🔐 Checklist de sécurité MCP

Une checklist de sécurité pratique et maintenue par la communauté pour les équipes qui construisent et déploient des serveurs Model Context Protocol (MCP) et une infrastructure d'agents IA.

---

Pourquoi cette checklist existe

MCP est adopté rapidement. Les conseils de sécurité sont en retard.

Cette checklist fournit aux ingénieurs sécurité, aux équipes plateforme et aux responsables techniques une base de référence claire et exploitable pour sécuriser les déploiements MCP — que vous déployiez un outil interne ou un agent IA destiné aux clients.

Elle n'est pas spécifique à un fournisseur, complète, ni un remplacement pour une revue de sécurité complète. C'est un point de départ.

---

📋 Les Checklists

---

✅ Démarrage rapide : Top 10 des contrôles

Si vous ne faites rien d'autre, couvrez ceux-ci :

1. N'exposez jamais MCP sur l'internet public sans mTLS ou équivalent.
2. Limitez chaque outil aux permissions minimales nécessaires.
3. Validez et assainissez toutes les entrées avant qu'elles n'atteignent l'exécution de l'outil.
4. Journalisez chaque invocation d'outil avec le contexte de session d'origine.
5. Définissez des limites de débit sur le serveur MCP et sur toutes les API en aval qu'il appelle.
6. Traitez les sessions d'agents comme non fiables par défaut — validez l'intention, pas seulement les jetons d'authentification.
7. Séparez les catégories d'outils en lecture et écriture ; exigez une approbation explicite pour les opérations d'écriture dans des contextes sensibles.
8. Faites pivoter les identifiants utilisés par les serveurs MCP selon un calendrier défini.
9. Surveillez les anomalies comportementales : chaînes d'outils inhabituelles, appels à haute fréquence, accès en dehors des heures ouvrables.
10. Effectuez une revue de l'inventaire des outils avant chaque déploiement en production.

---

🗂️ Version lisible par machine

Une version JSON et YAML de la checklist est disponible pour l'intégration dans les pipelines CI/CD, les outils de conformité ou les tableaux de bord personnalisés :

• checklist.json
• checklist.yaml

---

🌐 Site GitHub Pages

Parcourez la checklist dans un format plus convivial à l'adresse : helixar-ai.github.io/mcp-security-checklist

---

🤝 Contribuer

Cette checklist s'améliore grâce aux contributions de la communauté. Si vous avez rencontré une lacune, une mauvaise configuration ou un modèle d'attaque dans des déploiements MCP réels — nous voulons en entendre parler.

Voir CONTRIBUTING.md pour savoir comment contribuer.

---

📌 Périmètre & Limitations

Cette checklist couvre :

• Sécurité du déploiement et de la configuration des serveurs MCP
• Sécurité des sessions entrantes et des requêtes API
• Surface d'interaction agent-outil
• Surveillance opérationnelle et détection

Cette checklist ne couvre pas :

• Sécurité des poids de modèle ou des pipelines d'entraînement
• Conformité à la confidentialité des données des utilisateurs finaux (RGPD, CCPA, etc.)
• Durcissement général de l'infrastructure cloud

---

🏷️ Licence

MIT. Utilisez-le librement. Attribution appréciée.

---

Maintenu par l'équipe de recherche en sécurité de Helixar. Helixar construit une sécurité des terminaux et des API native IA pour l'infrastructure agentique.