SEO Tools: XMLRiver SERP (Google + Yandex)
NPM · SEO-TOOLS-MCP-XMLRIVER · SCANNED SEP 20
Google & Yandex SERP, image/news verticals and URL indexation checks via XMLRiver (read-only).
Available components
How this component scores in each security and reliability category. Every signal is checked automatically from public evidence about the published package, including repeated runs of it in an isolated sandbox, and we only credit what we can confirm. How we score → Why this is hard to score →
Supply Chain Security88
- No malware found by supply-chain analysis.Pass
- CVE check failed: a known medium-severity CVE affects fast-xml-parser 4.5.7, a direct dependency. A fixed version is available. View diagnostics → Fail
- No install/post-install scripts declared.Pass
- 31 of 98 dependencies flagged as unhealthy. View diagnostics → Partial
Provenance & Transparency48
- Source repository is publicly reachable at the declared URL. View diagnostics → Pass
- Provenance check failed: no build-provenance attestation is published. See how to fix → View diagnostics → Fail
- Clear OSI-approved license (MIT).Pass
- Actively maintained (last published 25 days ago).Pass
- Publishes a security disclosure policy (SECURITY.md).Pass
Schema Quality & AI Usability59
- AI-judged instruction clarity (excellent).Pass
- Context-footprint check failed: tool/resource definitions use about 3858 tokens (~385/item across 10 items; 10 tools + 0 resources), over budget; trim descriptions and params. See how to fix → Fail
- Usage-examples check failed: none of the tools include examples. See how to fix → Fail
Stability & Change Management97
- Stability observed for 29 of 30 days with no destabilising changes; credit accrues until the full window elapses.Partial
Tool Coverage95
- 100% of tools have a non-trivial description (not blank, and not just the tool's name).Pass
- 86% of tool parameters carry a description.Partial
Tool Safety100
- No prompt-injection markers were found in the server instructions, tool names or descriptions we captured.Pass
- We read all 10 captured tool definition(s), and no name or description among them implies an irreversible operation.Pass
- An AI judge read all 10 captured unit(s) of tool text and found none that tries to manipulate the model reading it.Pass
Capabilities100
- Implements a supported MCP spec version (2025-11-25); the latest is 2026-07-28.Pass
How do I install the SEO Tools: XMLRiver SERP (Google + Yandex) MCP server?
SEO Tools: XMLRiver SERP (Google + Yandex) runs locally as an npm package, launched with npx -y seo-tools-mcp-xmlriver. Ready-made configuration for Claude, Cursor, VS Code, Codex and 5 more is on this page, copied from each client's own documentation.
npm · seo-tools-mcp-xmlriver
claude mcp add antohins-seo-tools-mcp-xmlriver -- npx -y seo-tools-mcp-xmlriver
{
"mcpServers": {
"antohins-seo-tools-mcp-xmlriver": {
"command": "npx",
"args": [
"-y",
"seo-tools-mcp-xmlriver"
]
}
}
} {
"servers": {
"antohins-seo-tools-mcp-xmlriver": {
"command": "npx",
"args": [
"-y",
"seo-tools-mcp-xmlriver"
]
}
}
} codex mcp add antohins-seo-tools-mcp-xmlriver -- npx -y seo-tools-mcp-xmlriver
{
"$schema": "https://opencode.ai/config.json",
"mcp": {
"antohins-seo-tools-mcp-xmlriver": {
"type": "local",
"command": [
"npx",
"-y",
"seo-tools-mcp-xmlriver"
],
"enabled": true
}
}
} openclaw mcp add antohins-seo-tools-mcp-xmlriver --command npx --arg -y --arg seo-tools-mcp-xmlriver
mcp_servers:
antohins-seo-tools-mcp-xmlriver:
command: "npx"
args: ["-y", "seo-tools-mcp-xmlriver"] {
"McpServers": {
"antohins-seo-tools-mcp-xmlriver": {
"Transport": "stdio",
"Command": "npx",
"Arguments": [
"-y",
"seo-tools-mcp-xmlriver"
]
}
}
} assistant mcp add antohins-seo-tools-mcp-xmlriver -t stdio -c npx -a -y seo-tools-mcp-xmlriver
{
"mcpServers": {
"antohins-seo-tools-mcp-xmlriver": {
"command": "npx",
"args": [
"-y",
"seo-tools-mcp-xmlriver"
]
}
}
} Every change we have recorded for this component, newest first. Security-relevant changes are always shown. ▲ marks a change for the better, ▼ a change for the worse; unmarked changes are neutral.
