Como achar e inspecionar um servidor MCP no Agentalog antes de conectar

Sou responsável pelo Agentalog (Agent Auto Log) e também pelo HookPulse, que aparece como exemplo abaixo. O catálogo é independente do registro oficial de MCP. Os sinais medidos não certificam que uma ferramenta é segura, e achar um servidor aqui não é autorização para instalá-lo ou executá-lo.

O que o produto resolve

O Agentalog reúne servidores MCP, skills e plugins, com origem, endereço de instalação e um registro do que mudou. A leitura comum do catálogo é gratuita. O acompanhamento contínuo (vigia) inclui até 3 ferramentas por dono no plano gratuito; vigia extra e alguns selos são pagos.

A tarefa deste texto é anterior à conexão: buscar, abrir uma listagem e ler a evidência disponível.

Pré-requisitos

• curl e, se for usar o MCP pelo cliente, um cliente com transporte HTTP. A documentação oficial cita Claude Code, Codex, Gemini, Cursor e VS Code.
• Nada de instalação local. O MCP está em https://agentalog.com/mcp (Streamable HTTP, protocolo 2025-06-18).
• Para buscar e inspecionar listagens públicas não é preciso conta. Não criei vigia nem paguei checagem avulsa neste teste.

Configurar o MCP

Comandos da página oficial For agents. Não instalei esses clientes neste teste; a conferência do protocolo foi feita com curl.

curl -s https://agentalog.com/llms.txt claude mcp add --transport http agentalog https://agentalog.com/mcp codex mcp add agentalog --url https://agentalog.com/mcp gemini mcp add --transport http agentalog https://agentalog.com/mcp 

{ "mcpServers": { "agentalog": { "type": "http", "url": "https://agentalog.com/mcp" } } } 

Em cliente autenticado, a conexão OAuth já carrega o acesso da conta. Chamadas de conta na API HTTP usam X-Api-Key: mmk_… ou Authorization: Bearer mmo_…. Crédito avulso, quando houver, usa Authorization: Bearer cred_…. Não cole token real no texto.

1. Listar as ferramentas (execução comprovada)

curl -s -XPOST https://agentalog.com/mcp \ -H 'content-type: application/json' \ -H 'accept: application/json, text/event-stream' \ -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}' 

HTTP 200, em 11/11/2026, de manhã (America/Sao_Paulo). O cartão GET https://agentalog.com/mcp descrevia 49 ferramentas, transporte streamable-http e build d9df6565. As que importam neste fluxo:

• list_listings — busca no mosaico público;
• get_listing — uma listagem, pelo id devolvido pela busca;
• listing_security — sinais medidos e limites;
• listing_history — até cinco eventos de repositório, se houver;
• listing_updates — recorte de até 100 ids, com cache de até 15 minutos.

Use só ids devolvidos pela busca. Não invente identificador.

2. Buscar no catálogo (execução comprovada)

Equivalente HTTP da ferramenta list_listings:

curl -s 'https://agentalog.com/api/listings?q=hookpulse&limit=5' 

HTTP 200, 3 itens, sem página seguinte. A própria resposta avisa: listagens com verified=false não são conferidas todos os dias; as ferramentas podem mudar sem aviso; examine o servidor antes de instalar.

Há mais de uma entrada para o mesmo produto (registro oficial, índice e semente). Para inspecionar, use um id de cada vez. Abaixo sigo a entrada official.

Limite da busca, também observado neste dia: q=radar cnpj e q=radar-cnpj devolveram outras ferramentas de CNPJ na primeira página (10 itens) e nenhuma listagem de radar-cnpj.com. O catálogo não garante que o primeiro resultado seja o produto que você tinha em mente, nem que um produto conhecido esteja na primeira página.

3. Abrir a listagem (execução comprovada)

curl -s https://agentalog.com/api/listings/mcp_net_hookpulse_hookpulse_bd5270db 

HTTP 200. Campos lidos nessa chamada:

• kind: mcp; status: live; origin: official; origin_id: net.hookpulse/hookpulse
• url / install: https://hookpulse.net/mcp
• source: https://github.com/wrpbr/hookpulse; licenca: MIT-0; repo_estado: ativo
• versao no registro: 1.1.0; oficial_status: active
• verified: false; seals: lista vazia
• seguranca_nivel: atencao; seguranca_estado: ok
• pushed_at: 2026-11-04T00:25:20Z (03/11/2026, 21:25, America/Sao_Paulo)
• volatil_em: 2026-11-11 09:13:01 (a API não declarou o fuso deste campo)

verified: false e ausência de selo não são aprovação nem reprovação. São só o estado publicado daquela entrada.

