</details>

<details>
<summary><b>Cursor / Windsurf / autres clients MCP</b></summary>

Même format de configuration JSON. Pointez la commande vers `npx darknet-mcp-server` ou votre chemin d'installation local.

</details>

### Configuration de Tor (facultatif, pour l'accès aux .onion)

Les 7 outils Tor (`tor_fetch_onion`, `tor_scrape_onion`, etc.) nécessitent un proxy Tor SOCKS5 en cours d'exécution.```bash
# macOS
brew install tor && brew services start tor

# Linux
sudo apt install tor && sudo systemctl start tor

# Docker
docker run -d -p 9050:9050 dperson/torproxy

# Verify connectivity
npx darknet-mcp-server --check-tor

C'est tout. L'agent gère automatiquement les recherches de violations, les recherches d'identifiants, la corrélation des menaces, et plus encore.

---

## Ce que l'IA peut faire

### Enquête sur les violations```
You: "Check if example.com has been in any data breaches"

Agent: -> breachList {domain: "example.com"}
       -> breachSearch {account: "[email protected]"}
       -> stealer_domain {domain: "example.com"}
       -> intelx_search {term: "example.com"}
       -> "example.com appears in 5 known breaches:
          - ExampleDB 2023: 4.2M records (emails, passwords, IPs)
          - Collection #1: credential stuffing list
          - Combolist 2024: 890K email:password pairs
          Stealer logs: 23 compromised machines with saved credentials
          for example.com found in Hudson Rock database.
          IntelligenceX: 47 results across paste sites and dark web."

### Reconnaissance du Dark Web```
You: "Search for mentions of our company on .onion sites"

Agent: -> tor_search_onion {query: "AcmeCorp"}
       -> intelx_search {term: "acmecorp.com"}
       -> onion_lookup {address: "relevant-onion-address.onion"}
       -> "Dark web search results for AcmeCorp:
          Ahmia.fi: 3 .onion pages mention AcmeCorp
          - Forum post discussing AcmeCorp employee list (leak forum)
          - Marketplace listing for AcmeCorp database (unverified)
          - Blog post referencing AcmeCorp breach
          IntelligenceX: 12 results on paste sites
          Recommendation: investigate the forum post and marketplace
          listing for potential active data sales."

---

## Référence des outils (66 outils)

<details open>
<summary><b>Tor Network (7) &mdash; Aucune clé API (démon Tor requis pour les outils .onion)</b></summary>

| Outil | Description |
|------|-------------|
| `tor_status` | Vérifie si le démon proxy SOCKS5 Tor local est en cours d'exécution et accessible |
| `tor_fetch_onion` | Récupère le HTML brut d'une URL .onion via le proxy SOCKS5 Tor (prévention des fuites DNS via socks5h) |
| `tor_scrape_onion` | Récupère et analyse un site .onion &mdash; renvoie des données structurées : titre, liens, texte du corps |
| `tor_search_onion` | Recherche des sites .onion à l'aide du moteur de recherche Ahmia.fi |
| `tor_exit_nodes` | Obtient les adresses IP actuelles des nœuds de sortie Tor à partir de la liste officielle en masse des nœuds de sortie du Tor Project |
| `tor_exit_check` | Vérifie si une adresse IP spécifique est un nœud de sortie Tor connu |
| `tor_exit_details` | Obtient des informations détaillées sur un nœud de sortie Tor, y compris les empreintes et les horodatages de publication |

</details>

<details>
<summary><b>Ransomware Intelligence (9) &mdash; Aucune clé API</b></summary>

| Outil | Description |
|------|-------------|
| `ransomwareRecent` | Récupère les victimes de ransomware les plus récentes depuis ransomware.live |
| `ransomwareGroups` | Liste tous les groupes de ransomware connus suivis par ransomware.live |
| `ransomwareGroup` | Obtient un profil détaillé d'un groupe de ransomware spécifique par nom |
| `ransomwareGroupVictims` | Obtient toutes les victimes revendiquées par un groupe de ransomware spécifique |
| `ransomwareSearch` | Recherche des victimes de ransomware par mot-clé (nom d'entreprise, domaine, etc.) |
| `ransomwareByCountry` | Obtient les victimes de ransomware filtrées par code pays ISO 3166-1 alpha-2 |
| `ransomwareBySector` | Obtient les victimes de ransomware filtrées par secteur/industrie (santé, finance, etc.) |
| `ransomlookGroups` | Liste tous les 582+ groupes de ransomware suivis par RansomLook |
| `ransomlookRecent` | Récupère les publications de ransomware et revendications de victimes les plus récentes depuis RansomLook |

