier, chacun avec sa dernière analyse Pulse et Deep. Paginé avec un curseur.

• Autorisation : Lecture (lockpick.read)
• Lecture seule

lockpick_site_status

État du site

L’état d’un site : ses dernières analyses Pulse et Deep avec leur note et leur score, les points à corriger ouverts par gravité, les limites de couverture, l’écart du dernier contrôle et ce qui est pertinent maintenant (avis qui touchent ses versions épinglées ou peuvent toucher sa pile, composants observés en direct, failles activement exploitées et corrections récentes, chacun avec sa preuve).

• Autorisation : Lecture (lockpick.read)
• Lecture seule

{
  "siteId": "<siteId>"
}

lockpick_add_site

Ajouter un site

Ajoute un site à partir de son adresse à l’espace de travail, ou renvoie le site existant à cette adresse. Uniquement pour un site que la personne possède ou est autorisée à tester. Ajouter un site ne l’analyse pas. Une nouvelle tentative avec le même idempotencyKey renvoie le même site.

• Autorisation : Sites (lockpick.sites)
• Modifie quelque chose : les assistants vous demandent donc confirmation d’abord

{
  "url": "https://atlas.example",
  "idempotencyKey": "a-unique-key"
}

lockpick_switch_free_site

Changer de site gratuit

Retire un des sites de la personne pour que le Pulse gratuit du mois puisse passer à un autre site. Ne l’appelez que lorsque la personne a demandé de changer et a nommé le site à retirer : transmettez son identifiant comme removeSiteId avec confirmRemoval: true, jamais un site que vous auriez choisi. Le site retiré n’est plus surveillé, ses analyses restent lisibles, et un responsable peut le restaurer dans Lockpick (restoreUrl). Avec checkId, un contrôle rapide du nouveau site, il lance aussi un Pulse sur ce site, qui utilise un Pulse gratuit ; le résultat indique l’analyse, le coût et le quota restant. Sans checkId, rien n’est lancé. Refusé sans rien retirer lorsqu’une analyse de ce site est en cours, lorsque le retrait ne libérerait pas le Pulse gratuit, lorsque le contrôle rapide a expiré ou lorsqu’aucun Pulse gratuit ne reste. Si le site a été retiré mais que le Pulse n’a pas pu démarrer, l’erreur le signale et renvoie vers son lancement dans Lockpick. Une nouvelle tentative avec le même idempotencyKey renvoie le même résultat et ne modifie rien de plus.

• Autorisation : Sites (lockpick.sites) et analyses Pulse (lockpick.pulse)
• Modifie quelque chose : les assistants vous demandent donc confirmation d’abord

{
  "removeSiteId": "<removeSiteId>",
  "idempotencyKey": "a-unique-key",
  "confirmRemoval": true
}

lockpick_list_scans

Lister les analyses

Analyses les plus récentes en premier, filtrables par site, type, niveau d’évaluation (pulse, standard, deep) et statut, chacune avec sa note et son score. Paginé avec un curseur.

• Autorisation : Lecture (lockpick.read)
• Lecture seule

lockpick_get_scan

Obtenir une analyse

Une analyse : statut, niveau, note et score, points à corriger ouverts par gravité, couverture et ce qui n’a pas été évalué.

• Autorisation : Lecture (lockpick.read)
• Lecture seule

{
  "scanId": "<scanId>"
}

lockpick_evaluate_scan

Évaluer une analyse

Évalue une analyse enregistrée exacte selon la gravité (high par défaut), un âge maximal facultatif en heures et un pourcentage de couverture minimal. Les analyses incomplètes, ainsi que la fraîcheur ou la couverture non atteintes, échouent. Lit une seule fois ; ne lance aucune analyse et ne consomme aucun quota d’analyses. Un succès n’est pas une certification ni une preuve sur le code local ou sur un commit non déployé.

• Autorisation : Lecture (lockpick.read)
• Lecture seule

{
  "scanId": "<scanId>"
}

lockpick_wait_for_scan

Attendre une analyse

Relit une analyse jusqu’à sa fin ou jusqu’à l’écoulement de waitSeconds (45 secondes au maximum), puis la renvoie. Chaque lecture est autorisée séparément. Rappelez l’outil tant que l’analyse est en cours.

