Semgrep

Semgrep scanne le code à la recherche de motifs. Les règles ressemblent au code qu’elles reconnaissent, ce qui les rend plus faciles à écrire que les requêtes des analyseurs traditionnels. Les équipes utilisent des règles communautaires pour les vulnérabilités courantes et en écrivent de sur mesure pour leurs propres standards, en lançant les scans dans le CI et sur les machines des développeurs.

La plateforme commerciale ajoute le scan des dépendances, la détection de secrets, et un assistant de tri qui utilise l’IA pour expliquer les résultats, suggérer des correctifs et filtrer les faux positifs probables. Elle s’intègre aux pull requests et aux outils de suivi d’issues.

Le moteur open source est gratuit, avec des offres payantes pour la plateforme. L’analyse statique produit toujours un peu de bruit qui demande un réglage. Les alternatives incluent Snyk Code, GitHub CodeQL, SonarQube, Checkmarx et Veracode. Semgrep convient aux équipes d’ingénierie et de sécurité qui intègrent la sécurité à la revue de code.