</details>

<details>
<summary><b>Breach Intelligence &mdash; HIBP (7) &mdash; Partiel : certains outils gratuits, la recherche de compte nécessite HIBP_API_KEY</b></summary>

| Outil | Description |
|------|-------------|
| `breachList` | Liste toutes les violations de données connues depuis HaveIBeenPwned, filtre optionnel par domaine &mdash; gratuit |
| `breachGet` | Obtient les détails d'une violation de données spécifique par nom &mdash; gratuit |
| `breachLatest` | Obtient la violation de données la plus récemment ajoutée &mdash; gratuit |
| `breachDataClasses` | Liste toutes les classes de données (types de données compromises) connues de HIBP &mdash; gratuit |
| `breachPassword` | Vérifie si un mot de passe est apparu dans des violations connues (k-anonymat, seuls les 5 premiers caractères du préfixe SHA-1 sont envoyés) &mdash; gratuit |
| `breachSearch` | Recherche dans toutes les violations un compte spécifique (email/nom d'utilisateur) &mdash; nécessite `HIBP_API_KEY` |
| `breachPastes` | Recherche une adresse email dans les pastes publiés publiquement &mdash; nécessite `HIBP_API_KEY` |

</details>

<details>
<summary><b>Suite abuse.ch (9) &mdash; Aucune clé API (ABUSECH_AUTH_KEY facultatif pour un débit plus élevé)</b></summary>

| Outil | Description |
|------|-------------|
| `threatfoxGetIocs` | Obtient les IOC récents de ThreatFox signalés au cours des N derniers jours |
| `threatfoxSearch` | Recherche les IOC ThreatFox par IP, domaine, hash ou URL |
| `threatfoxTag` | Recherche les IOC ThreatFox par tag (par ex., Cobalt Strike, Emotet) |
| `threatfoxMalware` | Recherche les IOC ThreatFox par famille de malware en utilisant la nomenclature Malpedia |
| `urlhausLookup` | Recherche une URL ou un hôte dans URLhaus pour la distribution de malware |
| `urlhausTag` | Recherche les entrées URLhaus par tag |
| `bazaarHash` | Recherche un échantillon de malware dans MalwareBazaar par hash MD5, SHA1 ou SHA256 |
| `bazaarRecent` | Obtient les échantillons de malware les plus récemment soumis depuis MalwareBazaar |
| `bazaarTag` | Recherche dans MalwareBazaar par tag ou nom de signature YARA |

</details>

<details>
<summary><b>AlienVault OTX (5) &mdash; Aucune clé API (OTX_API_KEY facultatif pour un débit plus élevé)</b></summary>

| Outil | Description |
|------|-------------|
| `otx_ip` | Recherche des renseignements sur les menaces pour une adresse IP &mdash; informations de pulse, réputation, pays, ASN |
| `otx_domain` | Recherche des renseignements sur les menaces pour un domaine &mdash; informations de pulse, whois, réputation |
| `otx_hash` | Recherche des renseignements sur les menaces pour un hash de fichier (MD5, SHA1, SHA256) |
| `otx_cve` | Recherche des renseignements sur les menaces pour un CVE &mdash; pulses et indicateurs associés |
| `otx_search_pulses` | Recherche les pulses de menaces OTX par mot-clé |

</details>

<details>
<summary><b>AbuseIPDB (4) &mdash; Nécessite ABUSEIPDB_API_KEY</b></summary>

| Outil | Description |
|------|-------------|
| `abuseipdb_check` | Vérifie une adresse IP pour les signalements d'abus &mdash; score de confiance, FAI, pays, nombre de signalements |
| `abuseipdb_reports` | Obtient les signalements d'abus individuels pour une IP avec commentaires détaillés et catégories |
| `abuseipdb_blacklist` | Obtient la liste noire d'AbuseIPDB des adresses IP malveillantes les plus signalées |
| `abuseipdb_check_block` | Vérifie un bloc réseau CIDR entier pour les signalements d'abus |

</details>

<details>
<summary><b>GreyNoise Community (2) &mdash; Aucune clé API</b></summary>

| Outil | Description |
|------|-------------|
| `greynoise_ip` | Recherche une IP sur GreyNoise &mdash; classification (bénin/malveillant/inconnu), statut de scanner |
| `greynoise_check` | Vérification rapide : cette IP est-elle un scanner connu ou un service bénin connu ? |

