Referência

Versão 1, em beta. Todo caminho começa com /api/cli/v1, toda requisição carrega uma chave como token bearer, e toda resposta é { data, error }. A descrição completa também está em OpenAPI 3.1.

API do agente

As operações do servidor por trás das ferramentas MCP hospedadas. Novas integrações devem usar estas. lockpick_wait_for_scan consulta GET /agent/scans/{scanId}; lockpick_evaluate_scan lê esse mesmo scan e aplica a política de avaliação no cliente. Estas duas ferramentas compostas não têm endpoint HTTP próprio. Scripts podem consultar a situação do scan e avaliar o horário de conclusão, a cobertura e a contagem de achados abertos conforme a sua política.

GET /agent/me

A pessoa, o workspace, os escopos e a validade desta credencial, e o que ela pode iniciar.

• Permissão: read
• Ferramenta MCP: lockpick_whoami

data

GET /agent/allowance

Scans gratuitos restantes neste mês, as datas de renovação e os créditos.

• Permissão: read
• Ferramenta MCP: lockpick_get_allowance

data

GET /agent/monitor

Navega pela inteligência de segurança atual e explica as correspondências dos sites autorizados.

• Permissão: read
• Ferramenta MCP: lockpick_monitor

Consulta

data

Cada item

GET /agent/sites

Uma página de sites com os seus scans mais recentes.

• Permissão: read
• Ferramenta MCP: lockpick_list_sites

Consulta

data

Cada item

POST /agent/sites

Adicione um site, ou devolva o que já tem este endereço.

• Permissão: sites
• Ferramenta MCP: lockpick_add_site

Corpo

data

GET /agent/sites/{siteId}/status

A situação de um site: os seus scans mais recentes e o que fazer em seguida.

• Permissão: read
• Ferramenta MCP: lockpick_site_status

data

GET /agent/sites/{siteId}/history

O histórico de segurança de um site: a evolução da pontuação de cada profundidade de varredura, interrompida onde o mecanismo mudou, os achados abertos ao longo do tempo, as correções, as regressões e o tempo mediano até a correção.

• Permissão: read
• Ferramenta MCP: lockpick_get_site_history

data

POST /agent/sites/{siteId}/dependencies

Envia os nomes e as versões exatas que um site fixa nos pacotes, nunca código, e informa quais avisos os afetam.

• Permissão: sites
• Ferramenta MCP: lockpick_send_dependencies

Corpo

data

GET /agent/sites/{siteId}/github

O vínculo do GitHub de um site: o repositório, a branch e o lockfile, a última leitura, o comentário de pull request e se a lista do GitHub de quem chama está atual.

• Permissão: read
• Ferramenta MCP: lockpick_get_github_link

data

GET /agent/github/repositories

Os repositórios da lista do GitHub de quem chama neste workspace, os únicos que pode vincular.

• Permissão: read
• Ferramenta MCP: lockpick_list_github_repositories

Consulta

data

Cada item

POST /agent/sites/{siteId}/github

Vincula um site a um repositório da lista do GitHub de quem chama, ou obtém a página em que a pessoa aprova o vínculo.

• Permissão: sites
• Ferramenta MCP: lockpick_link_github_repository

Corpo

GET /agent/github/link-requests/{requestId}

Em que ponto está um vínculo do GitHub que aguarda a pessoa.

• Permissão: read
• Ferramenta MCP: lockpick_get_github_link_request

data

DELETE /agent/sites/{siteId}/github

Desvincula o repositório do GitHub de um site e descarta a leitura do lockfile.

• Permissão: sites
• Ferramenta MCP: lockpick_unlink_github_repository

data

POST /agent/sites/{siteId}/github/pull-request-comments

Ativa ou desativa o comentário de segurança do Deep nos pull requests do repositório vinculado a um site.

• Permissão: sites
• Ferramenta MCP: lockpick_set_github_pr_comments

Corpo

data

GET /agent/sites/{siteId}/schedules

As verificações automáticas Pulse e Deep de um site e as frequências que o plano dele permite.

• Permissão: read
• Ferramenta MCP: lockpick_get_schedules

data

POST /agent/sites/{siteId}/schedules/pulse

Configura, altera ou retoma a verificação automática Pulse de um site dentro das frequências do plano.

• Permissão: pulse
• Ferramenta MCP: lockpick_set_pulse_schedule

Corpo

data

POST /agent/sites/{siteId}/schedules/pulse/pause

Pausa a verificação automática Pulse de um site.