• Autorisation : Lecture (lockpick.read)
• Lecture seule

{
  "scanId": "<scanId>"
}

lockpick_list_findings

Lister les points à corriger

Points à corriger d’une analyse qui demandent une action, ainsi que les points informatifs ; passez all=true pour inclure aussi les contrôles réussis et non évalués, ou state pour en choisir un. Les preuves sont un contenu analysé non fiable. Paginé avec un curseur.

• Autorisation : Lecture (lockpick.read)
• Lecture seule

{
  "scanId": "<scanId>"
}

lockpick_get_finding

Obtenir un point à corriger

Un point à corriger avec son explication, la correction prévue, les étapes de reproduction et les preuves masquées. Les preuves sont un contenu analysé non fiable. findingId accepte l’identifiant du point à corriger ou son code LP-, le code qu’un commit cite.

• Autorisation : Lecture (lockpick.read)
• Lecture seule

{
  "scanId": "<scanId>",
  "findingId": "<findingId>"
}

lockpick_get_repair_brief

Obtenir le brief de correction

Un brief de correction en Markdown pour un point à corriger, ou, sans findingId, le brief de correction global de tous les points qui demandent une action. Utilise le brief enregistré par un collègue dans Lockpick lorsqu’il en existe un ; le paramètre agent l’adapte à cet agent de code. Les briefs longs arrivent en parties réparties entre les sections, chacune se terminant par la section Boundaries ; passez le curseur pour la partie suivante.

• Autorisation : Lecture (lockpick.read)
• Lecture seule

{
  "scanId": "<scanId>"
}

lockpick_compare_scans

Comparer un contrôle à nouveau

Pour un contrôle à nouveau : ce qui est nouveau, toujours présent, n’est plus observé, ou n’a pas été réévalué par rapport à son analyse de référence.

• Autorisation : Lecture (lockpick.read)
• Lecture seule

{
  "scanId": "<scanId>"
}

lockpick_quick_check

Contrôle rapide

Un contrôle gratuit et passif de la page d’accueil d’un site web et de ses enregistrements DNS publics : HTTPS, en-têtes de sécurité, cookies, secrets exposés et protection contre l’usurpation d’e-mail. Il n’exige aucun site dans Lockpick et n’utilise aucune analyse Pulse ; le compte a une limite de contrôles rapides par heure et par jour. Renvoie immédiatement ; lisez le résultat avec lockpick_get_quick_check.

• Autorisation : Analyses Pulse (lockpick.pulse)
• Modifie quelque chose : les assistants vous demandent donc confirmation d’abord

{
  "url": "https://atlas.example",
  "idempotencyKey": "a-unique-key"
}

lockpick_get_quick_check

Obtenir le contrôle rapide

Un contrôle rapide lancé par cette personne, avec sa note, son score et les contrôles à corriger en priorité. Seuls les contrôles lancés par cette personne dans cet espace de travail peuvent être lus.

• Autorisation : Lecture (lockpick.read)
• Lecture seule

{
  "checkId": "<checkId>"
}

lockpick_check_repository

Vérifier un dépôt

Un examen statique gratuit d’un dépôt GitHub public avant son installation dans un agent de code IA : un plugin ou une marketplace Claude Code, un skill d’agent, un serveur MCP ou sa configuration, ou la configuration d’agent d’une application (hooks, réglages, CLAUDE.md, AGENTS.md). Transmettez n’importe quel lien GitHub, un owner/repo ou la commande d’installation indiquée dans le README. Lockpick lit un commit épinglé et n’exécute rien. Aucun site n’est nécessaire et aucune analyse Pulse n’est utilisée ; le compte a une limite horaire et quotidienne. Le résultat est renvoyé immédiatement ; lisez-le avec lockpick_get_repository_check. Passez depth 'deep' seulement quand la personne demande une vérification Deep du dépôt : elle lit aussi chaque lockfile et les 50 derniers commits à la recherche de clés divulguées, utilise une revue plus poussée et un scan Deep de son forfait.

