Serveur MCP Citadel
Le Model Context Protocol permet à votre assistant de code d’appeler Citadel. Il lance l’analyse, reçoit chaque faille avec son fichier, sa ligne et son correctif, puis modifie le code et relance une analyse pour vérifier.
Configurer votre assistant
Créez un compte gratuit sur citadelscan.com, puis une clé d’API dans Console › CLI & IDE. Une clé agit en votre nom dans un espace ; elle n’est affichée qu’une fois et se révoque à tout moment.
{
"mcpServers": {
"citadel": {
"command": "npx",
"args": ["-y", "citadelscan", "mcp"],
"env": { "CITADEL_API_KEY": "cit_..." }
}
}
}claude mcp add citadel -e CITADEL_API_KEY=cit_... -- npx -y citadelscan mcp{
"mcpServers": {
"citadel": {
"command": "npx",
"args": ["-y", "citadelscan", "mcp"],
"env": { "CITADEL_API_KEY": "cit_..." }
}
}
}{
"servers": {
"citadel": {
"type": "stdio",
"command": "npx",
"args": ["-y", "citadelscan", "mcp"],
"env": { "CITADEL_API_KEY": "cit_..." }
}
}
}Outils exposés
| Outil | Paramètres | Résultat |
|---|---|---|
| citadel_scan | path (dossier, facultatif), project (nom, facultatif) | La note, puis chaque faille ouverte avec gravité, fichier, ligne, problème, extrait (secrets masqués) et correctif |
| citadel_scan_result | scanId | Le même résultat pour une analyse déjà lancée |
Une analyse prend en général 1 à 3 minutes : l’outil attend la fin avant de répondre.
Exemples de demandes
- « Analyse ce projet avec Citadel et corrige les failles critiques. »
- « Lance Citadel, explique-moi la faille la plus grave et propose le correctif avant de l’appliquer. »
- « Vérifie avec Citadel que mes migrations Supabase activent bien la RLS. »
Garde-fous
- Seul un dossier de projet peut être analysé : jamais le dossier personnel ni la racine d’un disque, même si l’assistant le demande.
- Les mêmes règles d’envoi que la CLI : .gitignore respecté, fichiers d’identifiants exclus hors git.
- La clé reste dans la configuration locale du serveur MCP ; elle n’est jamais transmise à l’assistant.
Le plan gratuit inclut 10 analyses par mois, CLI et MCP compris, sans carte bancaire.
Personne ne lit votre code : il est analysé automatiquement dans un environnement isolé, puis supprimé. Confidentialité du code