Référence

Version 1, en bêta. Chaque chemin commence par /api/cli/v1, chaque requête transporte une clé sous forme de jeton bearer, et chaque réponse est { data, error }. L’ensemble de cette description est aussi disponible en OpenAPI 3.1.

API de l’agent

Les opérations serveur derrière les outils MCP hébergés. Les nouvelles intégrations doivent les utiliser. lockpick_wait_for_scan interroge GET /agent/scans/{scanId} ; lockpick_evaluate_scan lit cette même analyse et applique la politique d’évaluation côté client. Ces deux outils composés n’ont pas de point de terminaison HTTP distinct. Les scripts peuvent interroger l’état de l’analyse et évaluer son heure de fin, sa couverture et le nombre de points à corriger ouverts selon leur politique.

GET /agent/me

La personne, l’espace de travail, les portées et l’expiration de cet identifiant, et ce qu’il peut lancer.

• Autorisation : read
• Outil MCP : lockpick_whoami

data

GET /agent/allowance

Analyses gratuites restant ce mois-ci, leurs dates de réinitialisation et leurs crédits.

• Autorisation : read
• Outil MCP : lockpick_get_allowance

data

GET /agent/monitor

Parcourir les avis de sécurité actuels et expliquer les correspondances pour les sites autorisés.

• Autorisation : read
• Outil MCP : lockpick_monitor

Paramètres de requête

data

Chaque élément

GET /agent/sites

Une page de sites avec leurs dernières analyses.

• Autorisation : read
• Outil MCP : lockpick_list_sites

Paramètres de requête

data

Chaque élément

POST /agent/sites

Ajouter un site, ou renvoyer celui qui porte cette adresse.

• Autorisation : sites
• Outil MCP : lockpick_add_site

Corps

data

GET /agent/sites/{siteId}/status

L’état d’un site : ses dernières analyses et la marche à suivre.

• Autorisation : read
• Outil MCP : lockpick_site_status

data

GET /agent/sites/{siteId}/history

L’historique de sécurité d’un site : l’évolution du score de chaque profondeur de scan, interrompue là où le moteur a changé, les constats ouverts au fil du temps, les corrections, les régressions et le délai médian de correction.

• Autorisation : read
• Outil MCP : lockpick_get_site_history

data

POST /agent/sites/{siteId}/dependencies

Envoyer les noms et les versions exactes des paquets épinglés par un site, jamais le code, et lire les avis qui les touchent.

• Autorisation : sites
• Outil MCP : lockpick_send_dependencies

Corps

data

GET /agent/sites/{siteId}/github

Le lien GitHub d’un site : le dépôt, la branche et le fichier de verrouillage, la dernière lecture, le commentaire de pull request et si la liste GitHub de l’appelant est à jour.

• Autorisation : read
• Outil MCP : lockpick_get_github_link

data

GET /agent/github/repositories

Les dépôts de la liste GitHub de l’appelant lui-même pour cet espace de travail, les seuls qu’il peut lier.

• Autorisation : read
• Outil MCP : lockpick_list_github_repositories

Paramètres de requête

data

Chaque élément

POST /agent/sites/{siteId}/github

Lie un site à un dépôt de la liste GitHub de l’appelant lui-même, ou obtient la page où la personne l’approuve.

• Autorisation : sites
• Outil MCP : lockpick_link_github_repository

Corps

GET /agent/github/link-requests/{requestId}

Où en est un lien GitHub en attente de la personne.

• Autorisation : read
• Outil MCP : lockpick_get_github_link_request

data

DELETE /agent/sites/{siteId}/github

Délie le dépôt GitHub d’un site et oublie la lecture de son fichier de verrouillage.

• Autorisation : sites
• Outil MCP : lockpick_unlink_github_repository

data

POST /agent/sites/{siteId}/github/pull-request-comments

Active ou désactive le commentaire de sécurité Deep sur les pull requests du dépôt lié à un site.