- 20 Sept 26 +1
No change was recorded against any check on this day. Stability & Change Management went from 93 to 97. That category is still filling its 30-day observation window: 28 days of observed history at the previous scan, 29 at this one. The score rises as the window fills, whether or not the server changes.
- 18 Sept 26 +1
No change was recorded against any check on this day. Stability & Change Management went from 87 to 90. That category is still filling its 30-day observation window: 26 days of observed history at the previous scan, 27 at this one. The score rises as the window fills, whether or not the server changes.
- 16 Sept 26 +1
No change was recorded against any check on this day. Stability & Change Management went from 80 to 83. That category is still filling its 30-day observation window: 24 days of observed history at the previous scan, 25 at this one. The score rises as the window fills, whether or not the server changes.
- 15 Sept 26 −3
- Stability: pass → 0.80 functional
- 14 Sept 26 0
- Stability: 0.97 → pass security
- 13 Sept 26 +1
No change was recorded against any check on this day. Stability & Change Management went from 93 to 97. That category is still filling its 30-day observation window: 28 days of observed history at the previous scan, 29 at this one. The score rises as the window fills, whether or not the server changes.
- 11 Sept 26 +1
No change was recorded against any check on this day. Stability & Change Management went from 87 to 90. That category is still filling its 30-day observation window: 26 days of observed history at the previous scan, 27 at this one. The score rises as the window fills, whether or not the server changes.
- 9 Sept 26 +1
No change was recorded against any check on this day. Stability & Change Management went from 80 to 83. That category is still filling its 30-day observation window: 24 days of observed history at the previous scan, 25 at this one. The score rises as the window fills, whether or not the server changes.
Diagnostic detail from the automated scan of this channel: what the scanner observed at each step, so you can see exactly where a check passed or failed. It is informational only and never changes the trust score.
Captured 20 Sept 2026 · Analysed npm/seo-tools-mcp-xmlriver@1.8.0
Provenance No attestation
The registry publishes no build provenance for this version, so there is nothing to verify.
| Result | No attestation |
|---|---|
| Ecosystem | npm |
Background: How many MCP packages publish verified provenance →
Vulnerabilities 1 finding
| ID | CVE | Severity | Vector | Fix available |
|---|---|---|---|---|
| GHSA-gh4j-gqv2-49f6 | CVE-2026-41650 | medium | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N | yes |
Background: What a vulnerability scan can and cannot prove →
Dependencies 98 packages
| Packages resolved | 98 |
|---|---|
| Stale | 31 |
| Tree resolution | Complete |
Background: SBOMs and build attestations, explained →
The tools this component advertises to a client, with an estimated token cost for each. Expand a tool to see its parameters and schema. The per-tool counts are indicative and are not scored directly; the schema's total context footprint is one signal in Schema Quality & AI Usability. A tool's description is untrusted text the model reads on every call, which is what makes this list a security surface and not just an inventory: how tool poisoning works →
xmlriver_auth_status XMLRiver: auth status ~74
Статус авторизации xmlriver: какие ключи заданы (маскированно), каких не хватает, как их получить. ВЫЗЫВАТЬ ПЕРВЫМ в начале работы с xmlriver. Если чего-то нет — запросить значения у пользователя и сохранить через xmlriver_set_credentials.
Input schema present but exposes no named parameters.
No output schema declared.
