オープンソース

小さなチームのための無料のセキュリティツール

セキュリティ担当者がいない会社のエンジニア向けに、やりたいことごとに1つずつ選んだオープンソースのツールです。どれもオープンソースのライセンスで、無料で使えます。有料版がある場合はそう書いています。各ツールの最終コミット・最新リリース・ライセンス・GitHub のスター数・OpenSSF Scorecard の点数は毎日確認しています。スター数は広く使われているかの目安で、安全の保証ではありません。Scorecard の点数は、そのプロジェクトが自分のコードとリリースをどう守っているかの評価です。

ランサムウェアの後でも戻せるバックアップを取る

ランサムウェアは、手の届くバックアップも暗号化します。サーバーから消せない場所に暗号化した複製を置き、実際に戻せるか試しておきます。

おすすめ無料コマンド

restic

restic/restic

ローカルディスク・SFTP・S3 互換ストレージへの、暗号化と重複排除付きのバックアップ。単一のバイナリで動きます。

試す

restic init --repo /srv/backup

ライセンス: BSD-2-Clause
最終コミット: 2026-10-18
最新リリース: v0.19.1 · 2026-07-05
GitHub のスター: 3.7万
OpenSSF Scorecard: 7.3 / 10 · 2026-10-19

ほかの選択肢無料コマンド

BorgBackup

borgbackup/borg

SSH 経由の暗号化・重複排除バックアップ。追記のみのリポジトリにすれば、乗っ取られたサーバーからは消せません。

ライセンス: BSD-3-Clause
最終コミット: 2026-10-27
最新リリース: 1.4.5 · 2026-07-18
GitHub のスター: 1.4万
OpenSSF Scorecard: 6.4 / 10 · 2026-10-26

サーバーの未更新パッケージを見つける

外部からのスキャンでは、バックポートされた修正は見えません。サーバー内部のパッケージ一覧なら分かります。PHP や OpenSSL の修正が入ったかを確かめる方法です。

おすすめ無料コマンド

Vuls

future-architect/vuls

Linux・FreeBSD 向けのエージェント不要の脆弱性スキャナー。SSH でインストール済みパッケージを読み、公開されている脆弱性情報と照合します。

ライセンス: GPL-3.0
最終コミット: 2026-10-28
最新リリース: v0.42.0 · 2026-10-15
GitHub のスター: 1.2万
OpenSSF Scorecard: 8.1 / 10 · 2026-10-28

ほかの選択肢無料版あり（有料版も提供）コマンド

Lynis

CISOfy/lynis

Linux・macOS のサーバーの設定を監査し、具体的な堅牢化の手順を挙げます。git で取得したまま、インストールなしで動きます。

試す

cd lynis && ./lynis audit system

ライセンス: GPL-3.0
最終コミット: 2026-09-16
最新リリース: 3.1.7 · 2026-06-25
GitHub のスター: 1.7万
OpenSSF Scorecard: 5.2 / 10 · 2026-10-26

依存ライブラリの既知の脆弱性を見つける

出荷するコードの大半は他人のコードです。変更のたびに、ロックファイルを公開された脆弱性情報と照合します。

おすすめ無料コマンド

OSV-Scanner

google/osv-scanner

npm・Composer・PyPI・Go・Maven などのロックファイルを読み、OSV.dev のデータベースと照合します。

試す

osv-scanner scan source -r .

ライセンス: Apache-2.0
最終コミット: 2026-10-28
最新リリース: v2.7.0 · 2026-10-12
GitHub のスター: 1.1万
OpenSSF Scorecard: 8.6 / 10 · 2026-10-28

デプロイ前にコンテナイメージを検査する

1年前に取得したベースイメージには、1年分の未修正パッケージが残っています。

おすすめ無料コマンド

Grype

anchore/grype

コンテナイメージやプロジェクトのディレクトリから、脆弱なパッケージを見つけます。

試す

grype alpine:latest

ライセンス: Apache-2.0
最終コミット: 2026-10-27
最新リリース: v0.121.0 · 2026-10-19
GitHub のスター: 1.3万
OpenSSF Scorecard: 8.2 / 10 · 2026-05-18

