Scanner de sécurité MCP — analyse de vulnérabilités pour agents IA

Vulny est un scanner de sécurité MCP : donnez à votre agent IA la capacité d'exécuter de véritables analyses de vulnérabilités via le Model Context Protocol (MCP). Les agents dans Claude, Cursor et d'autres clients compatibles MCP peuvent analyser les domaines et IP qui vous appartiennent et renvoyer des résultats priorisés et corrélés aux CVE — facturés à l'analyse avec des crédits prépayés. Aucun tableau de bord, aucune configuration de compte : l'agent fait tout via quelques outils.

Mis à jour 18 juin 2026

Connectez votre agent (MCP)

Ajoutez le serveur MCP Vulny à n'importe quel client compatible MCP et authentifiez-vous avec votre clé d'API :

MCP endpoint:  https://agent-api.vulny.app/mcp
Authorization: Bearer vlna_your_key

Pour obtenir une clé, votre agent appelle l'outil register avec votre e-mail professionnel ; Vulny envoie par e-mail un lien à usage unique qui révèle la clé. Les mêmes outils sont également disponibles sous forme d'API REST simple sur le même hôte si vous préférez le HTTP brut.

Les fichiers de skill et la documentation d'installation (SKILL.md, README) sont open source sur GitHub : github.com/vulny-app/vulny-agent-scan.

Ce que votre agent peut faire

Le serveur expose un petit ensemble d'outils que l'agent appelle directement — il suit le statut renvoyé par run_scan jusqu'au démarrage d'une analyse :

run_scan(target) — lance une analyse ; guide l'agent à travers la vérification du domaine et le paiement, puis renvoie un id d'analyse
get_scan_status(scan_id) — interroge la progression à travers chaque phase (ports → web → découverte d'API)
get_scan_report(scan_id, format) — récupère les résultats sous forme de tableau en couleur, JSON ou PDF
buy_credits(package) — achète un pack de crédits à l'avance (renvoie un lien de paiement Stripe)
get_balance() — crédits restants et domaines vérifiés
register / recover_key — obtenez ou renouvelez votre clé d'API par e-mail

Vous ne pouvez analyser que ce que vous possédez

Avant la première analyse d'un domaine, Vulny vérifie que vous le contrôlez — par un enregistrement DNS TXT, un fichier /.well-known/vulny.txt ou un lien à usage unique envoyé à une adresse de ce domaine. L'e-mail de votre compte doit correspondre au domaine analysé, et les fournisseurs de messagerie publics sont rejetés. Les analyses d'IP ne sont autorisées qu'après vérification du domaine correspondant.

Les analyses sont non destructives. Vous ne pouvez analyser que les actifs que vous possédez ou que vous êtes autorisé à tester — voir nos Conditions d'utilisation et notre Politique d'utilisation acceptable.

Tarifs — 1 crédit = 1 analyse

Les crédits sont prépayés et un crédit exécute une analyse complète. Les packs plus importants coûtent bien moins par analyse :

Single — 1 analyse — 159 €
Starter — 10 analyses — 299 €
Pro — 50 analyses — 499 €
Business — 100 analyses — 699 €
Enterprise — 500 analyses — 1 599 €

Ce qu'une analyse détecte

Chaque analyse cartographie les ports ouverts et les services en cours d'exécution, les corrèle à une base de détection de plus de 357 755 tests de vulnérabilités — enrichie de la gravité CVSS, de CISA KEV (exploitées connues) et de la probabilité d'exploitation EPSS — et teste les applications Web et les API à la recherche de problèmes de classe OWASP, de fichiers exposés, de points de terminaison fantômes et de TLS faible. Les résultats sont renvoyés priorisés selon le risque réel.

Le paiement est géré par Stripe ; une carte enregistrée permet à votre agent de se recharger automatiquement lorsqu'il est à court de crédits. Un crédit est remboursé si une analyse échoue de notre côté. Vous préférez le CI/CD ou le HTTP brut ? Voir la documentation de l'API et le pipeline DevSecOps.

Questions fréquentes

Qu'est-ce que l'analyse de vulnérabilités MCP ?

MCP (Model Context Protocol) est une norme ouverte pour connecter des outils aux agents IA. Vulny exécute un serveur MCP afin qu'un agent LLM puisse lancer une véritable analyse de vulnérabilités, suivre sa progression et récupérer un rapport sans quitter la conversation. Vous le connectez une fois avec une clé d'API et l'agent appelle directement les outils d'analyse.

Comment ajouter l'analyse Vulny à mon agent Claude ou Cursor ?

Ajoutez l'URL du serveur MCP https://agent-api.vulny.app/mcp à votre client compatible MCP et définissez un en-tête Authorization: Bearer avec votre clé d'API. Pour obtenir une clé, l'agent appelle l'outil register avec votre e-mail professionnel et vous ouvrez le lien à usage unique que Vulny vous envoie.

Combien coûte une analyse par agent ?

Les analyses utilisent des crédits prépayés où 1 crédit = 1 analyse. Une analyse unique coûte 159 €, et les packs plus importants sont moins chers par analyse : 10 analyses pour 299 €, 50 analyses pour 499 €, 100 analyses pour 699 €, 500 analyses pour 1 599 €. Le paiement se fait via Stripe et une carte enregistrée peut recharger automatiquement.

Un agent IA peut-il analyser n'importe quel site Web ?

Non. Vous ne pouvez analyser que les domaines et IP que vous possédez ou que vous êtes autorisé à tester. Vulny vérifie la propriété du domaine une fois — via un enregistrement DNS TXT, un fichier /.well-known/vulny.txt ou un lien par e-mail — exige que l'e-mail de votre compte corresponde au domaine et rejette les fournisseurs de messagerie publics. Les analyses d'IP nécessitent d'abord un domaine correspondant vérifié.

Que détecte une analyse par agent ?

Les ports ouverts et les versions de services corrélés à plus de 357 755 tests de vulnérabilités enrichis de CVSS, CISA KEV et EPSS, ainsi que des tests web et API pour les problèmes de classe OWASP, les fichiers exposés, les API fantômes et le SSL/TLS faible — le tout renvoyé priorisé selon le risque réel.

L'API n'est-elle utilisable qu'à travers un agent IA ?

Non. Le serveur MCP est le moyen le plus simple de l'utiliser depuis un agent, mais chaque outil est aussi un point de terminaison REST simple sur https://agent-api.vulny.app, vous pouvez donc l'appeler depuis des scripts ou votre propre backend avec la même clé d'API.

Voyez-le sur votre propre site

Lancez un scan pour la sécurité, le SEO et la recherche IA (GEO) — et obtenez un rapport PDF personnalisé, prêt pour l’ISO 27001.

Analyser mon site →