No examples provided.
xmlriver_balance XMLRiver: balance ~62
Баланс аккаунта XMLRiver (бесплатный сервисный вызов). Заодно проверка ключей.
| Name | Type | Req | Description |
|---|---|---|---|
| account | string | – | Аккаунт-профиль (мультиаккаунт, см. *_auth_status); пусто = основной |
No output schema declared.
No examples provided.
xmlriver_check_index XMLRiver: check index ~162
Проверка индексации URL в Google/Яндексе через XMLRiver (ПЛАТНО за запрос). Ищет точный URL в выдаче по нему же (inindex). Возвращает { url, engine, indexed, matchedUrl, found }. strict=true — учитывать регистр URL.
| Name | Type | Req | Description |
|---|---|---|---|
| account | string | – | Аккаунт-профиль (мультиаккаунт, см. *_auth_status); пусто = основной |
| engine | string | – | Поисковая система для проверки (inindex работает у обеих) |
| strict | boolean | – | Строгое соответствие регистра URL |
| url | string | yes | Полный URL для проверки индексации (до 1400 символов) |
No output schema declared.
No examples provided.
xmlriver_images XMLRiver: images ~477
Поиск по картинкам Google через XMLRiver (ПЛАТНО: каждые ~10 результатов = 1 платный запрос, пагинация). Возвращает { position, url (страница-источник), imageUrl (сама картинка), title, source, width, height }. Гео-таргетинг: location (город → loc, «Moscow»/«1011969») и country («RU»/«2643», автовыводится из города); применённое гео эхом возвращается в поле geo. truncated: true = выдача кончилась раньше запрошенного depth.
| Name | Type | Req | Description |
|---|---|---|---|
| account | string | – | Аккаунт-профиль (мультиаккаунт, см. *_auth_status); пусто = основной |
| country | string | – | Страна выдачи Google (вертикали Google-only): ISO-код («RU», «US») или числовой id XMLRiver («2643»). Без location — задаёт страну отдельно; с location — перекрывает автовыведенную из города |
| depth | integer | – | Сколько результатов собрать; пагинация — каждые ~10 результатов = 1 платный запрос |
| device | string | – | – |
| location | string | – | Локальная выдача Google по городу (вертикали Google-only, гейта по engine нет): название на английском («Moscow», «Saint Petersburg») или числовой Google criteria ID («1011969»). Резолвится в парамет… |
| os | string | – | ОС устройства: отправляется ТОЛЬКО при device=mobile (по доке os работает только с mobile); для desktop/tablet игнорируется |
| query | string | yes | – |
| region | string | – | «Москва»/«Россия»/213/225 — принимается для совместимости; вертикали — только Google, выдача гео-инвариантна, lr не отправляется |
| searchDomain | string | – | Доменная зона Google (ru/com/de...), по умолчанию ru |
No output schema declared.
No examples provided.
xmlriver_maps XMLRiver: maps ~371
Поиск заведений по Google Maps через XMLRiver (setab=maps, ПЛАТНО за запрос). Обязательные query + coords (широта,долгота) + zoom (1–15); count (5–50) — сколько заведений вернуть. Возвращает { places: [{ title, stars?, type?, address?, url?, phone?, review?, features? (сервисы заведения), lat, lng, place_id?, reviews_count?, accessibility?, price? }], count, found, empty? }. Пустая выдача (код 15) ТАРИФИЦИРУЕТСЯ и помечается { places: [], empty: true, note }. ВАЖНО: формат ответа — по доке XMLRiver, лайвом не подтверждён (на тестовом аккаунте эндпоинт устойчиво отвечает кодом 500 — вероятно, требуется платная опция кабинета XMLRiver).
| Name | Type | Req | Description |
|---|---|---|---|
| account | string | – | Аккаунт-профиль (мультиаккаунт, см. *_auth_status); пусто = основной |
| coords | string | yes | Координаты центра поиска: «широта,долгота», например «51.5468,45.9968» |
| count | integer | – | Сколько заведений вернуть (5–50) |
| query | string | yes | Что ищем на картах («кафе», «стоматология»…) |
| region | string | – | «Москва»/«Россия»/213/225 — ОДИН регион (название или id Яндекса, lr); без него — без гео |
| zoom | integer | yes | Масштаб карты (1–15), обязательный параметр API |
No output schema declared.
