MCP-Server

Claude

1. Öffnen Sie claude.ai und gehen Sie auf Einstellungen › Connectors.
2. Wählen Sie Eigenen Connector hinzufügen. Geben Sie als Namen Sealcheck ein und als URL die Connector-URL oben.
3. Speichern Sie den Connector. Eine Anmeldung oder Freigabe ist nicht nötig. Danach steht er auch in der Desktop- und der Mobil-App bereit.

In Team- und Enterprise-Konten fügt meist eine Person mit Admin-Rechten den Connector einmal für alle hinzu.

ChatGPT

1. Schalten Sie in den Einstellungen bei Apps und Connectors, meist unter „Erweitert“, den Entwicklermodus ein.
2. Legen Sie einen neuen Connector an. Als URL tragen Sie die Connector-URL oben ein. Bei Authentifizierung wählen Sie Keine.
3. Speichern Sie den Connector und wählen Sie ihn im Chat aus.

OpenAI benennt diese Menüs immer wieder um, und nicht jeder Plan hat den Entwicklermodus. Sieht ein Schritt anders aus, suchen Sie die Stelle, an der Sie einen eigenen MCP-Server per URL hinzufügen. Mehr als die URL braucht es nicht.

Claude Code

claude mcp add --transport http hullwise https://hullwise.co/mcp

Für das höhere Limit und, mit Business, den vollständigen Bericht hängen Sie Ihren Schlüssel als Header an. Mit --scope user gilt der Server in allen Projekten. Ob die Verbindung steht, sehen Sie mit /mcp in Claude Code.

claude mcp add --transport http --scope user hullwise https://hullwise.co/mcp \
  --header "Authorization: Bearer $SEALCHECK_API_KEY"

Codex

[mcp_servers.hullwise]
url = "https://hullwise.co/mcp"
bearer_token_env_var = "SEALCHECK_API_KEY"

Codex liest den Schlüssel aus der Umgebungsvariable SEALCHECK_API_KEY. Ohne Schlüssel lassen Sie die letzte Zeile weg.

Cursor

{
  "mcpServers": {
    "hullwise": {
      "url": "https://hullwise.co/mcp"
    }
  }
}

Mit Schlüssel ergänzen Sie neben url den Eintrag "headers": { "Authorization": "Bearer ${env:SEALCHECK_API_KEY}" }. Geben Sie die Datei nicht mit einem echten Schlüssel ins Git.

VS Code

{
  "servers": {
    "hullwise": {
      "type": "http",
      "url": "https://hullwise.co/mcp"
    }
  }
}

Die Datei gilt für dieses Projekt. GitHub Copilot im Agent-Modus findet die Tools danach von selbst. Einen Schlüssel tragen Sie am besten über eine Eingabe ein und schreiben ihn nicht in die Datei.

Tools

Es gibt zwei Tools, beide lesen nur. Ein- und Ausgaben von scan_website stehen in der API-Referenz. Das Tool liefert eine kurze Zusammenfassung als Text und den Bericht als structuredContent, in derselben Form wie das Feld data der API.

Nur lesen heißt: Das Tool ändert nichts, weder bei uns noch auf der geprüften Seite. Wiederholbar heißt: Ein zweiter Aufruf richtet keinen Schaden an. Greift nach außen heißt: Das Tool ruft eine fremde Website auf.

Gekürzter Bericht ohne Business

Ohne Schlüssel oder mit einem Schlüssel ohne bezahlten Plan kürzt der Server den Bericht. 2 Befunde sind vollständig, die übrigen stehen in structuredContent nur mit Stufe und locked: true. Der Text für den Assistenten nennt die Zahl der gesperrten Befunde und endet mit einem Hinweis auf Business.

- 3 further findings locked

3 more findings are only included with a Business plan: https://hullwise.co/pricing

Mit einem Schlüssel aus einem Konto mit Business fehlen beide Zeilen, und alle Befunde kommen mit ID und Text. Wie ein gesperrter Befund im JSON aussieht, steht unter Gekürzte Berichte.

Beispiel-Prompts

• „Prüfe unsere Lovable-App kunden.firma.de mit Sealcheck. Liegen in den JavaScript-Dateien Schlüssel offen?“
• „Prüfe die Staging-Seite nach dem Deploy und vergleiche die Note mit gestern.“
• „Welche Befunde auf firma.de sind Warnungen? Erkläre jeden in einem Satz für unser Team.“
• „Welche Header fehlen auf firma.de, und wie setzen wir sie in nginx?“
• „Was prüft Sealcheck, und was macht es ausdrücklich nicht?“

Protokoll

• Der Transport ist Streamable HTTP über POST https://hullwise.co/mcp. Einen GET beantwortet der Server mit 405.
• Der Server ist zustandslos. Es gibt keine Sitzungen und keine Mcp-Session-Id, jede Anfrage steht für sich.
• Antworten kommen immer als JSON, nie als Event-Stream. Sie können mehrere Anfragen in einem Array schicken.
• Unterstützte Protokoll-Versionen sind 2025-11-25, 2025-06-18, 2025-03-26, 2024-11-05. Fragt Ihr Client eine andere an, antwortet der Server mit 2025-11-25.
• Der Server kennt die Methoden initialize, ping, tools/list und tools/call.
• Es gibt kein OAuth. Einen Schlüssel können Sie im Header Authorization: Bearer sc_live_… mitschicken. Ein ungültiger Schlüssel ergibt Status 401.
• Ein Check dauert meist wenige Sekunden. Die geprüfte Seite hat 8 Sekunden Zeit zu antworten, für ihre JavaScript-Dateien gelten zusammen weitere 6 Sekunden.
• CORS ist für alle Herkünfte offen. Sie können den Server also auch aus dem Browser ansprechen.

curl -X POST https://hullwise.co/mcp \
  -H "Content-Type: application/json" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/call","params":{"name":"scan_website","arguments":{"url":"example.com"}}}'