# Semgrep

SonarQubeの代わりになるオープンソース。SonarQubeの代わりに使える、ソースコードの静的解析ツール。危険な書き方やバグのパターンを検出し、検査のルールをコードに近い書き方で自作できる。

- ossalt.jp のページ: https://ossalt.jp/tools/semgrep/
- 公式サイト: https://semgrep.dev
- GitHub: https://github.com/semgrep/semgrep
- 代わりになるSaaS: SonarQube
- カテゴリ: 認証・パスワード管理
- ライセンス: LGPL-2.1（弱いコピーレフト）
- 画面の日本語翻訳: 未確認
- 日本語のドキュメント: 未確認
- Dockerでの導入: あり
- GitHubのスター: 17,526（直近32日間で+638）
- 最終コミット: 2026-11-06
- OpenSSF Scorecard: 未評価

## よくある質問

**Semgrepは日本語で使えますか？**

当サイトでは、画面の日本語翻訳や日本語のドキュメントを確認できていません。翻訳を別の場所で管理している場合もあるため、日本語に対応していないとは限りません。導入前に実際の画面で確かめてください。

**SemgrepはDockerで動かせますか？**

リポジトリで、Docker用のファイルや公式のコンテナイメージの案内を確認できています。手順は公式のドキュメントに従ってください。

**Semgrepは無料で使えますか？ 業務で使ってもよいですか？**

ライセンスはLGPL-2.1（弱いコピーレフト）です。「弱いコピーレフト」のライセンスで、社内の業務で使うことは認められています。このツール自体のファイルを改変して配布する場合は、その部分のソースコードを公開する条件があります。自分のサーバーで動かす場合も、サーバー代と、アップデートやバックアップなどの運用の手間がかかります。また、一部の機能を有料版だけで提供しているツールもあります。

**Semgrepの開発は続いていますか？**

最後の更新は2日前です。過去12か月のリリースは42回です。GitHubのスターは、直近32日間で638増えています。

**Semgrepのセキュリティの評価は？**

OpenSSF Scorecard の評価はまだありません（評価がないことは、安全・危険のどちらも意味しません）。脆弱性の報告窓口（SECURITY.md）があります。導入後は、セキュリティの更新を確実に適用してください。

**SonarQubeの代わりになる、Semgrep以外のツールは？**

当サイトでSonarQubeの代わりとして掲載しているのは、今のところSemgrepだけです。

---
データ: ossalt.jp（2026-11-08時点。GitHubの公開データとリポジトリの自動調査による）。「未確認」は「非対応」という意味ではありません。導入前に公式の情報を確認してください。