Referência

Versão 1, em beta. Todo caminho começa com /api/cli/v1, toda requisição carrega uma chave como token bearer, e toda resposta é { data, error }. A descrição completa também está em OpenAPI 3.1.

API do agente

As operações do servidor por trás das ferramentas MCP hospedadas. Novas integrações devem usar estas. lockpick_wait_for_scan consulta GET /agent/scans/{scanId}; lockpick_evaluate_scan lê esse mesmo scan e aplica a política de avaliação no cliente. Estas duas ferramentas compostas não têm endpoint HTTP próprio. Scripts podem consultar a situação do scan e avaliar o horário de conclusão, a cobertura e a contagem de achados abertos conforme a sua política.

GET /agent/me

A pessoa, o workspace, os escopos e a validade desta credencial, e o que ela pode iniciar.

• Permissão: read
• Ferramenta MCP: lockpick_whoami

data

GET /agent/allowance

Scans gratuitos restantes neste mês, as datas de renovação e os créditos.

• Permissão: read
• Ferramenta MCP: lockpick_get_allowance

data

GET /agent/monitor

Navega pela inteligência de segurança atual e explica as correspondências dos sites autorizados.

• Permissão: read
• Ferramenta MCP: lockpick_monitor

Consulta

data

Cada item

GET /agent/sites

Uma página de sites com os seus scans mais recentes.

• Permissão: read
• Ferramenta MCP: lockpick_list_sites

Consulta

data

Cada item

POST /agent/sites

Adicione um site, ou devolva o que já tem este endereço.

• Permissão: sites
• Ferramenta MCP: lockpick_add_site

Corpo

data

GET /agent/sites/{siteId}/status

A situação de um site: os seus scans mais recentes e o que fazer em seguida.

• Permissão: read
• Ferramenta MCP: lockpick_site_status

data

POST /agent/sites/{siteId}/dependencies

Envia os nomes e as versões exatas que um site fixa nos pacotes, nunca código, e informa quais avisos os afetam.

• Permissão: sites
• Ferramenta MCP: lockpick_send_dependencies

Corpo

data

POST /agent/sites/{siteId}/pulse

Inicia um Pulse em um site.

• Permissão: pulse
• Ferramenta MCP: lockpick_start_pulse

Corpo

data

POST /agent/sites/{siteId}/deep-verifications

Emite uma prova de propriedade por DNS ou arquivo antes de um scan Deep.

• Permissão: deep
• Ferramenta MCP: lockpick_start_deep_verification

Corpo

data

POST /agent/sites/{siteId}/deep-verifications/{verificationId}/verify

Verifica uma prova de propriedade publicada. Cada verificação usa uma das tentativas.

• Permissão: deep
• Ferramenta MCP: lockpick_check_deep_verification

data

POST /agent/sites/{siteId}/deep-operations

Prepara um scan Deep e obtém o link em que a pessoa o aprova.

• Permissão: deep
• Ferramenta MCP: lockpick_prepare_deep

Corpo

data

POST /agent/deep-operations/{operationId}/start

Inicia um scan Deep que a pessoa aprovou.

• Permissão: deep
• Ferramenta MCP: lockpick_start_deep

data

POST /agent/free-site-switch

Remove um site para que o Pulse gratuito deste mês possa passar para outro.

• Permissão: sites and pulse
• Ferramenta MCP: lockpick_switch_free_site

Corpo

data

GET /agent/scans

Uma página de scans, do mais recente para o mais antigo, com filtros.

• Permissão: read
• Ferramenta MCP: lockpick_list_scans

Consulta

data

Cada item

GET /agent/scans/{scanId}

Um scan com a sua situação e o seu resumo.

• Permissão: read
• Ferramenta MCP: lockpick_get_scan

data

GET /agent/scans/{scanId}/findings

Uma página de achados de um scan.

• Permissão: read
• Ferramenta MCP: lockpick_list_findings
• Envie x-lockpick-agent-features: finding-code para receber o code de cada achado (LP- e seis caracteres, como o relatório web o mostra). Sem o cabeçalho, a resposta não traz code, o formato que clientes mais antigos esperam.

