認証・パスワード管理 / Open Source
Trivy
Snyk のオープンソース代替。 コンテナと依存関係の脆弱性を検査する。CIに組み込みやすい。
- ライセンス
- Apache-2.0許容型
- 日本語
- 未確認
- Docker
- 対応
- 最終更新
- 2日前 直近90日以内に更新あり
- GitHubのスター
- 3.9万同じカテゴリで3位／28件
掲載ツール全体の上位24%
直近32日間で+831 - OpenSSF Scorecard
- 6.4 / 10良好の目安は7.5以上
Trivyが向いている使い方
- Snykの代わりとして：コンテナや依存ライブラリの脆弱性を、CIの中で手軽に検査したい（Snykの代替をすべて見る）
Trivyを選ぶ前に（掲載データからの要約）
データから分かる強み
- 直近30日以内に更新がある（開発が活発）根拠：最終コミット 2026/11/6
- 直近12か月に13回リリースしている根拠：GitHubのリリース
- OSI承認のライセンス（Apache-2.0）で、商用でも条件が少ない根拠：ライセンス表記
- Dockerでの導入に対応している根拠：リポジトリのDocker関連ファイル
確認しておきたい点・向かない条件
- 公開された脆弱性アドバイザリが5件ある（修正済みを含む。対応状況は公式で確認）根拠：GitHubの公開アドバイザリ
- 日本語の画面・ドキュメントは未確認（「無い」という意味ではない）根拠：日本語対応の確認結果なし
- 導入・運用
- 導入の目安：Dockerで始められる（難易度は未評価）難易度の評価は、診断データのある5つのSaaSの代替のみ。公式の導入手順を確認してください
- 保守・更新
- 最終コミット：2日前／直近12か月のリリース：13回
- 人気・成長
- 人気：ランキング対象391件中130位（Stars・Forks・Contributors）成長：361件中44位（直近7日・30日の実測）計算の根拠を見る →
- 公式の情報
- 公式サイト機能・料金・最新の情報GitHubのREADME導入手順・ドキュメントへの入口リリース一覧最新の版と変更点
掲載データ（GitHubの公開情報・OpenSSF Scorecard・OSSALTの記録）から自動で作っています。値が無い項目は、強みにも弱みにもせず「未確認」と示しています。導入前に、公式の最新の情報を確認してください。
Trivyとは
未検証この解説は、公式資料との照合を記録していません。導入前に、公式の情報でご確認ください。
検証状態の意味
- 公式資料確認済み公式のドキュメント・README・公式サイトと照らして確認した（照合日と出典を記録）
- 実機検証済み実際に動かして確認した（確認した内容と日付を記録）
- 要再確認以前に確認したが、時間がたっている・内容が変わった可能性があり、再確認が必要
- 未検証照合の記録がない。導入前に公式の情報で確認する
Trivy（トリビー）は、ソフトウェアに含まれる既知の脆弱性や、危ない設定を見つけるための検査ツールです。1つのツールで、コンテナのイメージ、プログラムの依存関係、Kubernetesやインフラの設定ファイルなど、いろいろな対象を検査できます。
できること
- コンテナのイメージの検査：イメージに含まれるOSのパッケージやライブラリに、既知の脆弱性がないかを調べます。
- 依存関係の検査：プロジェクトが使っているライブラリの脆弱性を調べます。
- 設定ファイルの検査：Dockerfile、Kubernetesの設定、Terraformなどの書き方に、危ない設定がないかを調べます。
- 秘密の情報の検出：パスワードやAPIキーが、コードに書き込まれていないかを調べます。
- SBOMの作成：使っている部品の一覧（SBOM）を作れます。
Snykとの違い
Snykは、脆弱性の検査と、修正の提案、管理の画面などを、クラウドのサービスとして提供しています。Trivyは、コマンドで動く検査の道具で、自分のパソコンやCIの中で、無料で使えます。検査の結果をまとめて管理したい場合は、DefectDojoやDependency-Trackと組み合わせる方法があります。
CIでの使い方
CIの中でコンテナのイメージを作ったあとにTrivyで検査し、深刻な脆弱性が見つかったら止める、という使い方が一般的です。最初から厳しくしすぎると、すぐには直せない問題で開発が止まるので、まず「重大」だけを対象にして、少しずつ広げるのが無理のない進め方です。
注意点
- 見つかるのは「既知の」脆弱性です。検査で何も出なくても、安全が保証されるわけではありません。
- 脆弱性の情報のデータベースは、検査のたびに更新して使います。古い情報のまま検査しないよう注意してください。
- CIで使う場合は、Trivy自体や、使う部品（GitHub Actionsなど）のバージョンを固定し、更新の内容を確認してから上げると安心です。
- ライセンスはApache-2.0です。
Snykの代替のページで、ほかの候補も比べられます。
解説の最終更新：2026/10/06。機能や提供条件は変わることがあるため、導入前に公式の情報をご確認ください。
健全度スコア
健全度
- スター × 0.2539,102
- フォーク × 0.5834
- コントリビュータ × 0.5563
- ウォッチャー × 0.25227
- 更新の新しさ − 日数 × 0.52日前
スペック
- ライセンス
- Apache-2.0
