flaw.co

我们以做支付安全认证为生，一次又一次，我们希望在深入工作之前快速从外部视角查看一个域名——TLS 配置是否合理，安全标头是否齐全，是否暴露了不该暴露的内容。市面上没有任何免费工具能做好这件事。

也没有任何工具检查那个让我们夜不能寐的问题：暴露的 MCP 端点。当大家开始把 AI 代理接入各自的基础设施后，这就成了真实的攻击面——而它在大多数团队所依赖的运行时平台中是看不见的，因为它只能从外部显现。所以我们打造了这款我们自己想要的扫描器。

被动扫描是免费的，而且会一直免费下去。运行首次扫描无需注册账号，真实的发现以完整形式呈现，每一项发现都映射到其涉及的 PCI 要求——而不是给一个字母等级然后耸耸肩了事。

我们真诚地希望听到尖锐的反馈。如果它在你的域名上漏掉了某些问题，或者误报了某些内容，请告诉我们——这正是我们在发布日最想听到的反馈。