Semgrep

Semgrep analiza el código en busca de patrones. Sus reglas se parecen al código que identifican, por lo que resultan más fáciles de escribir que las consultas de los analizadores tradicionales. Los equipos usan reglas de la comunidad para vulnerabilidades comunes y crean otras para sus propias normas; ejecutan los análisis en CI y en los equipos de desarrollo.

La plataforma comercial añade análisis de dependencias, detección de secretos y un asistente de clasificación que usa IA para explicar hallazgos, sugerir correcciones y filtrar los posibles falsos positivos. Se integra con pull requests y gestores de issues.

El motor de código abierto es gratuito y la plataforma tiene planes de pago. El análisis estático siempre produce algo de ruido que hay que ajustar. Entre las alternativas están Snyk Code, GitHub CodeQL, SonarQube, Checkmarx y Veracode. Semgrep sirve a equipos de ingeniería y seguridad que incorporan controles de seguridad a la revisión de código.