• Autorisation : sites
• Outil MCP : lockpick_set_github_pr_comments

Corps

data

GET /agent/sites/{siteId}/schedules

Les contrôles automatiques Pulse et Deep d’un site et les fréquences que son forfait autorise.

• Autorisation : read
• Outil MCP : lockpick_get_schedules

data

POST /agent/sites/{siteId}/schedules/pulse

Configurer, modifier ou reprendre le contrôle automatique Pulse d’un site dans les fréquences du forfait.

• Autorisation : pulse
• Outil MCP : lockpick_set_pulse_schedule

Corps

data

POST /agent/sites/{siteId}/schedules/pulse/pause

Mettre en pause le contrôle automatique Pulse d’un site.

• Autorisation : pulse
• Outil MCP : lockpick_pause_pulse_schedule

data

POST /agent/sites/{siteId}/schedules/deep

Préparer la configuration, la modification ou la reprise du contrôle automatique Deep d’un site, et obtenir le lien où la personne l’autorise.

• Autorisation : deep
• Outil MCP : lockpick_prepare_deep_schedule

Corps

data

POST /agent/sites/{siteId}/schedules/deep/pause

Mettre en pause le contrôle automatique Deep d’un site.

• Autorisation : deep
• Outil MCP : lockpick_pause_deep_schedule

data

GET /agent/schedule-requests/{requestId}

Où en est un contrôle automatique Deep en attente de la personne.

• Autorisation : read
• Outil MCP : lockpick_get_schedule_request

data

GET /agent/sites/{siteId}/shares

Les résultats Pulse d’un site qui ont un lien de partage public actif.

• Autorisation : read
• Outil MCP : lockpick_list_shares

data

POST /agent/scans/{scanId}/share

Publier un résultat Pulse terminé à un lien public, ou remplacer son lien.

• Autorisation : pulse
• Outil MCP : lockpick_share_scan

Corps

data

DELETE /agent/scans/{scanId}/share

Arrêter le partage d’un résultat Pulse ; son lien public cesse de fonctionner.

• Autorisation : pulse
• Outil MCP : lockpick_unshare_scan

data

POST /agent/sites/{siteId}/pulse

Lancer une analyse Pulse sur un site.

• Autorisation : pulse
• Outil MCP : lockpick_start_pulse

Corps

data

POST /agent/sites/{siteId}/deep-verifications

Émettre une preuve de propriété par DNS ou par fichier avant une analyse Deep.

• Autorisation : deep
• Outil MCP : lockpick_start_deep_verification

Corps

data

POST /agent/sites/{siteId}/deep-verifications/{verificationId}/verify

Vérifier une preuve de propriété publiée. Chaque vérification utilise une de ses tentatives.

• Autorisation : deep
• Outil MCP : lockpick_check_deep_verification

data

POST /agent/sites/{siteId}/deep-operations

Préparer une analyse Deep et obtenir le lien où la personne l’autorise.

• Autorisation : deep
• Outil MCP : lockpick_prepare_deep

Corps

data

POST /agent/deep-operations/{operationId}/start

Lancer une analyse Deep autorisée par la personne.

• Autorisation : deep
• Outil MCP : lockpick_start_deep

data

POST /agent/free-site-switch

Retirer un site pour que le Pulse gratuit du mois puisse passer à un autre.

• Autorisation : sites et pulse
• Outil MCP : lockpick_switch_free_site

Corps

data

GET /agent/scans

Une page d’analyses, les plus récentes en premier, avec des filtres.

• Autorisation : read
• Outil MCP : lockpick_list_scans

Paramètres de requête

data

Chaque élément

GET /agent/scans/{scanId}

Une analyse avec son statut et son résumé.

• Autorisation : read
• Outil MCP : lockpick_get_scan

data

GET /agent/scans/{scanId}/findings

Une page de points à corriger d’une analyse.