Consulta

data

Cada item

GET /agent/scans/{scanId}/findings/{findingId}

Um achado com as suas provas redigidas.

• Permissão: read
• Ferramenta MCP: lockpick_get_finding
• Envie x-lockpick-agent-features: finding-code para receber o code de cada achado (LP- e seis caracteres, como o relatório web o mostra). Sem o cabeçalho, a resposta não traz code, o formato que clientes mais antigos esperam.

data

GET /agent/scans/{scanId}/repair-brief

Uma parte das instruções de correção de um scan.

• Permissão: read
• Ferramenta MCP: lockpick_get_repair_brief

Consulta

data

GET /agent/scans/{scanId}/comparison

O que mudou entre um scan e o que ele verifica de novo.

• Permissão: read
• Ferramenta MCP: lockpick_compare_scans
• Envie x-lockpick-agent-features: finding-code para receber o code de cada achado (LP- e seis caracteres, como o relatório web o mostra). Sem o cabeçalho, a resposta não traz code, o formato que clientes mais antigos esperam.

data

POST /agent/scans/{scanId}/dns-rechecks

Faz de novo a verificação gratuita de DNS de um scan. Não envia nada ao site.

• Permissão: pulse
• Ferramenta MCP: lockpick_recheck_dns

Corpo

data

GET /agent/scans/{scanId}/dns-rechecks/latest

A última verificação de DNS de novo de um scan.

• Permissão: read
• Ferramenta MCP: lockpick_get_dns_recheck

data

POST /agent/quick-checks

Inicia uma verificação rápida gratuita de uma página inicial.

• Permissão: pulse
• Ferramenta MCP: lockpick_quick_check

Corpo

data

POST /agent/repository-checks

Verifique um repositório público do GitHub (uma skill, plugin, servidor MCP ou app) antes de instalá-lo.

• Permissão: pulse
• Ferramenta MCP: lockpick_check_repository

Corpo

data

GET /agent/repository-checks/{checkId}

Uma verificação de repositório e os seus achados.

• Permissão: read
• Ferramenta MCP: lockpick_get_repository_check

data

GET /agent/quick-checks/{checkId}

Uma verificação rápida e o seu resultado.

• Permissão: read
• Ferramenta MCP: lockpick_get_quick_check

data

GET /agent/docs/search

Pesquisa a documentação pública do Lockpick.

• Permissão: read
• Ferramenta MCP: lockpick_search_docs

Consulta

data

GET /agent/docs/page

Uma página pública da documentação em Markdown, em partes quando é longa.

• Permissão: read
• Ferramenta MCP: lockpick_read_doc

Consulta

data

Login por dispositivo

Como lockpick login obtém uma chave: pede um código, a pessoa o aprova no navegador, e a consulta devolve a chave.

POST /device/code

Inicia um login por dispositivo e obtém um código para a pessoa aprovar no navegador.

• Permissão: none, part of sign-in

Corpo

data

POST /device/token

Consulta o login por dispositivo até a pessoa aprová-lo e então recebe a chave.

• Permissão: none, part of sign-in

Corpo

Legado

As rotas originais da CLI, que a CLI 0.2 usa. Continuam como estão, e as novas integrações devem usar a API do agente acima.

Rotas originais da CLI

POST /projects/{projectId}/local-assessments/authorize

Autorizar uma avaliação local antes de inspecionar o repositório. Nenhum código-fonte ou resultado é enviado.

• Permissão: local

Corpo

Campo	Tipo	Obrigatório
cliVersion	string	Sim
scannerVersion	string	Sim
rulesetVersion	string	Sim
reportSchemaVersion	string	Sim
checks	list of tracked-secrets, public-environment, browser-artifacts, supabase-client, supabase-migrations, git-history, docker-files, docker-values, actions-injection, source-maps	Sim

data

Campo	Tipo	Sempre presente
admissionId	string	Sim
projectId	string	Sim
workspaceId	string	Sim
policyVersion	string	Sim
startBy	string	Sim
checks	list of object	Sim

GET /me

A pessoa, o workspace e a chave por trás desta credencial.

