Registry entries are reviewed publication records, not live measurements.
Notification sortante apres persistance, sans lecture de donnees IndexNow. Maximum 10000 URL du seul hote kopass.app par requete; erreurs absorbees pour ne pas interrompre la collecte.
Sans RESEND_API_KEY et MAIL_FROM configures, rien n est envoye et les envois rendent False : la connexion par lien et les alertes par courriel sont alors inoperantes, ce que les pages disent au lieu de faire semblant. Le corps du message n est jamais journalise, il porterait le lien de connexion.
Le webhook entrant est verifie par signature ET par age avant d etre cru : sans la verification d age, un appel capte pourrait etre rejoue des mois plus tard pour rouvrir un abonnement resilie. Un evenement sans identifiant de compte dans ses metadonnees est ignore ; deviner sur l adresse ouvrirait la porte a une usurpation. Sans STRIPE_SECRET_KEY, la page de tarifs reste consultable et l abonnement est annonce indisponible.
C est la seule URL sortante du depot qu un UTILISATEUR choisisse, et c est a ce titre qu elle est declaree. Elle passe par src/net/guarded_http.py depuis le 2026-10-02 : resolution avant connexion, refus de toute adresse non publique, connexion a l adresse verifiee en conservant Host et SNI, aucune redirection suivie. Avant cette date, la seule validation etait le schema et le netloc, et une adresse de boucle locale ou de metadonnees d instance etait acceptee. Un refus de la garde est journalise a part du compteur d echecs : celui-ci ne distingue pas un reglage a corriger d une panne passagere, et dix echecs retirent la ligne. Reste a faire : dire au titulaire, au moment ou il enregistre sa cible, qu elle est refusee.
Pagination publique par metadata.nextCursor avec version=latest; plafond configurable MCP_MAX_SERVERS (20 000 par defaut, au-dessus des 20 178 entrees mesurees le 2026-08-14 — le plafond est donc a surveiller); aucune etoile ou telechargement n'est infere.
Constat du 2026-09-07 : le registre est un service de POINTAGE. Sa procedure d inscription exige que l agent publie lui-meme une carte valide sur son propre /.well-known/agent-card.json ; le registre ne detient donc qu une liste d adresses, le contenu restant chez chaque editeur. C est ce qui rend envisageable, un jour, de s en servir comme simple liste d adresses a visiter pour prendre nos propres mesures, sans jamais republier ses champs. Cette bascule reste desactivee par defaut (A2A_PROBE_REGISTRY_SEED) tant que la licence ci-dessus n est pas etablie. Collecte SANS PUBLICATION, decidee le 2026-09-06. Motif : 371 inscriptions pour 198 domaines distincts, dont 26 % pour le seul operateur getvda.ai et environ 15 % sur hebergement ephemere gratuit; un tel nombre est deplacable par un acteur unique et ne mesure pas un ecosysteme. Le releve existe pour rendre calculable, plus tard, la decomposition dans le temps des inscriptions — la seule chose qu un registre puisse dire et que personne ne mesure. Ne pas exposer sans decision explicite, et sans avoir d abord etabli la licence ci-dessus.
C est la source qui produit les chiffres d adoption, de conformite et de fiabilite, et elle n etait pas declaree ici avant le 2026-10-02. Le garde-fou qui verifie la couverture du registre ne lit que les hotes LITTERAUX du code: les domaines de cette sonde viennent du corpus, donc aucun littéral n apparait et le test ne pouvait pas la voir. Toute requete passe par src/net/guarded_http.py: resolution avant connexion, refus de toute adresse non publique, connexion a l adresse verifiee en conservant Host et SNI, aucune redirection suivie en silence. Une lecture qui echoue est enregistree comme telle au lieu d etre reessayee en boucle: c est ce qui rend calculable la duree d un silence.
DESACTIVE par defaut au 2026-10-02 (MCP_ENDPOINT_PROBE=false): aucune requete n est emise vers ces adresses tant que le reglage n est pas pose sur le serveur. Declaree ici AVANT l activation, pour que la decision se prenne sur un registre a jour. Validation du 2026-10-01 sur un echantillon: 91 % des adresses declarees repondent, dont 47 % en demandant une authentification. Meme garde-fou que la sonde de cartes A2A, par src/net/guarded_http.py.
Le code envoie Accept: application/vnd.github+json et X-GitHub-Api-Version: 2022-11-28. Les recherches REST sont espacees de 2,2 s. L'enrichissement GraphQL groupe 100 depots par requete, journalise le cout de points renvoye par rateLimit, conserve les reponses partielles et reutilise pendant sept jours les faits deja releves.
Source de lien uniquement. Les donnees GitHub sont recuperees depuis api.github.com, pas depuis cet hote.
Les appels sont des GET JSON vers /api/v1/search; aucune page HTML Hacker News n'est recuperee.
Source documentaire/de lien uniquement. Les donnees Hacker News sont recuperees depuis hn.algolia.com, pas depuis cet hote.
Le code lit la recherche et les metadonnees publiques d'un package; les champs auteur, mainteneurs et publisher ne sont pas conserves.
Le code calcule des totaux sur 7 et 30 jours a partir de la reponse JSON.
Les donnees npm sont recuperees depuis registry.npmjs.org et api.npmjs.org, pas depuis cet hote.
Le code peut extraire une URL GitHub et la date de derniere publication; les champs auteur et mainteneur ne sont pas conserves.
Le code lit last_day, last_week et last_month dans data.
Le endpoint individuel expose downloads cumule, recent_downloads sur 90 jours et les dates de publication des versions. Les conditions et limites applicables restent a verifier.
Le code recupere les model cards et recherche des modeles par pipelines Hub, tries par downloads.
Le code demande config=default, split=train, offset=0 et length=100. La licence du dataset doit etre verifiee separement.
PapersWithCodeScraper est defini dans src/scrapers/ai_benchmarks.py mais n'est instancie nulle part : audit du 2026-08-12, zero utilisation hors du fichier qui le declare. Aucune requete n'est donc emise vers cet hote. Code mort a supprimer plutot qu'a documenter.
chat.lmsys.org apparait uniquement dans un commentaire de provenance; aucun appel HTTP n'est implemente.