• Autorisation : read
• Outil MCP : lockpick_list_findings
• Envoyez x-lockpick-agent-features: finding-code pour recevoir le code de chaque constat (LP- et six caractères, tel que le rapport web l'affiche). Sans l'en-tête, la réponse n'a pas de code, la forme qu'attendent les anciens clients.

Paramètres de requête

data

Chaque élément

GET /agent/scans/{scanId}/findings/{findingId}

Un point à corriger avec ses preuves masquées.

• Autorisation : read
• Outil MCP : lockpick_get_finding
• Envoyez x-lockpick-agent-features: finding-code pour recevoir le code de chaque constat (LP- et six caractères, tel que le rapport web l'affiche). Sans l'en-tête, la réponse n'a pas de code, la forme qu'attendent les anciens clients.

data

GET /agent/scans/{scanId}/repair-brief

Une partie du brief de correction d’une analyse.

• Autorisation : read
• Outil MCP : lockpick_get_repair_brief

Paramètres de requête

data

GET /agent/scans/{scanId}/comparison

Ce qui a changé entre une analyse et celle qu’elle recontrôle.

• Autorisation : read
• Outil MCP : lockpick_compare_scans
• Envoyez x-lockpick-agent-features: finding-code pour recevoir le code de chaque constat (LP- et six caractères, tel que le rapport web l'affiche). Sans l'en-tête, la réponse n'a pas de code, la forme qu'attendent les anciens clients.

data

POST /agent/scans/{scanId}/dns-rechecks

Relancer le contrôle DNS gratuit d’une analyse. N’envoie rien au site.

• Autorisation : pulse
• Outil MCP : lockpick_recheck_dns

Corps

data

GET /agent/scans/{scanId}/dns-rechecks/latest

Le dernier contrôle DNS relancé d’une analyse.

• Autorisation : read
• Outil MCP : lockpick_get_dns_recheck

data

POST /agent/scans/{scanId}/deep-rechecks

Vérifier ce correctif : relire uniquement ce sur quoi un point à corriger Deep a été vu. Gratuit, limité chaque jour.

• Autorisation : deep
• Outil MCP : lockpick_recheck_finding

Corps

data

GET /agent/scans/{scanId}/deep-rechecks/{findingId}

Le dernier Vérifier ce correctif d’un point à corriger Deep.

• Autorisation : read
• Outil MCP : lockpick_get_finding_recheck

data

POST /agent/quick-checks

Lancer un contrôle rapide gratuit d’une page d’accueil.

• Autorisation : pulse
• Outil MCP : lockpick_quick_check

Corps

data

POST /agent/repository-checks

Vérifier un dépôt GitHub public (un skill, un plugin, un serveur MCP ou une application) avant de l’installer.

• Autorisation : pulse
• Outil MCP : lockpick_check_repository

Corps

data

GET /agent/repository-checks/{checkId}

Une vérification de dépôt et ses constats.

• Autorisation : read
• Outil MCP : lockpick_get_repository_check

data

GET /agent/quick-checks/{checkId}

Un contrôle rapide et son résultat.

• Autorisation : read
• Outil MCP : lockpick_get_quick_check

data

GET /agent/docs/search

Rechercher dans la documentation publique de Lockpick.

• Autorisation : read
• Outil MCP : lockpick_search_docs

Paramètres de requête

data

GET /agent/docs/page

Une page de la documentation publique en Markdown, par parties si elle est longue.

• Autorisation : read
• Outil MCP : lockpick_read_doc

Paramètres de requête

data

Connexion par appareil

Comment lockpick login obtient une clé : il demande un code, la personne l’autorise dans le navigateur, et l’interrogation renvoie la clé.

POST /device/code

Démarrer une connexion par appareil et obtenir un code à autoriser dans le navigateur.

• Autorisation : aucune, fait partie de la connexion

Corps

data

POST /device/token

Interroger une connexion par appareil jusqu’à ce que la personne l’autorise, puis recevoir la clé.