• Permissão: pulse
• Ferramenta MCP: lockpick_pause_pulse_schedule

data

POST /agent/sites/{siteId}/schedules/deep

Prepara a configuração, a alteração ou a retomada da verificação automática Deep de um site e obtém o link em que a pessoa a aprova.

• Permissão: deep
• Ferramenta MCP: lockpick_prepare_deep_schedule

Corpo

data

POST /agent/sites/{siteId}/schedules/deep/pause

Pausa a verificação automática Deep de um site.

• Permissão: deep
• Ferramenta MCP: lockpick_pause_deep_schedule

data

GET /agent/schedule-requests/{requestId}

Em que ponto está uma verificação automática Deep que aguarda a pessoa.

• Permissão: read
• Ferramenta MCP: lockpick_get_schedule_request

data

GET /agent/sites/{siteId}/shares

Os resultados Pulse de um site que têm um link público de compartilhamento ativo.

• Permissão: read
• Ferramenta MCP: lockpick_list_shares

data

POST /agent/scans/{scanId}/share

Publica um resultado Pulse concluído em um link público, ou substitui o link dele.

• Permissão: pulse
• Ferramenta MCP: lockpick_share_scan

Corpo

data

DELETE /agent/scans/{scanId}/share

Para de compartilhar um resultado Pulse; o link público dele deixa de funcionar.

• Permissão: pulse
• Ferramenta MCP: lockpick_unshare_scan

data

POST /agent/sites/{siteId}/pulse

Inicia um Pulse em um site.

• Permissão: pulse
• Ferramenta MCP: lockpick_start_pulse

Corpo

data

POST /agent/sites/{siteId}/deep-verifications

Emite uma prova de propriedade por DNS ou arquivo antes de um scan Deep.

• Permissão: deep
• Ferramenta MCP: lockpick_start_deep_verification

Corpo

data

POST /agent/sites/{siteId}/deep-verifications/{verificationId}/verify

Verifica uma prova de propriedade publicada. Cada verificação usa uma das tentativas.

• Permissão: deep
• Ferramenta MCP: lockpick_check_deep_verification

data

POST /agent/sites/{siteId}/deep-operations

Prepara um scan Deep e obtém o link em que a pessoa o aprova.

• Permissão: deep
• Ferramenta MCP: lockpick_prepare_deep

Corpo

data

POST /agent/deep-operations/{operationId}/start

Inicia um scan Deep que a pessoa aprovou.

• Permissão: deep
• Ferramenta MCP: lockpick_start_deep

data

POST /agent/free-site-switch

Remove um site para que o Pulse gratuito deste mês possa passar para outro.

• Permissão: sites and pulse
• Ferramenta MCP: lockpick_switch_free_site

Corpo

data

GET /agent/scans

Uma página de scans, do mais recente para o mais antigo, com filtros.

• Permissão: read
• Ferramenta MCP: lockpick_list_scans

Consulta

data

Cada item

GET /agent/scans/{scanId}

Um scan com a sua situação e o seu resumo.

• Permissão: read
• Ferramenta MCP: lockpick_get_scan

data

GET /agent/scans/{scanId}/findings

Uma página de achados de um scan.

• Permissão: read
• Ferramenta MCP: lockpick_list_findings
• Envie x-lockpick-agent-features: finding-code para receber o code de cada achado (LP- e seis caracteres, como o relatório web o mostra). Sem o cabeçalho, a resposta não traz code, o formato que clientes mais antigos esperam.

Consulta

data

Cada item

GET /agent/scans/{scanId}/findings/{findingId}

Um achado com as suas provas redigidas.

• Permissão: read
• Ferramenta MCP: lockpick_get_finding
• Envie x-lockpick-agent-features: finding-code para receber o code de cada achado (LP- e seis caracteres, como o relatório web o mostra). Sem o cabeçalho, a resposta não traz code, o formato que clientes mais antigos esperam.

data

GET /agent/scans/{scanId}/repair-brief

Uma parte das instruções de correção de um scan.

• Permissão: read
• Ferramenta MCP: lockpick_get_repair_brief

Consulta

data

GET /agent/scans/{scanId}/comparison

O que mudou entre um scan e o que ele verifica de novo.

