Para desarrolladores y asistentes de IA

secureIT API y servidor MCP

Mis comprobaciones de seguridad no solo se pueden usar como formulario, sino abiertamente como interfaz: como API REST y como servidor MCP (Model Context Protocol). Así, un asistente de IA como Claude o ChatGPT puede ejecutar las comprobaciones directamente y explicar el resultado. Sin registro, sin clave de API y gratis.

Qué puede comprobar con ello

Integrar el servidor MCP

El servidor habla JSON-RPC 2.0 sobre HTTP POST (Streamable HTTP, sin SSE). No hay nada que instalar: basta con introducir la dirección:

{
  "mcpServers": {
    "secureit": {
      "type": "http",
      "url": "https://secureit.icu/mcp"
    }
  }
}

Herramientas disponibles:

• dns_check — evaluar SPF, DKIM y DMARC de un dominio a partir del DNS
• mailcheck_start / mailcheck_ergebnis — cómo se autentifica realmente un buzón
• spoofing_check_anfordern / spoofing_check_status — comprobar la suplantación del remitente (fraude del CEO)
• phishing_selbsttest_anfordern / phishing_selbsttest_status — probar la vulnerabilidad al phishing
• tests_liste — listar todas las comprobaciones con sus reglas de uso

API REST: un ejemplo

La comprobación de dominio solo necesita un dominio y responde al instante:

curl "https://secureit.icu/api/v1/dns-check?domain=example.com"

La respuesta evalúa SPF, DKIM, DMARC y MX por separado (gut, schwach, fehlt, unbekannt: bien, débil, falta, desconocido), da un resultado global y recomendaciones concretas en lenguaje claro (en alemán). La descripción completa de todos los endpoints está en el archivo OpenAPI.

Reglas de seguridad

Dos de las comprobaciones envían correos reales. Para que no se conviertan en una herramienta de abuso, rigen reglas fijas, iguales por todas las vías, ya sea formulario, API o asistente de IA:

• Solo el propio dominio: en la prueba de suplantación, la dirección de destino y la de remitente falsificada deben tener el mismo dominio. No se pueden probar dominios ajenos.
• Una persona autoriza: un asistente puede solicitar estas pruebas, pero no lanzarlas. No se envía nada hasta que la persona afectada hace clic en el enlace de confirmación de su correo. Este enlace nunca se entrega a través de la interfaz; si no, el asistente podría confirmarlo él mismo.
• Una prueba por dominio, tipo de prueba y hora, para que nadie pueda saturar un buzón con correos de prueba.
• Contenido fijo: el texto de un correo de prueba está predefinido: en la prueba de suplantación, la explicación de la prueba; en la autoprueba, escenarios elegidos al azar. A través de secureIT no se puede enviar ningún texto de phishing redactado libremente.
• Sin evaluación por terceros: solo la persona evaluada recibe por correo el resultado personal de la autoprueba de phishing, nunca el servicio que la solicita.
• Registrado: cada prueba solicitada y cada prueba realizada queda registrada y se me notifica.

Condiciones de uso

El uso es libre y gratuito. Solo pido que cite a secureIT como fuente y enlace a la página correspondiente cuando comparta resultados. Se aplica un límite de 60 solicitudes por minuto e IP.

Estas comprobaciones son un punto de partida, no un sustituto del asesoramiento: SPF, DKIM y DMARC se gestionan en la configuración DNS de su dominio y los configura su equipo de TI. Le ayudo con gusto a valorar los resultados y a formar a su equipo.