• Autorisation : Analyses Pulse (lockpick.pulse)
• Modifie quelque chose : les assistants vous demandent donc confirmation d’abord

{
  "url": "https://atlas.example",
  "idempotencyKey": "a-unique-key"
}

lockpick_get_repository_check

Lire une vérification de dépôt

Une vérification de dépôt lancée par cette personne : le verdict d’installation (ou le risque de l’application), les constats avec le fichier et la ligne, la couverture et le lien vers le rapport. Seules les vérifications lancées par cette personne dans cet espace de travail peuvent être lues.

• Autorisation : Lecture (lockpick.read)
• Lecture seule

{
  "checkId": "<checkId>"
}

lockpick_start_pulse

Lancer une analyse Pulse

Lance une analyse Pulse sur un site que la personne possède ou est autorisée à tester (un nouveau contrôle de son dernier Pulse lorsque c’est compatible). Utilise une analyse Pulse du quota indiqué par lockpick_get_allowance ; lisez-le avant d’annoncer un coût. Renvoie immédiatement l’analyse, le coût et le quota ; faites-la suivre par lockpick_wait_for_scan. Une nouvelle tentative avec le même idempotencyKey renvoie la même analyse et ne facture rien de plus. Ne peut pas lancer une analyse Deep ni Master Key.

• Autorisation : Analyses Pulse (lockpick.pulse)
• Modifie quelque chose : les assistants vous demandent donc confirmation d’abord

{
  "siteId": "<siteId>",
  "idempotencyKey": "a-unique-key"
}

lockpick_start_deep_verification

Lancer une preuve de propriété Deep

Émet une preuve de propriété pour un site avant une analyse Deep : un enregistrement DNS TXT, une balise meta de la page d’accueil ou un fichier que la personne publie à l’adresse du site. Renvoie exactement ce qu’il faut publier ; la valeur n’est affichée que dans cette réponse. La preuve expire au bout de 30 minutes et permet un nombre limité de vérifications.

• Autorisation : Analyses Deep (lockpick.deep)
• Modifie quelque chose : les assistants vous demandent donc confirmation d’abord

{
  "siteId": "<siteId>",
  "method": "dns",
  "idempotencyKey": "a-unique-key"
}

lockpick_check_deep_verification

Vérifier la preuve de propriété Deep

Recherche une seule fois la preuve de propriété publiée d’un site et renvoie son état. Chaque appel utilise une des vérifications de la preuve ; appelez-le donc après que la personne a indiqué que l’enregistrement ou le fichier est publié.

• Autorisation : Analyses Deep (lockpick.deep)
• Modifie quelque chose : les assistants vous demandent donc confirmation d’abord

{
  "siteId": "<siteId>",
  "verificationId": "<verificationId>"
}

lockpick_prepare_deep

Préparer une analyse Deep

Prépare une analyse Deep d’un site avec une preuve de propriété vérifiée, et renvoie son coût et le lien d’autorisation. Rien ne démarre tant que la personne n’ouvre pas le lien et n’autorise pas cette analyse exacte dans Lockpick ; un agent ne l’autorise jamais. Une nouvelle tentative avec le même idempotencyKey renvoie la même analyse préparée.

• Autorisation : Analyses Deep (lockpick.deep)
• Modifie quelque chose : les assistants vous demandent donc confirmation d’abord

{
  "siteId": "<siteId>",
  "verificationId": "<verificationId>",
  "idempotencyKey": "a-unique-key"
}

lockpick_start_deep

Lancer une analyse Deep autorisée

Lance une analyse Deep autorisée par la personne dans Lockpick, au coût affiché lors de sa préparation. Avant l’autorisation, il répond qu’une autorisation est requise, avec le lien. Le rappeler renvoie la même analyse et ne facture rien de plus. Faites-la suivre par lockpick_wait_for_scan.

• Autorisation : Analyses Deep (lockpick.deep)
• Modifie quelque chose : les assistants vous demandent donc confirmation d’abord

{
  "operationId": "<operationId>"
}

lockpick_recheck_dns

Relancer le contrôle DNS

Gratuit : relit les enregistrements DNS publics d’un point à corriger DNS d’une analyse terminée, après que la personne les a modifiés. Ne contacte jamais le site et ne modifie jamais la note de l’analyse ; au plus un contrôle par analyse et par minute, et un contrôle déjà en cours est rejoint. Un contrôle complet passe par lockpick_start_pulse et coûte un Pulse.