• Permissão: read

data

Campo	Tipo	Sempre presente
user	object	Sim
workspace	object	Sim
key	object	Sim

DELETE /me

Revoga a chave apresentada.

• Permissão: any valid key

data

Campo	Tipo	Sempre presente
revoked	boolean	Sim

GET /projects

Sites (projetos) com os seus scans Pulse e Deep mais recentes.

• Permissão: read

Cada item em data

Campo	Tipo	Sempre presente
id	string	Sim
name	string	Sim
status	string	Sim
baseDomain	string or null	Sim
latestPulse	object or null	Sim
latestDeep	object or null	Não
latestBox	object or null	Sim
webPath	string	Sim
webUrl	string	Não

GET /projects/{projectId}/status

Os resultados mais recentes de um site e o que mudou.

• Permissão: read

data

Campo	Tipo	Sempre presente
project	object	Sim
latestPulse	object or null	Sim
latestDeep	object or null	Não
latestBox	object or null	Sim
lastComparison	object or null	Sim
caveats	list of string	Sim

POST /projects/{projectId}/pulse

Inicia um Pulse em um site, ou uma nova verificação do último Pulse dele.

• Permissão: pulse
• Responde 201 quando funciona

Corpo

Campo	Tipo	Obrigatório
idempotencyKey	string	Sim

data

Campo	Tipo	Sempre presente
id	string	Sim
kind	pulse, box (Deep, legacy name)	Sim
projectId	string	Sim
target	string	Sim
status	queued, running, cancelling, succeeded, incomplete, failed, cancelled	Sim
mode	autonomous, authenticated, active or null	Sim
createdAt	string or null	Sim
finishedAt	string or null	Sim
webPath	string	Sim
assessmentLevel	pulse, standard, deep or null	Não
headline	object	Não
webUrl	string	Não
suggestedPollAfterSeconds	integer or null	Não
baselineRunId	string or null	Sim
open	object	Sim
findingCount	integer	Sim
progress	object or null	Sim
coverage	object	Sim
caveats	list of string	Sim
outcome	object or null	Não
exposureCheck	object or null	Não

POST /projects/{projectId}/deep

Inicia o scan Deep de um release com uma chave de CI feita para este site, com Deep permitido.

• Permissão: deep
• Responde 201 quando funciona

Corpo

Campo	Tipo	Obrigatório
idempotencyKey	string	Sim

data

Campo	Tipo	Sempre presente
id	string	Sim
kind	pulse, box (Deep, legacy name)	Sim
projectId	string	Sim
target	string	Sim
status	queued, running, cancelling, succeeded, incomplete, failed, cancelled	Sim
mode	autonomous, authenticated, active or null	Sim
createdAt	string or null	Sim
finishedAt	string or null	Sim
webPath	string	Sim
assessmentLevel	pulse, standard, deep or null	Não
headline	object	Não
webUrl	string	Não
suggestedPollAfterSeconds	integer or null	Não
baselineRunId	string or null	Sim
open	object	Sim
findingCount	integer	Sim
progress	object or null	Sim
coverage	object	Sim
caveats	list of string	Sim
outcome	object or null	Não
exposureCheck	object or null	Não

GET /runs

Scans Pulse e Deep, do mais recente para o mais antigo.

• Permissão: read

Consulta

Campo	Tipo	Obrigatório
projectId	string	Não
kind	pulse, box (Deep, legacy name)	Não
assessmentLevel	pulse, standard, deep	Não
status	queued, running, cancelling, succeeded, incomplete, failed, cancelled	Não
limit	integer	Não

Cada item em data

Campo	Tipo	Sempre presente
id	string	Sim
kind	pulse, box (Deep, legacy name)	Sim
projectId	string	Sim
target	string	Sim
status	queued, running, cancelling, succeeded, incomplete, failed, cancelled	Sim
mode	autonomous, authenticated, active or null	Sim
createdAt	string or null	Sim
finishedAt	string or null	Sim
webPath	string	Sim
assessmentLevel	pulse, standard, deep or null	Não
headline	object	Não
webUrl	string	Não
suggestedPollAfterSeconds	integer or null	Não

GET /runs/{runId}

Uma execução com o seu resumo e as contagens.