• Permissão: read
• Ferramenta MCP: lockpick_compare_scans
• Envie x-lockpick-agent-features: finding-code para receber o code de cada achado (LP- e seis caracteres, como o relatório web o mostra). Sem o cabeçalho, a resposta não traz code, o formato que clientes mais antigos esperam.

data

POST /agent/scans/{scanId}/dns-rechecks

Faz de novo a verificação gratuita de DNS de um scan. Não envia nada ao site.

• Permissão: pulse
• Ferramenta MCP: lockpick_recheck_dns

Corpo

data

GET /agent/scans/{scanId}/dns-rechecks/latest

A última verificação de DNS de novo de um scan.

• Permissão: read
• Ferramenta MCP: lockpick_get_dns_recheck

data

POST /agent/scans/{scanId}/deep-rechecks

Verificar esta correção: ler de novo apenas onde um achado Deep foi visto. Gratuito, com limite diário.

• Permissão: deep
• Ferramenta MCP: lockpick_recheck_finding

Corpo

data

GET /agent/scans/{scanId}/deep-rechecks/{findingId}

A Verificar esta correção mais recente de um achado Deep.

• Permissão: read
• Ferramenta MCP: lockpick_get_finding_recheck

data

POST /agent/quick-checks

Inicia uma verificação rápida gratuita de uma página inicial.

• Permissão: pulse
• Ferramenta MCP: lockpick_quick_check

Corpo

data

POST /agent/repository-checks

Verifique um repositório público do GitHub (uma skill, plugin, servidor MCP ou app) antes de instalá-lo.

• Permissão: pulse
• Ferramenta MCP: lockpick_check_repository

Corpo

data

GET /agent/repository-checks/{checkId}

Uma verificação de repositório e os seus achados.

• Permissão: read
• Ferramenta MCP: lockpick_get_repository_check

data

GET /agent/quick-checks/{checkId}

Uma verificação rápida e o seu resultado.

• Permissão: read
• Ferramenta MCP: lockpick_get_quick_check

data

GET /agent/docs/search

Pesquisa a documentação pública do Lockpick.

• Permissão: read
• Ferramenta MCP: lockpick_search_docs

Consulta

data

GET /agent/docs/page

Uma página pública da documentação em Markdown, em partes quando é longa.

• Permissão: read
• Ferramenta MCP: lockpick_read_doc

Consulta

data

Login por dispositivo

Como lockpick login obtém uma chave: pede um código, a pessoa o aprova no navegador, e a consulta devolve a chave.

POST /device/code

Inicia um login por dispositivo e obtém um código para a pessoa aprovar no navegador.

• Permissão: none, part of sign-in

Corpo

data

POST /device/token

Consulta o login por dispositivo até a pessoa aprová-lo e então recebe a chave.

• Permissão: none, part of sign-in

Corpo

Legado

As rotas originais da CLI, que a CLI 0.2 usa. Continuam como estão, e as novas integrações devem usar a API do agente acima.

Rotas originais da CLI

GET /projects/{projectId}/dismissals

Gerencie achados aceitos e seus motivos neste projeto. Desfazer reativa um achado; mudanças na evidência ou nas regras exigem revisão. As auditorias locais mantêm o código e o relatório na sua máquina. A autorização on-line continua necessária.

• Permissão: read

data

Campo	Tipo	Sempre presente
version	número	Sim
projectId	string	Sim
dismissals	lista de objetos	Sim

POST /projects/{projectId}/dismissals

Gerencie achados aceitos e seus motivos neste projeto. Desfazer reativa um achado; mudanças na evidência ou nas regras exigem revisão. As auditorias locais mantêm o código e o relatório na sua máquina. A autorização on-line continua necessária.

• Permissão: sites

Corpo

Campo	Tipo	Obrigatório
version	número	Sim
projectId	string	Sim
dismissals	lista de objetos	Sim

data

Campo	Tipo	Sempre presente
imported	inteiro	Sim

POST /projects/{projectId}/local-assessments/authorize

Autorizar uma avaliação local antes de inspecionar o repositório. Nenhum código-fonte ou resultado é enviado.

• Permissão: local

Corpo

Campo	Tipo	Obrigatório
cliVersion	string	Sim
scannerVersion	string	Sim
rulesetVersion	string	Sim
reportSchemaVersion	string	Sim
checks	list of tracked-secrets, public-environment, browser-artifacts, supabase-client, supabase-migrations, git-history, docker-files, docker-values, actions-injection, source-maps, php-version, actions-policy, compose-policy, hosting-config	Sim

data

Campo	Tipo	Sempre presente
admissionId	string	Sim
projectId	string	Sim
workspaceId	string	Sim
policyVersion	string	Sim
startBy	string	Sim
checks	list of object	Sim

GET /me

A pessoa, o workspace e a chave por trás desta credencial.