</details>

<details>
<summary><b>Pulsedive (3) &mdash; Aucune clé API (PULSEDIVE_API_KEY facultatif pour un débit plus élevé)</b></summary>

| Outil | Description |
|------|-------------|
| `pulsedive_indicator` | Recherche un indicateur (IP, domaine, URL ou hash) &mdash; niveau de risque, menaces, flux |
| `pulsedive_search` | Recherche les indicateurs Pulsedive par valeur |
| `pulsedive_explore` | Explore les indicateurs liés à l'aide de requêtes avancées (IOC associés avec niveaux de risque) |

</details>

<details>
<summary><b>Hudson Rock Stealer Logs (3) &mdash; Nécessite HUDSONROCK_API_KEY</b></summary>

| Outil | Description |
|------|-------------|
| `stealer_domain` | Recherche les entrées de journaux de stealer par domaine &mdash; machines compromises, identifiants, détails du malware |
| `stealer_email` | Recherche les journaux de stealer par adresse email &mdash; machines compromises avec cet email dans les identifiants du navigateur |
| `stealer_ip` | Recherche les journaux de stealer par adresse IP &mdash; machines compromises provenant de cette IP |

</details>

<details>
<summary><b>Vulners Exploits (3) &mdash; Aucune clé API (VULNERS_API_KEY facultatif pour la recherche)</b></summary>

| Outil | Description |
|------|-------------|
| `vulners_search` | Recherche dans la base de données de vulnérabilités Vulners à l'aide de requêtes Lucene |
| `vulners_id` | Recherche une vulnérabilité ou un exploit spécifique par ID (CVE, EDB, GHSA) &mdash; gratuit |
| `vulners_exploit` | Recherche spécifiquement des exploits (entrées ExploitDB) |

</details>

<details>
<summary><b>Blockchain Intelligence (4) &mdash; Aucune clé API</b></summary>

| Outil | Description |
|------|-------------|
| `btc_address` | Recherche une adresse Bitcoin &mdash; solde, nombre de transactions, transactions récentes |
| `btc_balance` | Obtient le solde d'une adresse Bitcoin en satoshi (vérification rapide sans historique complet) |
| `btc_tx` | Obtient des informations détaillées sur une transaction Bitcoin par hash &mdash; entrées, sorties, frais, informations de bloc |
| `btc_abuse_check` | Vérifie une adresse Bitcoin pour les signalements d'abus sur ChainAbuse &mdash; signalements d'arnaque avec catégories |

</details>

<details>
<summary><b>Hybrid Analysis Malware (3) &mdash; Nécessite HYBRID_API_KEY</b></summary>

| Outil | Description |
|------|-------------|
| `malware_search` | Recherche dans le bac à sable Hybrid Analysis par hash de fichier &mdash; verdict, taux de détection AV, détails de l'analyse |
| `malware_overview` | Aperçu complet de l'analyse de malware &mdash; techniques MITRE ATT&CK, indicateurs réseau, processus |
| `malware_feed` | Obtient le dernier flux de détonation de malware &mdash; échantillons récemment analysés avec verdicts |

</details>

<details>
<summary><b>CIRCL Onion Lookup (1) &mdash; Aucune clé API</b></summary>

| Outil | Description |
|------|-------------|
| `onion_lookup` | Recherche les métadonnées d'une adresse .onion via le projet CIRCL AIL &mdash; première/dernière vue, statut, tags, certificats, ports, adresses BTC |

</details>

<details>
<summary><b>IntelligenceX (4) &mdash; Nécessite INTELX_API_KEY</b></summary>

| Outil | Description |
|------|-------------|
| `intelx_search` | Lance une recherche sur IntelligenceX pour les données divulguées, le contenu du dark web, et plus encore |
| `intelx_search_results` | Récupère les résultats d'une recherche IntelligenceX par ID |
| `intelx_phonebook` | Recherche dans l'annuaire &mdash; trouve les emails, domaines, URL associés à un terme |
| `intelx_phonebook_results` | Récupère les résultats de recherche de l'annuaire par ID |

</details>

<details>
<summary><b>PhishTank (1) &mdash; Aucune clé API (PHISHTANK_API_KEY facultatif pour un débit plus élevé)</b></summary>

| Outil | Description |
|------|-------------|
| `phishing_check` | Vérifie si une URL est un site de phishing connu via PhishTank |