• Permissão: read

data

Campo	Tipo	Sempre presente
id	string	Sim
kind	pulse, box (Deep, legacy name)	Sim
projectId	string	Sim
target	string	Sim
status	queued, running, cancelling, succeeded, incomplete, failed, cancelled	Sim
mode	autonomous, authenticated, active or null	Sim
createdAt	string or null	Sim
finishedAt	string or null	Sim
webPath	string	Sim
assessmentLevel	pulse, standard, deep or null	Não
headline	object	Não
webUrl	string	Não
suggestedPollAfterSeconds	integer or null	Não
baselineRunId	string or null	Sim
open	object	Sim
findingCount	integer	Sim
progress	object or null	Sim
coverage	object	Sim
caveats	list of string	Sim
outcome	object or null	Não
exposureCheck	object or null	Não

GET /runs/{runId}/findings

Achados de uma execução.

• Permissão: read

Consulta

Campo	Tipo	Obrigatório
severity	critical, high, medium, low, info	Não
state	attention, information, unknown, pass	Não
all	true, false	Não

Cada item em data

Campo	Tipo	Sempre presente
id	string	Sim
code	string	Não
runId	string	Sim
kind	pulse, box (Deep, legacy name)	Sim
severity	critical, high, medium, low, info	Sim
state	attention, information, unknown, pass	Sim
category	string	Sim
title	string	Sim
meaning	string	Sim
fix	string or null	Sim
confidence	string	Sim
evidence	list of string	Sim
sources	list of string	Sim
steps	list of string	Sim
webPath	string	Sim
webUrl	string	Não
verdict	confirmed, needs_review, not_actionable or null	Não
certainty	high, medium, low or null	Não
exploitability	direct, conditional, hygiene, none or null	Não
proof	object or null	Não
proofGap	string or null	Não
urgency	now, week, later, none	Não
howSure	confirmed, likely, possible or null	Não

GET /runs/{runId}/findings/{findingId}

Um achado com as suas provas redigidas.

• Permissão: read

data

Campo	Tipo	Sempre presente
id	string	Sim
code	string	Não
runId	string	Sim
kind	pulse, box (Deep, legacy name)	Sim
severity	critical, high, medium, low, info	Sim
state	attention, information, unknown, pass	Sim
category	string	Sim
title	string	Sim
meaning	string	Sim
fix	string or null	Sim
confidence	string	Sim
evidence	list of string	Sim
sources	list of string	Sim
steps	list of string	Sim
webPath	string	Sim
webUrl	string	Não
verdict	confirmed, needs_review, not_actionable or null	Não
certainty	high, medium, low or null	Não
exploitability	direct, conditional, hygiene, none or null	Não
proof	object or null	Não
proofGap	string or null	Não
urgency	now, week, later, none	Não
howSure	confirmed, likely, possible or null	Não

GET /runs/{runId}/repair-brief

As correções de uma execução em um único Markdown.

• Permissão: read

Consulta

Campo	Tipo	Obrigatório
findingId	string	Não
agent	claude-code, codex, cursor, vscode, opencode, lovable, bolt, replit, v0	Não

data

Campo	Tipo	Sempre presente
runId	string	Sim
findingIds	list of string	Sim
saved	boolean	Sim
markdown	string	Sim
webUrl	string	Não

GET /runs/{runId}/comparison

O que mudou entre uma execução e a anterior.

• Permissão: read

data

Campo	Tipo	Sempre presente
runId	string	Sim
baselineRunId	string	Sim
error	string or null	Sim
changes	list of object	Sim
webUrl	string	Não