• Autorisation : aucune, fait partie de la connexion

Corps

Anciennes routes

Les routes CLI d’origine, utilisées par la CLI 0.2. Elles restent inchangées, et les nouvelles intégrations doivent utiliser l’API de l’agent ci-dessus.

Routes CLI d’origine

GET /projects/{projectId}/dismissals

Gérez les constats acceptés et leurs motifs pour ce projet. Annuler réactive un constat ; une modification des preuves ou des règles exige un nouvel examen. Les audits locaux gardent votre code et le rapport sur votre machine. Une autorisation en ligne reste nécessaire.

• Autorisation : read

data

Champ	Type	Toujours présent
version	nombre	Oui
projectId	chaîne	Oui
dismissals	liste d’objets	Oui

POST /projects/{projectId}/dismissals

Gérez les constats acceptés et leurs motifs pour ce projet. Annuler réactive un constat ; une modification des preuves ou des règles exige un nouvel examen. Les audits locaux gardent votre code et le rapport sur votre machine. Une autorisation en ligne reste nécessaire.

• Autorisation : sites

Corps

Champ	Type	Requis
version	nombre	Oui
projectId	chaîne	Oui
dismissals	liste d’objets	Oui

data

Champ	Type	Toujours présent
imported	entier	Oui

POST /projects/{projectId}/local-assessments/authorize

Autoriser une évaluation locale avant d’inspecter le dépôt. Aucun code source ni résultat n’est envoyé.

• Autorisation : local

Corps

Champ	Type	Requis
cliVersion	chaîne	Oui
scannerVersion	chaîne	Oui
rulesetVersion	chaîne	Oui
reportSchemaVersion	chaîne	Oui
checks	list of tracked-secrets, public-environment, browser-artifacts, supabase-client, supabase-migrations, git-history, docker-files, docker-values, actions-injection, source-maps, php-version, actions-policy, compose-policy, hosting-config	Oui

data

Champ	Type	Toujours présent
admissionId	chaîne	Oui
projectId	chaîne	Oui
workspaceId	chaîne	Oui
policyVersion	chaîne	Oui
startBy	chaîne	Oui
checks	liste d’objets	Oui

GET /me

La personne, l’espace de travail et la clé derrière cet identifiant.

• Autorisation : read

data

Champ	Type	Toujours présent
user	objet	Oui
workspace	objet	Oui
key	objet	Oui

DELETE /me

Révoquer la clé présentée.

• Autorisation : toute clé valide

data

Champ	Type	Toujours présent
revoked	booléen	Oui

GET /projects

Sites (projets) avec leurs dernières analyses Pulse et Deep.

• Autorisation : read

Chaque élément de data

Champ	Type	Toujours présent
id	chaîne	Oui
name	chaîne	Oui
status	chaîne	Oui
baseDomain	chaîne ou null	Oui
latestPulse	objet ou null	Oui
latestDeep	objet ou null	Non
latestBox	objet ou null	Oui
webPath	chaîne	Oui
webUrl	chaîne	Non

GET /projects/{projectId}/status

Derniers résultats d’un site et ce qui a changé.

• Autorisation : read

data

Champ	Type	Toujours présent
project	objet	Oui
latestPulse	objet ou null	Oui
latestDeep	objet ou null	Non
latestBox	objet ou null	Oui
lastComparison	objet ou null	Oui
fixes	objet ou null	Non
caveats	liste de chaînes	Oui

POST /projects/{projectId}/pulse

Lancer une analyse Pulse sur un site, ou un nouveau contrôle de la dernière.