ほかの選択肢無料コマンド

Trivy

aquasecurity/trivy

イメージ・ファイルシステム・IaC ファイルから、脆弱なパッケージ、漏れた秘密情報、設定ミスを見つけます。

試す

trivy image python:3.4-alpine

ライセンス: Apache-2.0
最終コミット: 2026-10-28
最新リリース: v0.76.1 · 2026-10-21
GitHub のスター: 3.9万
OpenSSF Scorecard: 6.4 / 10 · 2026-03-16

セキュリティ事故 · 2026-03-19

盗まれた認証情報を使った攻撃者が、悪意のある Trivy v0.69.4 と Docker Hub のイメージ v0.69.5・v0.69.6 を公開し、trivy-action と setup-trivy のタグを CI の秘密情報を盗むコードに書き換えました（CVE-2026-33634）。v0.69.3 以前、trivy-action 0.35.0、Homebrew の公式 formula は影響を受けていません。該当するバージョンを動かしたパイプラインがあれば、そこから読めた秘密情報を無効化し、GitHub Actions はコミットの SHA で固定してください。

公式の発表

依存ライブラリの更新を手作業なしで続ける

修正は、取り込んで初めて効きます。更新のプルリクエストを自動で作るボットがあれば、その遅れを短くできます。

おすすめ無料CI・ボット

Renovate

renovatebot/renovate

依存ライブラリを更新するプルリクエストを、設定どおりにまとめて、決めた時間に作ります。GitHub・GitLab・Bitbucket などに対応します。

ライセンス: AGPL-3.0
最終コミット: 2026-10-28
最新リリース: 44.192.2 · 2026-10-28
GitHub のスター: 2.3万
OpenSSF Scorecard: 6.7 / 10 · 2026-10-28

git に入ってしまったパスワードや API キーを見つける

後のコミットで消したキーも、履歴には残っています。一度は履歴全体を調べ、その後はコミットごとに調べます。

おすすめ無料コマンド

Gitleaks

gitleaks/gitleaks

git の履歴・ディレクトリ・標準入力から秘密情報を探します。pre-commit フックや CI でも動きます。

試す

gitleaks git -v

ライセンス: MIT
最終コミット: 2026-10-23
最新リリース: v8.30.1 · 2026-03-21
GitHub のスター: 3万
OpenSSF Scorecard: 未評価

ほかの選択肢無料版あり（有料版も提供）コマンド

TruffleHog

trufflesecurity/trufflehog

秘密情報を見つけ、それがまだ有効かを確かめます。有効なものから先に無効化できます。

試す

trufflehog git file://. --results=verified

ライセンス: AGPL-3.0
最終コミット: 2026-10-28
最新リリース: v3.99.7 · 2026-10-24
GitHub のスター: 2.9万
OpenSSF Scorecard: 7.9 / 10 · 2026-10-19

自社のコードの危険な書き方を見つける

文字列を連結した SQL、エスケープしない出力、利用者の入力を渡すシェル呼び出しは、レビューで見つければ安く、本番で見つかると高くつきます。

おすすめ無料版あり（有料版も提供）コマンド

Semgrep Community Edition

semgrep/semgrep

30以上の言語に対応する、パターンによる静的解析。無料のエンジンはファイル単位の解析で、ファイルをまたぐ解析は有料のプラットフォームにあります。

ライセンス: LGPL-2.1
最終コミット: 2026-10-28
最新リリース: v1.182.0 · 2026-10-20
GitHub のスター: 1.7万
OpenSSF Scorecard: 未評価

ほかの選択肢無料コマンド

Opengrep

opengrep/opengrep

Semgrep のエンジンをコミュニティが引き継いだ、完全なオープンソースのフォーク。ルールは自分で用意します。

試す

opengrep scan -f rules code

ライセンス: LGPL-2.1
最終コミット: 2026-10-28
最新リリース: v1.33.0 · 2026-10-27
GitHub のスター: 3257
OpenSSF Scorecard: 未評価

GitHub Actions のワークフローを点検する

信頼できない入力を実行したり、バージョンを固定しないアクションを使ったりするワークフローは、プルリクエストを開いた誰かにデプロイ用の鍵を渡しかねません。

おすすめ無料コマンド

zizmor

zizmorcore/zizmor

GitHub Actions の静的解析。テンプレートインジェクション、固定されていないアクション、認証情報の漏えい、広すぎる権限を見つけます。

試す

zizmor .github/workflows/

ライセンス: MIT
最終コミット: 2026-10-28
最新リリース: v1.31.1 · 2026-10-15
GitHub のスター: 6816
OpenSSF Scorecard: 未評価