• Permissão: read

data

Campo	Tipo	Sempre presente
user	object	Sim
workspace	object	Sim
key	object	Sim

DELETE /me

Revoga a chave apresentada.

• Permissão: any valid key

data

Campo	Tipo	Sempre presente
revoked	boolean	Sim

GET /projects

Sites (projetos) com os seus scans Pulse e Deep mais recentes.

• Permissão: read

Cada item em data

Campo	Tipo	Sempre presente
id	string	Sim
name	string	Sim
status	string	Sim
baseDomain	string or null	Sim
latestPulse	object or null	Sim
latestDeep	object or null	Não
latestBox	object or null	Sim
webPath	string	Sim
webUrl	string	Não

GET /projects/{projectId}/status

Os resultados mais recentes de um site e o que mudou.

• Permissão: read

data

Campo	Tipo	Sempre presente
project	object	Sim
latestPulse	object or null	Sim
latestDeep	object or null	Não
latestBox	object or null	Sim
lastComparison	object or null	Sim
fixes	object or null	Não
caveats	list of string	Sim

POST /projects/{projectId}/pulse

Inicia um Pulse em um site, ou uma nova verificação do último Pulse dele.

• Permissão: pulse
• Responde 201 quando funciona

Corpo

Campo	Tipo	Obrigatório
idempotencyKey	string	Sim

data

Campo	Tipo	Sempre presente
id	string	Sim
kind	pulse, box (Deep, legacy name)	Sim
projectId	string	Sim
target	string	Sim
status	queued, running, cancelling, succeeded, incomplete, failed, cancelled	Sim
mode	autonomous, authenticated, active or null	Sim
createdAt	string or null	Sim
finishedAt	string or null	Sim
webPath	string	Sim
assessmentLevel	pulse, standard, deep or null	Não
headline	object	Não
webUrl	string	Não
suggestedPollAfterSeconds	integer or null	Não
dismissals	objeto	Não
baselineRunId	string or null	Sim
open	object	Sim
findingCount	integer	Sim
progress	object or null	Sim
coverage	object	Sim
caveats	list of string	Sim
outcome	object or null	Não
exposureCheck	object or null	Não
coverageReceipt	object or null	Não

POST /projects/{projectId}/deep

Inicia o scan Deep de um release com uma chave de CI feita para este site, com Deep permitido.

• Permissão: deep
• Responde 201 quando funciona

Corpo

Campo	Tipo	Obrigatório
idempotencyKey	string	Sim

data

Campo	Tipo	Sempre presente
id	string	Sim
kind	pulse, box (Deep, legacy name)	Sim
projectId	string	Sim
target	string	Sim
status	queued, running, cancelling, succeeded, incomplete, failed, cancelled	Sim
mode	autonomous, authenticated, active or null	Sim
createdAt	string or null	Sim
finishedAt	string or null	Sim
webPath	string	Sim
assessmentLevel	pulse, standard, deep or null	Não
headline	object	Não
webUrl	string	Não
suggestedPollAfterSeconds	integer or null	Não
dismissals	objeto	Não
baselineRunId	string or null	Sim
open	object	Sim
findingCount	integer	Sim
progress	object or null	Sim
coverage	object	Sim
caveats	list of string	Sim
outcome	object or null	Não
exposureCheck	object or null	Não
coverageReceipt	object or null	Não

GET /runs

Scans Pulse e Deep, do mais recente para o mais antigo.

• Permissão: read

Consulta

Campo	Tipo	Obrigatório
projectId	string	Não
kind	pulse, box (Deep, legacy name)	Não
assessmentLevel	pulse, standard, deep	Não
status	queued, running, cancelling, succeeded, incomplete, failed, cancelled	Não
limit	integer	Não

Cada item em data

Campo	Tipo	Sempre presente
id	string	Sim
kind	pulse, box (Deep, legacy name)	Sim
projectId	string	Sim
target	string	Sim
status	queued, running, cancelling, succeeded, incomplete, failed, cancelled	Sim
mode	autonomous, authenticated, active or null	Sim
createdAt	string or null	Sim
finishedAt	string or null	Sim
webPath	string	Sim
assessmentLevel	pulse, standard, deep or null	Não
headline	object	Não
webUrl	string	Não
suggestedPollAfterSeconds	integer or null	Não

GET /runs/{runId}

Uma execução com o seu resumo e as contagens.