• Autorisation : pulse
• Répond 201 en cas de succès

Corps

Champ	Type	Requis
idempotencyKey	chaîne	Oui

data

Champ	Type	Toujours présent
id	chaîne	Oui
kind	pulse, box (Deep, nom hérité)	Oui
projectId	chaîne	Oui
target	chaîne	Oui
status	queued, running, cancelling, succeeded, incomplete, failed, cancelled	Oui
mode	autonomous, authenticated, active ou null	Oui
createdAt	chaîne ou null	Oui
finishedAt	chaîne ou null	Oui
webPath	chaîne	Oui
assessmentLevel	pulse, standard, deep ou null	Non
headline	objet	Non
webUrl	chaîne	Non
suggestedPollAfterSeconds	entier ou null	Non
dismissals	objet	Non
baselineRunId	chaîne ou null	Oui
open	objet	Oui
findingCount	entier	Oui
progress	objet ou null	Oui
coverage	objet	Oui
caveats	liste de chaînes	Oui
outcome	objet ou null	Non
exposureCheck	objet ou null	Non
coverageReceipt	objet ou null	Non

POST /projects/{projectId}/deep

Lancer l’analyse Deep d’une version avec une clé CI créée pour ce site, avec l’autorisation Deep.

• Autorisation : deep
• Répond 201 en cas de succès

Corps

Champ	Type	Requis
idempotencyKey	chaîne	Oui

data

Champ	Type	Toujours présent
id	chaîne	Oui
kind	pulse, box (Deep, nom hérité)	Oui
projectId	chaîne	Oui
target	chaîne	Oui
status	queued, running, cancelling, succeeded, incomplete, failed, cancelled	Oui
mode	autonomous, authenticated, active ou null	Oui
createdAt	chaîne ou null	Oui
finishedAt	chaîne ou null	Oui
webPath	chaîne	Oui
assessmentLevel	pulse, standard, deep ou null	Non
headline	objet	Non
webUrl	chaîne	Non
suggestedPollAfterSeconds	entier ou null	Non
dismissals	objet	Non
baselineRunId	chaîne ou null	Oui
open	objet	Oui
findingCount	entier	Oui
progress	objet ou null	Oui
coverage	objet	Oui
caveats	liste de chaînes	Oui
outcome	objet ou null	Non
exposureCheck	objet ou null	Non
coverageReceipt	objet ou null	Non

GET /runs

Analyses Pulse et Deep, les plus récentes en premier.

• Autorisation : read

Paramètres de requête

Champ	Type	Requis
projectId	chaîne	Non
kind	pulse, box (Deep, nom hérité)	Non
assessmentLevel	pulse, standard, deep	Non
status	queued, running, cancelling, succeeded, incomplete, failed, cancelled	Non
limit	entier	Non

Chaque élément de data

Champ	Type	Toujours présent
id	chaîne	Oui
kind	pulse, box (Deep, nom hérité)	Oui
projectId	chaîne	Oui
target	chaîne	Oui
status	queued, running, cancelling, succeeded, incomplete, failed, cancelled	Oui
mode	autonomous, authenticated, active ou null	Oui
createdAt	chaîne ou null	Oui
finishedAt	chaîne ou null	Oui
webPath	chaîne	Oui
assessmentLevel	pulse, standard, deep ou null	Non
headline	objet	Non
webUrl	chaîne	Non
suggestedPollAfterSeconds	entier ou null	Non

GET /runs/{runId}

Une analyse avec son résumé et ses totaux.

• Autorisation : read

data

Champ	Type	Toujours présent
id	chaîne	Oui
kind	pulse, box (Deep, nom hérité)	Oui
projectId	chaîne	Oui
target	chaîne	Oui
status	queued, running, cancelling, succeeded, incomplete, failed, cancelled	Oui
mode	autonomous, authenticated, active ou null	Oui
createdAt	chaîne ou null	Oui
finishedAt	chaîne ou null	Oui
webPath	chaîne	Oui
assessmentLevel	pulse, standard, deep ou null	Non
headline	objet	Non
webUrl	chaîne	Non
suggestedPollAfterSeconds	entier ou null	Non
dismissals	objet	Non
baselineRunId	chaîne ou null	Oui
open	objet	Oui
findingCount	entier	Oui
progress	objet ou null	Oui
coverage	objet	Oui
caveats	liste de chaînes	Oui
outcome	objet ou null	Non
exposureCheck	objet ou null	Non
coverageReceipt	objet ou null	Non

GET /runs/{runId}/findings

Points à corriger d’une analyse.

