Servidor MCP de Seguridad de Dominio

domain-security-mcp-server es un servidor MCP (Model Context Protocol) en TypeScript que dota a un agente de IA —como Claude— de 19 herramientas de solo lectura para auditar la seguridad de correo y dominio de cualquier dominio: SPF, DKIM, DMARC, MTA-STS, TLS-RPT, BIMI, DNSSEC, CAA, DNS, MX, WHOIS, SSL/TLS, listas negras (DNSBL), propagación DNS y análisis de cabeceras de correo. Sin API keys: todo se resuelve con DNS, TLS y WHOIS públicos.

Se instala sin clonar nada: claude mcp add domain-security -- npx -y domain-security-mcp-server

Nace de un hilo de trabajo conectado: primero una guía sobre seguridad de dominio, luego una colección de herramientas en la web, y finalmente este servidor que expone esa misma capacidad a un agente. La lógica de red (resolución DNS, parseo de SPF/DMARC, validación) vive en un core compartido que alimenta tanto las herramientas de ortamarco.me como el MCP.

Características

• 19 tools con salida tipada: cada herramienta declara inputSchema y outputSchema (Zod) y devuelve structuredContent validado por el SDK, además de markdown legible.
• Herramienta estrella email_auth_audit: audita SPF + DKIM + DMARC + MX en una llamada y devuelve una calificación A–F con recomendaciones priorizadas.
• Dos transportes: stdio para clientes locales (Claude Desktop / Claude Code / Cursor) y Streamable HTTP sin estado para auto-hospedaje detrás de un reverse proxy (Coolify/Traefik), seguro por defecto: escucha en loopback, valida Host y Origin y admite un token Bearer.
• Sin API keys ni efectos secundarios: todas las tools son de solo lectura sobre DNS, TLS, WHOIS y HTTPS públicos.
• Anti-SSRF en el momento de conectar: las herramientas llegan a hosts que elige quien llama, así que cada conexión valida la IP que el socket está a punto de usar. Eso bloquea direcciones privadas y de metadatos en cualquier grafía —incluida la IPv4 envuelta en IPv6—, el DNS rebinding y los nombres que sólo resuelve un DNS interno.
• Probado y publicado: 48 tests unitarios sin red (guardia SSRF, puntuación de SPF/DMARC/DKIM, transporte HTTP), smoke test que llama a las 19 herramientas en las dos eras del protocolo, CI en Node 20, 22 y 24 que arranca el paquete con npx y la imagen Docker, una suite de 10 evaluaciones para medir el uso por parte de un LLM, y publicado en npm y en el registro oficial de MCP.

Stack técnico

• TypeScript estricto (sin any, outputSchema en las 19 tools)
• SDK de MCP v2 (@modelcontextprotocol/server): sirve la revisión 2026-07-28 y a los clientes de 2025 desde la misma factoría
• Zod 4 para validación de entrada y salida
• Express 5 para el transporte HTTP sin estado
• Node.js (DNS público, DNS-over-HTTPS, sockets TLS/WHOIS, undici con la guardia en el lookup, geoip-lite)
• Docker para el despliegue self-hosted

Repositorio

Ver en GitHub → · Paquete en npm →

Objetivo

Mostrar, de punta a punta, cómo se construye una pieza agentic con calidad de producción: del conocimiento de un dominio (seguridad de correo) a herramientas reutilizables, y de ahí a un servidor MCP que un agente de IA puede orquestar —con tipado estricto, dos transportes, seguridad y pruebas.