• Permissão: read

data

Campo	Tipo	Sempre presente
id	string	Sim
kind	pulse, box (Deep, legacy name)	Sim
projectId	string	Sim
target	string	Sim
status	queued, running, cancelling, succeeded, incomplete, failed, cancelled	Sim
mode	autonomous, authenticated, active or null	Sim
createdAt	string or null	Sim
finishedAt	string or null	Sim
webPath	string	Sim
assessmentLevel	pulse, standard, deep or null	Não
headline	object	Não
webUrl	string	Não
suggestedPollAfterSeconds	integer or null	Não
dismissals	objeto	Não
baselineRunId	string or null	Sim
open	object	Sim
findingCount	integer	Sim
progress	object or null	Sim
coverage	object	Sim
caveats	list of string	Sim
outcome	object or null	Não
exposureCheck	object or null	Não
coverageReceipt	object or null	Não

GET /runs/{runId}/findings

Achados de uma execução.

• Permissão: read

Consulta

Campo	Tipo	Obrigatório
severity	critical, high, medium, low, info	Não
state	attention, information, unknown, pass	Não
all	true, false	Não

Cada item em data

Campo	Tipo	Sempre presente
dismissal	objeto	Não
id	string	Sim
code	string	Não
runId	string	Sim
kind	pulse, box (Deep, legacy name)	Sim
severity	critical, high, medium, low, info	Sim
state	attention, information, unknown, pass	Sim
category	string	Sim
title	string	Sim
meaning	string	Sim
fix	string or null	Sim
confidence	string	Sim
evidence	list of string	Sim
sources	list of string	Sim
steps	list of string	Sim
webPath	string	Sim
webUrl	string	Não
verdict	confirmed, needs_review, not_actionable or null	Não
certainty	high, medium, low or null	Não
exploitability	direct, conditional, hygiene, none or null	Não
proof	object or null	Não
proofGap	string or null	Não
urgency	now, week, later, none	Não
howSure	confirmed, likely, possible or null	Não
lifecycle	object or null	Não

GET /runs/{runId}/findings/{findingId}

Um achado com as suas provas redigidas.

• Permissão: read

data

Campo	Tipo	Sempre presente
dismissal	objeto	Não
id	string	Sim
code	string	Não
runId	string	Sim
kind	pulse, box (Deep, legacy name)	Sim
severity	critical, high, medium, low, info	Sim
state	attention, information, unknown, pass	Sim
category	string	Sim
title	string	Sim
meaning	string	Sim
fix	string or null	Sim
confidence	string	Sim
evidence	list of string	Sim
sources	list of string	Sim
steps	list of string	Sim
webPath	string	Sim
webUrl	string	Não
verdict	confirmed, needs_review, not_actionable or null	Não
certainty	high, medium, low or null	Não
exploitability	direct, conditional, hygiene, none or null	Não
proof	object or null	Não
proofGap	string or null	Não
urgency	now, week, later, none	Não
howSure	confirmed, likely, possible or null	Não
lifecycle	object or null	Não

GET /runs/{runId}/repair-brief

As correções de uma execução em um único Markdown.

• Permissão: read

Consulta

Campo	Tipo	Obrigatório
findingId	string	Não
agent	claude-code, codex, cursor, vscode, opencode, lovable, bolt, replit, v0	Não

data

Campo	Tipo	Sempre presente
runId	string	Sim
findingIds	list of string	Sim
saved	boolean	Sim
markdown	string	Sim
webUrl	string	Não

GET /runs/{runId}/comparison

O que mudou entre uma execução e a anterior.

• Permissão: read

data

Campo	Tipo	Sempre presente
runId	string	Sim
baselineRunId	string	Sim
error	string or null	Sim
changes	list of object	Sim
webUrl	string	Não

GET /runs/{runId}/export

Os resultados de um scan como PDF, em palavras simples ou técnico, codificados em base64.

• Permissão: read

Consulta

Campo	Tipo	Obrigatório
dialect	plain, technical	Sim

data

Campo	Tipo	Sempre presente
filename	string	Sim
mimeType	string	Sim
base64	string	Sim