4. Ler os sinais de segurança (execução comprovada)

curl -s https://agentalog.com/api/listings/mcp_net_hookpulse_hookpulse_bd5270db/security 

HTTP 200. A resposta traz o aviso: os sinais descrevem fatos medidos sobre o servidor e a listagem; não certificam que a ferramenta é segura.

Nesta leitura:

• nivel: atencao
• único sinal: dominio_recente, valor 2026-08-15
• domínio hookpulse.net, faixa de registro informada de 2026-08-09 a 2026-08-15 (fonte nrd_faixa)
• servidor: estado ok, nome HookPulse, protocolo 2025-06-18, transporte http, país BR
• 30 ferramentas anunciadas na última conferência, com capacidades registradas apaga, envia, executa, navega e pagamento, e lista suspeitas vazia
• verificado_em: 2026-11-10T12:59:03.124Z (10/11/2026, 09:59, America/Sao_Paulo)
• proxima_em: 2026-11-11T16:28:43.446Z (11/11/2026, 13:28, America/Sao_Paulo)

O nível "atenção" neste caso veio da idade do domínio, não de um texto suspeito nas ferramentas. Um domínio recente é um fato a informar; não prova abuso e não autoriza ignorar as demais checagens.

A mesma resposta listava eventos recentes de versao_mudou e, em 05/11/2026, ferramentas_mudaram. A documentação do produto pede que, numa mudança de ferramentas, você revise as operações e permissões atuais antes do próximo uso. Isso é passo de revisão, não permissão para executar o código alterado.

5. Histórico vazio não prova ausência de mudança (execução comprovada)

curl -s https://agentalog.com/api/listings/mcp_net_hookpulse_hookpulse_bd5270db/history 

HTTP 200, com historico: [] e gerado_em: "2026-11-11 09:13:01" (de novo sem fuso declarado). A skill oficial diz: lista vazia significa que não há eventos disponíveis naquele recorte, não que nada mudou ou que a coleta cobriu o período pedido. Os eventos de versão e de ferramentas estavam na rota de segurança, não nesta.

Custo e limites

Valores lidos em 11/11/2026 em pricing.md e em GET /api/pricing. Confira essas URLs antes de gastar.

Grátis, para uso comum: busca, filtros, detalhe da listagem, revisão de segurança e, com conta, uma submissão por dia e 3 ferramentas em vigia. Crawlers identificados têm cota de 1.000 leituras por dia por família; acima disso a API pode responder 402 com o pacote MAT (US$ 1 por 1.000 leituras, 30 dias, sem renovação automática).

Pagos, entre outros: vigia extra US$ 0,10 por ferramenta / 30 dias; Team US$ 2,49 (50 vagas) e Business US$ 4,99 (500 vagas), 30 dias, sem renovação automática; submissão sem conta US$ 0,10; checagem avulsa de endereço MCP US$ 0,01. Selos e passe de proteção têm tabela própria.

Não executei vigia nem pagamento neste texto. A checagem paga por chamada, segundo a documentação, devolve a mesma análise da leitura gratuita GET /api/check / listing_security.

O que isso evita

Você sai da busca com um id, um endereço de instalação, a origem (oficial, índice ou semente), a data da última conferência e os limites do sinal. No exemplo, o domínio recente e as capacidades anunciadas ficam explícitos antes de qualquer mcp add.

O que isto não faz: não instala o servidor, não executa as ferramentas dele, não substitui uma auditoria e não acompanha mudanças depois que a sessão acaba. Para acompanhar, a documentação aponta POST /api/me/vigia dentro da cobertura gratuita (3 por dono) e a leitura de avisos com cursor.

Documentação: llms.txt, skill.md, índice da API, OpenAPI, página humana da listagem em https://agentalog.com/l/mcp_net_hookpulse_hookpulse_bd5270db.