Semgrep

Descripción

Semgrep es un escáner de análisis estático que detecta vulnerabilidades, errores de seguridad, problemas de estilo, etc., mediante reglas personalizables.

Uso local

# Escaneo básico
semgrep scan --config=p/ci .

# Escaneo con reglas personalizadas
semgrep scan --config=rules/mi_regla.yml .

Reportes

• JSON, JUnit, SARIF.

• Integración con GitHub Security tab.

Integración en CI/CD

• Semgrep Action ejecuta Semgrep en entornos de CI. También puede conectarse a la aplicación Semgrep para configurar reglas y revisar hallazgos en una interfaz web.

- uses: returntocorp/semgrep-action@v1

Integraciones

• GitHub, Jira (con integración pagada o scripts).

• Slack, Teams, Plane.

• VSCode: extensión oficial para ejecutar reglas locales.

UI

• Dashboard web gratuito (requiere cuenta).

Licencia

• Versión gratuita OSS.

• Versión empresarial con dashboard avanzado.

Facilidad de uso

• Fácil. Reglas YAML simples de entender.