ほかの選択肢無料CI・ボット

OpenSSF Scorecard

ossf/scorecard

ブランチ保護、依存の固定、署名付きリリースなど、リポジトリのセキュリティの取り組みを採点します。依存先を選ぶときの判断材料にもなります。

試す

scorecard --repo=github.com/ossf/scorecard

ライセンス: Apache-2.0
最終コミット: 2026-10-28
最新リリース: v5.6.0 · 2026-10-12
GitHub のスター: 5796
OpenSSF Scorecard: 8.6 / 10 · 2026-10-28

自社の Web アプリによくある穴がないか試す

自社の検証環境にだけ使い、他人のサイトには使わないでください。ベースラインスキャンは観察だけ、アクティブスキャンは攻撃を送ります。

おすすめ無料コマンド

ZAP

zaproxy/zaproxy

Web アプリのスキャナー兼プロキシ。ベースラインスキャンは、攻撃をせずに、足りないヘッダーや Cookie の属性などを報告します。

試す

docker run -t ghcr.io/zaproxy/zaproxy:stable zap-baseline.py -t https://staging.example.com

ライセンス: Apache-2.0
最終コミット: 2026-10-28
最新リリース: v2.17.0 · 2025-12-15
GitHub のスター: 1.6万
OpenSSF Scorecard: 6.8 / 10 · 2026-10-19

ほかの選択肢無料版あり（有料版も提供）コマンド

Nuclei

projectdiscovery/nuclei

テンプレートで動くスキャナー。既知の CVE、公開されたままの管理画面、設定ミスのテンプレートがコミュニティから提供されています。

ライセンス: MIT
最終コミット: 2026-10-28
最新リリース: v3.11.1 · 2026-08-08
GitHub のスター: 3.2万
OpenSSF Scorecard: 6.8 / 10 · 2026-10-19

TLS の設定を確認する

古いプロトコル、弱い暗号、不完全な証明書チェーンは、どれも外から見えます。

おすすめ無料コマンド

testssl.sh

testssl/testssl.sh

サーバーのプロトコル、暗号、証明書チェーン、既知の TLS の欠陥を調べます。bash と openssl だけで動くシェルスクリプトです。

試す

docker run --rm -it ghcr.io/testssl/testssl.sh example.com

ライセンス: GPL-2.0
最終コミット: 2026-10-28
最新リリース: v3.2.4 · 2026-07-12
GitHub のスター: 9253
OpenSSF Scorecard: 未評価

ほかの選択肢無料コマンド

SSLyze

nabla-c0d3/sslyze

高速な TLS スキャナー。選んだ Mozilla の推奨設定からサーバーが外れたら、CI のジョブを失敗させられます。

ライセンス: AGPL-3.0
最終コミット: 2026-10-28
最新リリース: 6.3.1 · 2026-03-29
GitHub のスター: 3795
OpenSSF Scorecard: 3.1 / 10 · 2026-10-19

サイトの停止や証明書の期限切れに気づく

証明書の期限切れは、攻撃と同じくらい確実にサイトを止めます。しかも数週間前から分かっています。

おすすめ無料常駐サービス

Uptime Kuma

louislam/uptime-kuma

自分で動かす死活監視。HTTP・TCP・DNS などを監視し、証明書の期限切れもメールや Slack などに知らせます。

試す

docker run -d --restart=always -p 3001:3001 -v uptime-kuma:/app/data --name uptime-kuma louislam/uptime-kuma:2

ライセンス: MIT
最終コミット: 2026-10-28
最新リリース: 2.5.8 · 2026-10-26
GitHub のスター: 9.3万
OpenSSF Scorecard: 未評価

ほかの選択肢無料常駐サービス

Gatus

TwiN/gatus

証明書の期限を含む監視条件を YAML で書く死活監視。ステータスページも付きます。

ライセンス: Apache-2.0
最終コミット: 2026-10-28
最新リリース: v5.38.0 · 2026-10-28
GitHub のスター: 1.2万
OpenSSF Scorecard: 未評価

