# DefectDojo Snykの代わりになるオープンソース。Snykの代わりに使える、脆弱性の管理ツール。いろいろな検査ツールの結果を取り込んで1か所で管理し、重複をまとめて、修正の進み具合を追える。 - ossalt.jp のページ: https://ossalt.jp/tools/defectdojo/ - 公式サイト: https://www.defectdojo.org - GitHub: https://github.com/DefectDojo/django-DefectDojo - 代わりになるSaaS: Snyk - カテゴリ: 認証・パスワード管理 - ライセンス: BSD-3-Clause（許容型） - 画面の日本語翻訳: あり - 日本語のドキュメント: 未確認 - Dockerでの導入: あり - GitHubのスター: 5,192（直近32日間で+213） - 最終コミット: 2026-11-05 - OpenSSF Scorecard: 6.3 / 10 ## DefectDojoとは DefectDojoは、READMEで「DevSecOps・ASPM（アプリのセキュリティの状態の管理）・脆弱性の管理のツール」と説明されています。セキュリティの検査・脆弱性の追跡・重複の整理・修正・報告を、まとめて扱います。 ### できること（READMEの記載） - いろいろな検査ツールの結果を取り込む（対応するツールの一覧が、公式のドキュメントにあります）。 - 重複した結果をまとめる。 - 修正の進み具合を追い、報告する。 - REST APIで、他の仕組みとつなげる。 ### Snykとの違い Snykは、自分で検査を行うクラウドのサービスです。DefectDojoは、**他の検査ツールの結果を集めて管理する**ツールです（この比較は、READMEの説明からの整理です）。たとえば、Grypeのような検査ツールと組み合わせて使えます。 ### 始め方（READMEの記載） リポジトリを取得して `docker compose up` で起動します。最初の準備には最大3分ほどかかり、管理者のパスワードは、準備の処理のログで確かめます。公開のデモもありますが、誰でも見られ、毎日リセットされるため、大事なデータは入れないよう書かれています。 ### オープンソース版とPro版 READMEによると、オープンソース版の認証は、ローカルのアカウントです。SSO（SAML・OIDC・OAuth）・LDAP・多要素認証はPro版の機能です。Pro版には、新しい画面、リスクに基づく管理、外部サービスとの連携などが加わります。Pro版はSaaSか、自分のサーバー（KubernetesかDocker Compose）で使えます。 ### 向いている人 - 複数の検査ツールを使っていて、結果をまとめて管理したいチーム。 ### 向いていない人 - SSOや多要素認証が必須で、Pro版を使わない人。 ### 注意点 - ライセンスはBSD-3-Clauseです。 - セキュリティの問題は、公開の方針（SECURITY.md）に沿って報告するよう、READMEにあります。 ### 出典と確認の範囲 - 確認した資料：公式リポジトリのREADME・LICENSE（2026-10-29）。 - 確認していないこと：実際の導入、取り込みの精度、Snykとの機能の細かい比較、Pro版の料金。 ## よくある質問 **DefectDojoは日本語で使えますか？** リポジトリに画面の日本語翻訳のファイルがあることを確認できています。翻訳されている範囲はツールによって異なるため、導入前に実際の画面で確かめてください。 **DefectDojoはDockerで動かせますか？** リポジトリで、Docker用のファイルや公式のコンテナイメージの案内を確認できています。手順は公式のドキュメントに従ってください。 **DefectDojoは無料で使えますか？ 業務で使ってもよいですか？** ライセンスはBSD-3-Clause（許容型）です。制限の少ない「許容型」のライセンスで、社内の業務で使うことも、改変することも、広く認められています。配布するときは、著作権の表示などの条件を守る必要があります。自分のサーバーで動かす場合も、サーバー代と、アップデートやバックアップなどの運用の手間がかかります。また、一部の機能を有料版だけで提供しているツールもあります。 **DefectDojoの開発は続いていますか？** 最後の更新は3日前です。過去12か月のリリースは67回です。GitHubのスターは、直近32日間で213増えています。 **DefectDojoのセキュリティの評価は？** OpenSSF Scorecard（第三者による自動の採点）は10点満点中6.3点です（7.5点以上が良好の目安）。脆弱性の報告窓口（SECURITY.md）があります。導入後は、セキュリティの更新を確実に適用してください。 **Snykの代わりになる、DefectDojo以外のツールは？** 当サイトでは、Trivy、Grype、Dependency-Trackも掲載しています。下の比較表で、ライセンスや更新状況を見比べられます。 --- データ: ossalt.jp（2026-11-08時点。GitHubの公開データとリポジトリの自動調査による）。「未確認」は「非対応」という意味ではありません。導入前に公式の情報を確認してください。