• Autorisation : read

Paramètres de requête

Champ	Type	Requis
severity	critical, high, medium, low, info	Non
state	attention, information, unknown, pass	Non
all	true, false	Non

Chaque élément de data

Champ	Type	Toujours présent
dismissal	objet	Non
id	chaîne	Oui
code	chaîne	Non
runId	chaîne	Oui
kind	pulse, box (Deep, nom hérité)	Oui
severity	critical, high, medium, low, info	Oui
state	attention, information, unknown, pass	Oui
category	chaîne	Oui
title	chaîne	Oui
meaning	chaîne	Oui
fix	chaîne ou null	Oui
confidence	chaîne	Oui
evidence	liste de chaînes	Oui
sources	liste de chaînes	Oui
steps	liste de chaînes	Oui
webPath	chaîne	Oui
webUrl	chaîne	Non
verdict	confirmed, needs_review, not_actionable ou null	Non
certainty	high, medium, low ou null	Non
exploitability	direct, conditional, hygiene, none ou null	Non
proof	objet ou null	Non
proofGap	chaîne ou null	Non
urgency	now, week, later, none	Non
howSure	confirmed, likely, possible ou null	Non
lifecycle	objet ou null	Non

GET /runs/{runId}/findings/{findingId}

Un point à corriger avec ses preuves masquées.

• Autorisation : read

data

Champ	Type	Toujours présent
dismissal	objet	Non
id	chaîne	Oui
code	chaîne	Non
runId	chaîne	Oui
kind	pulse, box (Deep, nom hérité)	Oui
severity	critical, high, medium, low, info	Oui
state	attention, information, unknown, pass	Oui
category	chaîne	Oui
title	chaîne	Oui
meaning	chaîne	Oui
fix	chaîne ou null	Oui
confidence	chaîne	Oui
evidence	liste de chaînes	Oui
sources	liste de chaînes	Oui
steps	liste de chaînes	Oui
webPath	chaîne	Oui
webUrl	chaîne	Non
verdict	confirmed, needs_review, not_actionable ou null	Non
certainty	high, medium, low ou null	Non
exploitability	direct, conditional, hygiene, none ou null	Non
proof	objet ou null	Non
proofGap	chaîne ou null	Non
urgency	now, week, later, none	Non
howSure	confirmed, likely, possible ou null	Non
lifecycle	objet ou null	Non

GET /runs/{runId}/repair-brief

Les corrections d’une analyse dans un seul brief Markdown.

• Autorisation : read

Paramètres de requête

Champ	Type	Requis
findingId	chaîne	Non
agent	claude-code, codex, cursor, vscode, opencode, lovable, bolt, replit, v0	Non

data

Champ	Type	Toujours présent
runId	chaîne	Oui
findingIds	liste de chaînes	Oui
saved	booléen	Oui
markdown	chaîne	Oui
webUrl	chaîne	Non

GET /runs/{runId}/comparison

Ce qui a changé entre une analyse et la précédente.

• Autorisation : read

data

Champ	Type	Toujours présent
runId	chaîne	Oui
baselineRunId	chaîne	Oui
error	chaîne ou null	Oui
changes	liste d’objets	Oui
webUrl	chaîne	Non

GET /runs/{runId}/export

Les résultats d’une analyse en PDF, en mots simples ou technique, encodés en base64.

• Autorisation : read

Paramètres de requête

Champ	Type	Requis
dialect	plain, technical	Oui

data

Champ	Type	Toujours présent
filename	chaîne	Oui
mimeType	chaîne	Oui
base64	chaîne	Oui