No examples provided.
xmlriver_news XMLRiver: news ~508
Поиск по новостям Google через XMLRiver (ПЛАТНО: каждые ~10 результатов = 1 платный запрос, пагинация). Возвращает { position, url, title, source (издание), date (часто относительная), snippet }. Гео-таргетинг: location (город → loc, «Moscow»/«1011969») и country («RU»/«2643», автовыводится из города); применённое гео эхом возвращается в поле geo. truncated: true = выдача кончилась раньше запрошенного depth. period — фильтр по времени (tbs).
| Name | Type | Req | Description |
|---|---|---|---|
| account | string | – | Аккаунт-профиль (мультиаккаунт, см. *_auth_status); пусто = основной |
| country | string | – | Страна выдачи Google (вертикали Google-only): ISO-код («RU», «US») или числовой id XMLRiver («2643»). Без location — задаёт страну отдельно; с location — перекрывает автовыведенную из города |
| depth | integer | – | Сколько результатов собрать; пагинация — каждые ~10 результатов = 1 платный запрос |
| device | string | – | – |
| location | string | – | Локальная выдача Google по городу (вертикали Google-only, гейта по engine нет): название на английском («Moscow», «Saint Petersburg») или числовой Google criteria ID («1011969»). Резолвится в парамет… |
| os | string | – | ОС устройства: отправляется ТОЛЬКО при device=mobile (по доке os работает только с mobile); для desktop/tablet игнорируется |
| period | string | – | Google tbs: qdr:h/qdr:d/qdr:w/qdr:m/qdr:y |
| query | string | yes | – |
| region | string | – | «Москва»/«Россия»/213/225 — принимается для совместимости; вертикали — только Google, выдача гео-инвариантна, lr не отправляется |
| searchDomain | string | – | Доменная зона Google (ru/com/de...), по умолчанию ru |
No output schema declared.
No examples provided.
xmlriver_related_questions XMLRiver: related questions ~327
Блок «Вопросы по теме» (People Also Ask) Google через XMLRiver (setab=rq, ПЛАТНО за запрос). Возвращает { questions: [{ question, title?, snippet?, url? }], count, answers_available, empty?, note? }. ВАЖНО: title/snippet/url (ответы на вопросы) заполняются только при включённой платной опции «Related Questions с ответами» в кабинете XMLRiver (настройки сбора); иначе они пустые (answers_available: false + note), сами вопросы доступны всегда. Отсутствие PAA-блока по запросу (код 15) ТАРИФИЦИРУЕТСЯ и помечается { questions: [], empty: true, note }.
| Name | Type | Req | Description |
|---|---|---|---|
| account | string | – | Аккаунт-профиль (мультиаккаунт, см. *_auth_status); пусто = основной |
| count | integer | – | Сколько вопросов собрать; count — обязательный параметр API XMLRiver (без него ошибка 15), максимум 50 |
| device | string | – | – |
| os | string | – | ОС устройства: отправляется ТОЛЬКО при device=mobile (по доке os работает только с mobile); для desktop/tablet игнорируется |
| query | string | yes | – |
| region | string | – | «Москва»/«Россия»/213/225 — ОДИН регион (название или id Яндекса, lr); без него — без гео |
No output schema declared.