</details>

<details>
<summary><b>Meta (1) &mdash; Aucune clé API</b></summary>

| Outil | Description |
|------|-------------|
| `darknet_list_sources` | Liste toutes les sources de données disponibles avec le statut de configuration, le statut de la clé API et le nombre d'outils |

</details>

---

### Utilisation de la CLI```bash
# List all available tools
npx darknet-mcp-server --list

# Check Tor SOCKS5 proxy connectivity
npx darknet-mcp-server --check-tor

# Run any tool directly
npx darknet-mcp-server --tool breachList '{"domain":"adobe.com"}'
npx darknet-mcp-server --tool ransomwareRecent '{}'
npx darknet-mcp-server --tool tor_search_onion '{"query":"marketplace"}'
npx darknet-mcp-server --tool btc_address '{"address":"1A1zP1eP5QGefi2DMPTfTL5SLmv7DivfNa"}'

# Tools requiring API keys
HIBP_API_KEY=your-key npx darknet-mcp-server --tool breachSearch '{"account":"[email protected]"}'
HYBRID_API_KEY=your-key npx darknet-mcp-server --tool malware_search '{"hash":"abc123..."}'

**Décisions de conception :**

- **16 fournisseurs, 1 serveur** — Chaque source de données est un module indépendant. L'agent choisit les outils à utiliser en fonction de la requête.
- **Limiteurs de débit par fournisseur** — Chaque source de données dispose de sa propre instance `RateLimiter` calibrée sur les limites de cette API. Aucun goulot d'étranglement partagé.
- **Mise en cache TTL** — Les données sur les rançongiciels (15 min), les listes de fuites (10 min) et les résultats abuse.ch (5 min) sont mises en cache pour éviter les appels API redondants lors de workflows multi-outils.
- **Dégradation gracieuse** — L'absence de clés API ne fait pas planter le serveur. Les outils renvoient des messages d'erreur descriptifs : « Set HIBP_API_KEY to enable breach account search. »
- **Prévention des fuites DNS** — Les outils Tor .onion utilisent le protocole `socks5h://` pour résoudre le DNS via Tor, empêchant les fuites DNS vers le résolveur local.
- **4 dépendances** — `@modelcontextprotocol/sdk`, `zod`, `socks-proxy-agent` et `cheerio`. Tout le HTTP clearnet via `fetch` natif. Tout le trafic Tor via SOCKS5.

---

## Limitations

- La recherche de comptes/pastes HIBP nécessite une clé API payante (3,50 $/mois)
- IntelligenceX, AbuseIPDB, Hudson Rock et Hybrid Analysis nécessitent des clés API pour leurs outils
- Les outils Tor .onion nécessitent un proxy Tor SOCKS5 en cours d'exécution (non inclus)
- Le niveau gratuit d'abuse.ch a des limites de débit plus basses sans `ABUSECH_AUTH_KEY`
- Les données de Ransomware.live et RansomLook dépendent de la fréquence de scraping en amont
- Les outils blockchain prennent en charge uniquement Bitcoin (pas Ethereum/Monero)
- La base de données PhishTank peut être en retard par rapport aux campagnes de phishing en temps réel
- Testé sur macOS / Linux (Windows non testé)

---

## Fait partie de la MCP Security Suite

| Projet | Domaine | Outils |
|---|---|---|
| [hackbrowser-mcp](https://github.com/badchars/hackbrowser-mcp) | Tests de sécurité basés sur navigateur | 39 outils, Firefox, tests d'injection |
| [cloud-audit-mcp](https://github.com/badchars/cloud-audit-mcp) | Sécurité cloud (AWS/Azure/GCP) | 38 outils, 60+ vérifications |
| [github-security-mcp](https://github.com/badchars/github-security-mcp) | Posture de sécurité GitHub | 39 outils, 45 vérifications |
| [cve-mcp](https://github.com/badchars/cve-mcp) | Renseignement sur les vulnérabilités | 23 outils, 5 sources |
| [osint-mcp-server](https://github.com/badchars/osint-mcp-server) | OSINT & reconnaissance | 37 outils, 12 sources |
| **darknet-mcp-server** | **Dark web & renseignement sur les menaces** | **66 outils, 16 sources** |

---

<p align="center">
<b>Pour les tests et évaluations de sécurité autorisés uniquement.</b><br>
Assurez-vous toujours de disposer d'une autorisation appropriée avant d'effectuer une collecte de renseignements sur une cible.
</p>

<p align="center">
  <a href="https://github.com/badchars/darknet-mcp-server/blob/main/LICENSE">MIT License</a> &bull; Built with Bun + TypeScript
</p>