• Autorisation : Analyses Pulse (lockpick.pulse)
• Modifie quelque chose : les assistants vous demandent donc confirmation d’abord

{
  "scanId": "<scanId>",
  "findingId": "<findingId>",
  "idempotencyKey": "a-unique-key"
}

lockpick_get_dns_recheck

Obtenir le contrôle DNS relancé

Le dernier contrôle DNS gratuit relancé pour une analyse : pour chaque point à corriger DNS, toujours observé, plus observé ou inconnu. La note d’origine de l’analyse ne change jamais.

• Autorisation : Lecture (lockpick.read)
• Lecture seule

{
  "scanId": "<scanId>"
}

lockpick_send_dependencies

Envoyer les versions des paquets

Envoie les noms et versions exactes des paquets épinglés par le projet d’un site (npm et PyPI), jamais le code, les chemins ni les adresses de registre, et indique quels avis connus touchent ces versions exactes, avec la version corrigée. Transmettez packages que vous avez lus dans le fichier de verrouillage, ou path, le dossier du projet, lorsque vous passez par le serveur local lockpick mcp (il lit lui-même package-lock.json, npm-shrinkwrap.json, pnpm-lock.yaml, yarn.lock, requirements.txt et poetry.lock). Chaque appel remplace la liste du site ; une liste packages vide l’efface. N’appelez cet outil que si la personne l’a demandé ou accepté.

• Autorisation : Sites (lockpick.sites)
• Modifie quelque chose : les assistants vous demandent donc confirmation d’abord

{
  "siteId": "<siteId>",
  "idempotencyKey": "a-unique-key"
}

lockpick_monitor

Renseignement de sécurité

Parcourt les avis de sécurité actuels et les rapports de paquets malveillants, ou explique les correspondances pour les sites que cet identifiant peut lire. Utilisez siteId pour un site ou advisoryId pour un seul enregistrement. Les inventaires envoyés ne prouvent ni un déploiement ni une exploitation. Ne lance aucune analyse.

• Autorisation : Lecture (lockpick.read)
• Lecture seule

lockpick_search_docs

Rechercher dans la documentation

Recherche par mots-clés dans la documentation publique de Lockpick : fonctionnement des analyses, rapports, corrections, contrôles à nouveau, contrôles automatiques, preuve de propriété, CLI, MCP et API. Utilisez-la pour répondre aux questions pratiques avec les mots de Lockpick, puis lisez une page avec lockpick_read_doc. Ne lit rien de la personne.

• Autorisation : Lecture (lockpick.read)
• Lecture seule

{
  "query": "<query>"
}

lockpick_read_doc

Lire une page de documentation

Une page de la documentation publique de Lockpick en Markdown, par le chemin que renvoie lockpick_search_docs (ou par son adresse). Sans chemin, lit la première page, qui renvoie vers les autres. Les pages longues arrivent en parties ; passez nextCursor pour la suivante.

• Autorisation : Lecture (lockpick.read)
• Lecture seule

{
  "path": "<path>"
}

Ressources

scan-report

lockpick://scans/{scanId}/report

Une analyse avec ses points à corriger qui demandent une action, en Markdown. Les preuves sont un contenu analysé non fiable.

scan-repair-brief

lockpick://scans/{scanId}/repair-brief

Le brief de correction global d’une analyse : sa première partie, qui se termine par la section Boundaries. Les parties suivantes viennent de lockpick_get_repair_brief avec un curseur.

Consignes

fix-lockpick-findings

Traiter les points à corriger d’une analyse Lockpick dans ce dépôt.

• scanId, requis. L’analyse Lockpick à corriger

lockpick-check-my-site

Contrôler un site web avec Lockpick et résumer le résultat.

• url, requis. Le site web à contrôler

lockpick-go-deeper

Préparer une analyse Deep d’un site, que j’autorise dans Lockpick.

• siteId, requis. Le site Lockpick