- 主な言語
- Go
- 最終コミット
- 2026/11/062日前
- 公開開始
- 2019/04/11
- Docker対応
- 対応
- 画面の日本語化
- 未確認
- 日本語ドキュメント
- 未確認
ライセンス表記は「Apache-2.0」。最終コミット2026/11/06時点の情報です。
OSI承認のオープンソース分類：許容型（同じ種類のツール一覧）
「Apache-2.0」はOSI（Open Source Initiative）が承認したオープンソースライセンスです（許容型）。 出典：GitHub APIのライセンス判定（SPDX）。
Trivyについてよくある質問
- Trivyは日本語で使えますか？
- 当サイトでは、画面の日本語翻訳や日本語のドキュメントを確認できていません。翻訳を別の場所で管理している場合もあるため、日本語に対応していないとは限りません。導入前に実際の画面で確かめてください。
- TrivyはDockerで動かせますか？
- リポジトリで、Docker用のファイルや公式のコンテナイメージの案内を確認できています。手順は公式のドキュメントに従ってください。
- Trivyは無料で使えますか？ 業務で使ってもよいですか？
- ライセンスはApache-2.0（許容型）です。制限の少ない「許容型」のライセンスで、社内の業務で使うことも、改変することも、広く認められています。配布するときは、著作権の表示などの条件を守る必要があります。自分のサーバーで動かす場合も、サーバー代と、アップデートやバックアップなどの運用の手間がかかります。また、一部の機能を有料版だけで提供しているツールもあります。
- Trivyの開発は続いていますか？
- 最後の更新は2日前です。過去12か月のリリースは13回です。GitHubのスターは、直近32日間で831増えています。
- Trivyのセキュリティの評価は？
- OpenSSF Scorecard（第三者による自動の採点）は10点満点中6.4点です（7.5点以上が良好の目安）。脆弱性の報告窓口（SECURITY.md）があります。導入後は、セキュリティの更新を確実に適用してください。
- Snykの代わりになる、Trivy以外のツールは？
- 当サイトでは、Grype、DefectDojo、Dependency-Trackも掲載しています。下の比較表で、ライセンスや更新状況を見比べられます。
回答は掲載データ（GitHubの公開情報と、リポジトリの自動調査）から作成しています（2026/11/09時点）。
公式の説明（英語）
Find vulnerabilities, misconfigurations, secrets, SBOM in containers, Kubernetes, code repositories, clouds and more - aquasecurity/trivy
トピック
containersdevsecopsdockergogolanghacktoberfestiacinfrastructure-as-codekubernetesmisconfigurationsecuritysecurity-toolsvulnerabilityvulnerability-detection
Snyk の代替候補を比較
| ツール | 主な代替対象 | スター | ライセンス | Docker対応 | 健全度 | セキュリティ |
|---|---|---|---|---|---|---|
| Trivy | Snyk | 3.9万 | Apache-2.0 | 対応 | 10,530 | Scorecard6.4 |
 Grype | Snyk | 1.3万 | Apache-2.0 | 対応 | 3,872 | Scorecard8.2 |
 DefectDojo | Snyk | 5,192 | BSD-3-Clause | 対応 | 2,659 | Scorecard6.3 |
 Dependency-Track | Snyk | 4,428 | Apache-2.0 | 対応 | 1,624 | Scorecard7.9 |
あなたの条件（ライセンス・Docker・日本語など）で、Snykの代替を並べ替える
乗り換えを検討するときは、機能の一致度より「移行コスト」と「運用コスト」で見るほうが失敗しにくいです。下の表でライセンスとDocker対応を確認してください。
Trivy とほかの候補を比べる
同じカテゴリのツール
- Vaultwarden （Bitwarden の代替）
- Keycloak （Auth0 の代替）
- Headscale （Tailscale の代替）
- Nuclei （Burp Suite の代替）
- Infisical （HashiCorp Vault の代替）
Trivyの開発者の方へ：掲載バッジ
READMEなどに貼ると、このページへのリンクになります。貼るかどうかで、掲載の順番や評価が変わることはありません。
[](https://ossalt.jp/tools/trivy/)[](https://ossalt.jp/tools/trivy/)<a href="https://ossalt.jp/tools/trivy/"><img src="https://ossalt.jp/badges/listed-en.svg" alt="Listed on ossalt.jp" height="28"></a>