# Snykの代わりになるオープンソース（4件）

ossalt.jp のページ: https://ossalt.jp/alternatives/snyk/

Snykの代替は、コンテナや依存ライブラリに含まれる既知の脆弱性を、自前の仕組みで検査したい場合の選択肢です。オープンソースでは、検査する道具・結果を監視する仕組み・結果を管理する仕組みを組み合わせて使うのが一般的です。

| ツール | ライセンス | 日本語の画面 | Docker | スター | 最終コミット | Scorecard |
|---|---|---|---|---|---|---|
| [Trivy](https://ossalt.jp/md/tools/trivy.md) | Apache-2.0 | 未確認 | あり | 39,102 | 2026-11-06 | 6.4 |
| [Grype](https://ossalt.jp/md/tools/grype.md) | Apache-2.0 | 未確認 | あり | 13,213 | 2026-11-07 | 8.2 |
| [DefectDojo](https://ossalt.jp/md/tools/defectdojo.md) | BSD-3-Clause | あり | あり | 5,192 | 2026-11-05 | 6.3 |
| [Dependency-Track](https://ossalt.jp/md/tools/dependency-track.md) | Apache-2.0 | 未確認 | あり | 4,428 | 2026-11-05 | 7.9 |

## 選び方

- **検査する道具**：TrivyとGrypeは、コンテナや依存ライブラリを検査するツールです。CIに組み込んで、変更のたびに検査する使い方が基本です。
- **継続的な監視**：Dependency-Trackは、使っている部品の一覧（SBOM）を登録しておくと、後から見つかった脆弱性にも気付けるようにします。
- **結果の管理**：DefectDojoは、複数の検査ツールの結果を1か所に集め、対応状況を追うためのツールです。
- **ソースコードの検査**：自社のコードの危険な書き方を見つける検査は、[SonarQubeの代替](/alternatives/sonarqube/)で紹介しているSemgrepが担います。
- **ライセンス**：Trivy・Grype・Dependency-TrackはApache-2.0、DefectDojoはBSD-3-Clauseです。

## 移行するときの注意

- Snykが提供している修正の提案や、修正用のプルリクエストの自動作成は、これらのツールには含まれません。依存ライブラリの自動更新は、別の仕組み（GitHubのDependabotなど）と組み合わせましょう。
- 検査結果には誤検知や、自社の環境では影響しないものも含まれます。「どの深刻度から対応するか」「対応しない場合の記録の残し方」を先に決めておくと、運用が回りやすくなります。

---
データ: ossalt.jp（2026-11-08時点）。「未確認」は「非対応」という意味ではありません。