No examples provided.
xmlriver_serp XMLRiver: serp ~1,244
Слепок органической выдачи Google/Yandex через XMLRiver (ПЛАТНО: каждые 10 результатов = 1 платный запрос, depth добирается пагинацией). Возвращает { found, truncated (true = выдача кончилась раньше depth), ai_overview: { present } — флаг присутствия AI Overview у Google; при includeAIOverview=true — { present, available, text?, links? } (полный текст AIO и цитируемые ссылки, ПЛАТНО — ai=1), results: [{ position, url, title, snippet, text_bolds }], serp_features: { sitelinks_top1, packs } }. includeAdditional (только Google) — доп. SERP-блоки из <addresults> в поле additional: knowledge_graph, local_results, related_searches, faq, для прочих — { present: true }; наполнение зависит от платных опций кабинета XMLRiver и наличия блока в выдаче, непришедшие — в additional.unavailable. Пустая выдача (код 15) ТАРИФИЦИРУЕТСЯ и помечается { results: [], empty: true, note }. Гео-таргетинг Google (engine=google): location — локальная выдача по городу («Moscow»/«1011969» → loc), country — страна («RU»/«2643», автовыводится из города); применённое гео эхом возвращается в поле geo. ПРИМЕЧАНИЕ: подсветки <hlword> XMLRiver не отдаёт (проверено лайвом 2026-07), text_bolds всегда пуст.
| Name | Type | Req | Description |
|---|---|---|---|
| account | string | – | Аккаунт-профиль (мультиаккаунт, см. *_auth_status); пусто = основной |
| country | string | – | Страна выдачи Google (только engine=google; для yandex игнорируется): ISO-код («RU», «US») или числовой id XMLRiver («2643»). Без location — задаёт страну отдельно; с location — перекрывает автовывед… |
| depth | integer | – | Сколько органических позиций собрать; добирается пагинацией — каждые 10 результатов = 1 платный запрос |
| device | string | – | – |
| engine | string | – | – |
| exactQuery | boolean | – | Не исправлять запрос (nfpr=1 / noreask=1) |
| excludeAggregators | boolean | – | Исключить домены-агрегаторы из органики (список — XMLRIVER_EXCLUDE_DOMAINS, дефолт: avito/cian/domclick/yandex/m2/youla) |
| includeAIOverview | boolean | – | ПЛАТНО (доп. тарификация XMLRiver), замедляет выдачу: полный текст Обзора от ИИ + цитируемые ссылки (ai=1). Только engine=google; для yandex параметр игнорируется и ai=1 не отправляется |
| includeAdditional | array | – | Дополнительные SERP-блоки Google (additional=, только engine=google; для yandex игнорируется): knowledge_graph — карточка знаний (поля, отзывы, события), localresultsplace — карточки карт (local_resu… |
| includeAds | boolean | – | Добавить рекламные блоки (ads=1): реклама включается в ответ API и отражается строками в packs, отдельной секции нет |
| lang | string | – | Google hl (язык интерфейса), Yandex lang |
| location | string | – | Локальная выдача Google по городу (только engine=google; для yandex игнорируется — гео Яндекса задаётся region/lr): название на английском («Moscow», «Saint Petersburg») или числовой Google criteria… |
| os | string | – | ОС устройства: отправляется ТОЛЬКО при device=mobile (по доке os работает только с mobile); для desktop/tablet игнорируется |
| period | string | – | Google tbs (qdr:m, qdr:y...) / Yandex within (77=сутки, 1=2 недели, 2=месяц) |
| query | string | yes | – |
| region | string | – | «Москва»/«Россия»/213/225 — ОДИН регион (название или id Яндекса, lr). Шлётся только Яндексу; органика Google гео-инвариантна, lr для Google не отправляется. |
| safeSearch | string | – | Безопасный поиск — применяется ТОЛЬКО к Google: moderate = дефолт Google (размытие, параметр НЕ шлётся), strict = safe=on, off = safe=off. Для engine=yandex параметр не отправляется вовсе (у XMLRiver… |
| searchDomain | string | – | Доменная зона: google — ru/com/de... (маппится в числовой id домена, ru → 143), yandex — ru/by/kz (по умолчанию ru) |
No output schema declared.
