# SonarQubeの代わりになるオープンソース（1件）

ossalt.jp のページ: https://ossalt.jp/alternatives/sonarqube/

Semgrepは、ソースコードの中の危険な書き方や、決めたルールに反する書き方を見つけるツールです。検査のルールを自分で書きやすいのが特徴で、CIに組み込んで変更のたびに検査する使い方に向いています。

| ツール | ライセンス | 日本語の画面 | Docker | スター | 最終コミット | Scorecard |
|---|---|---|---|---|---|---|
| [Semgrep](https://ossalt.jp/md/tools/semgrep.md) | LGPL-2.1 | 未確認 | あり | 17,526 | 2026-11-06 | 未評価 |

## 導入前に確認したいこと

- **SonarQubeとの違い**：SonarQubeは、コードの品質の指標（重複や複雑さなど）を画面で継続的に管理する機能が充実しています。Semgrepは、危険な書き方の検出に重きを置いています。
- **依存ライブラリの検査**：使っているライブラリの脆弱性の検査は、[Snykの代替](/alternatives/snyk/)で紹介しているTrivyなどと組み合わせましょう。
- **ライセンス**：SemgrepはLGPL-2.1です。

## 移行するときの注意

- 検査のルールは、最初から厳しくしすぎると誤検知の対応に追われます。重要なルールから少しずつ有効にしていきましょう。
- SonarQubeで管理していた品質の指標や過去の結果は、移行先には移りません。

---
データ: ossalt.jp（2026-11-08時点）。「未確認」は「非対応」という意味ではありません。