No examples provided.
xmlriver_set_credentials XMLRiver: set credentials ~193
Сохранить ключи xmlriver в /tmp/.config/seo-tools-mcp/.env (права 600) и применить сразу, без перезапуска сервера. Передавать только обновляемые поля. account — сохранить в именованный профиль (мультиаккаунт). Значения даёт пользователь; в ответе они маскируются.
| Name | Type | Req | Description |
|---|---|---|---|
| XMLRIVER_EXCLUDE_DOMAINS | string | – | Домены-агрегаторы для excludeAggregators, через запятую |
| XMLRIVER_KEY | string | – | API-ключ XMLRiver (личный кабинет xmlriver.com) |
| XMLRIVER_USER | string | – | ID пользователя XMLRiver (личный кабинет xmlriver.com) |
| account | string | – | Имя аккаунта-профиля (мультиаккаунт): ключи сохранятся с суффиксом __<account> |
No output schema declared.
No examples provided.
xmlriver_suggest XMLRiver: suggest ~440
Поисковые подсказки Google через XMLRiver (setab=tips). ПЛАТНО за КАЖДУЮ фразу: N фраз = N списаний, до 50 фраз за вызов. Возвращает { phrases: string[] — плоский список в порядке входных фраз (~10 подсказок на фразу), byPhrase: Record<фраза, string[]> — группировка по входным фразам, если подсказок поровну на фразу (иначе null + note), count, charged (число тарифицированных фраз) }. Гео подсказок: location (город → loc, «Moscow»/«1011969») и country («RU»/«2643») — применённое гео эхом возвращается в поле geo.
| Name | Type | Req | Description |
|---|---|---|---|
| account | string | – | Аккаунт-профиль (мультиаккаунт, см. *_auth_status); пусто = основной |
| country | string | – | Страна выдачи Google (подсказки): ISO-код («RU», «US») или числовой id XMLRiver («2643»). Без location — задаёт страну отдельно; с location — перекрывает автовыведенную из города |
| location | string | – | Локальная выдача Google по городу (подсказки): название на английском («Moscow», «Saint Petersburg») или числовой Google criteria ID («1011969»). Резолвится в параметр loc; при первом использовании с… |
| phrases | array | yes | Фразы для сбора подсказок (1–50; ПЛАТНО за каждую: N фраз = N списаний) |
| region | string | – | «Москва»/«Россия»/213/225 — ОДИН регион подсказок (название или id Яндекса, lr); без него — без гео |
No output schema declared.
No examples provided.
What is the SEO Tools: XMLRiver SERP (Google + Yandex) MCP server?
SEO Tools: XMLRiver SERP (Google + Yandex) is an MCP server listed in the public MCP registry as io.github.antohins/seo-tools-mcp-xmlriver. Google & Yandex SERP, image/news verticals and URL indexation checks via XMLRiver (read-only). This page covers its npm package (seo-tools-mcp-xmlriver).
Is the SEO Tools: XMLRiver SERP (Google + Yandex) MCP server safe to use?
SEO Tools: XMLRiver SERP (Google + Yandex) scores 78 out of 100 on VerifyMCP. We recorded 1 known advisory against it as of 20 September 2026. It declares no install or post-install scripts. That is a record of what we were able to check automatically, not an endorsement. The category breakdown on this page shows every signal behind the number, including the ones we could not confirm.
What tools does the SEO Tools: XMLRiver SERP (Google + Yandex) MCP server expose?
SEO Tools: XMLRiver SERP (Google + Yandex) exposes 10 tools: xmlriver_auth_status, xmlriver_set_credentials, xmlriver_serp, xmlriver_images, xmlriver_news, and 5 more. Their descriptions and schemas cost roughly 3,858 tokens of context every time the server is loaded.
Is the SEO Tools: XMLRiver SERP (Google + Yandex) MCP server still maintained?
SEO Tools: XMLRiver SERP (Google + Yandex) is still listed as active in the MCP registry. We last reached this channel on 20 September 2026. Those dates come from our own scans of the registry and the channel itself, not from anything the publisher announced.
What licence is the SEO Tools: XMLRiver SERP (Google + Yandex) MCP server under?
SEO Tools: XMLRiver SERP (Google + Yandex) declares the MIT licence, which is OSI-approved. That covers the source only, and says nothing about the cost of any service it calls.