自社のドメインをかたるメールを止める

SPF・DKIM と、強制するように設定した DMARC がなければ、誰でも自社の名前で請求書を送れてしまいます。

おすすめ無料コマンド

checkdmarc

domainaware/checkdmarc

ドメインの SPF・DMARC・MX・MTA-STS・BIMI のレコードを検査し、何が問題かを示します。

試す

checkdmarc example.com

ライセンス: Apache-2.0
最終コミット: 2026-10-13
最新リリース: 6.0.4 · 2026-10-13
GitHub のスター: 324
OpenSSF Scorecard: 未評価

ほかの選択肢無料常駐サービス

parsedmarc

domainaware/parsedmarc

メール事業者から届く DMARC レポートを読み取ります。ポリシーを強制する前に、誰が自社の名前で送っているかが分かります。

ライセンス: Apache-2.0
最終コミット: 2026-10-27
最新リリース: 11.1.0 · 2026-10-27
GitHub のスター: 1311
OpenSSF Scorecard: 5.7 / 10 · 2026-10-19

総当たりのログインやスキャンを遮断する

公開したサーバーには、数分でパスワードの推測が届きます。送信元を自動で遮断します。

おすすめ無料版あり（有料版も提供）常駐サービス

CrowdSec

crowdsecurity/crowdsec

ログから攻撃を検知し、ファイアウォール・Web サーバー・CDN で送信元を遮断します。利用者の間で共有される IP の遮断リストもあります。

ライセンス: MIT
最終コミット: 2026-10-28
最新リリース: v1.8.2 · 2026-10-26
GitHub のスター: 1.5万
OpenSSF Scorecard: 7.3 / 10 · 2026-10-26

ほかの選択肢無料常駐サービス

Fail2ban

fail2ban/fail2ban

失敗が続いた IP アドレスを遮断する、昔からあるログ監視。SSH・メール・Web のログインに使えます。

ライセンス: GPL-2.0
最終コミット: 2026-10-27
最新リリース: 1.1.1 · 2026-08-15
GitHub のスター: 1.9万
OpenSSF Scorecard: 4.8 / 10 · 2026-10-26

PHP のサイトの前に WAF を置く

WAF は脆弱な PHP を直しませんが、修正までの間、よくある攻撃をふるい落とします。

おすすめ無料ルール集

OWASP CRS

coreruleset/coreruleset

ModSecurity・Coraza などの WAF で使う標準的なオープンなルール集。OWASP Top 10 に対応します。

ライセンス: Apache-2.0
最終コミット: 2026-10-26
最新リリース: v4.30.0 · 2026-10-02
GitHub のスター: 3333
OpenSSF Scorecard: 7.5 / 10 · 2026-10-26

ほかの選択肢無料常駐サービス

Coraza

corazawaf/coraza

ModSecurity のルールと互換の WAF エンジン。Caddy・Envoy・HAProxy のプラグインとして使えます。

ライセンス: Apache-2.0
最終コミット: 2026-10-28
最新リリース: v3.8.1 · 2026-10-02
GitHub のスター: 3972
OpenSSF Scorecard: 8.9 / 10 · 2026-10-26

表計算ファイルを使わずにチームでパスワードを共有する

共有のログイン情報は、表計算ファイルやチャットに流れがちです。チーム用の保管庫なら、必要なものだけを渡し、後から取り消せます。

おすすめ無料常駐サービス

Vaultwarden

dani-garcia/vaultwarden

Bitwarden のアプリやブラウザ拡張と互換の、軽量な非公式サーバー。組織と共有にも対応します。

ライセンス: AGPL-3.0
最終コミット: 2026-10-28
最新リリース: 1.37.4 · 2026-10-05
GitHub のスター: 7万
OpenSSF Scorecard: 未評価

ほかの選択肢無料版あり（有料版も提供）常駐サービス

Passbolt Community Edition

passbolt/passbolt_api

共有を中心に作られた、自分で動かすチーム向けパスワード管理。項目ごとに権限を設定できます。

ライセンス: AGPL-3.0
最終コミット: 2026-10-20
最新リリース: v5.17.0 · 2026-10-20
GitHub のスター: 6193
OpenSSF Scorecard: 4.1 / 10 · 2026-10-26

AI コーディングエージェントに破壊的なコマンドを実行させない

シェルを使えるエージェントは、確認を承認するわずかな間に git reset --hard や間違ったディレクトリへの rm -rf を実行したり、.env を読んだりできます。

おすすめ無料コマンドこのサイトの作者が作ったツール

CC Safety Net

kenryu42/cc-safety-net

エージェントが実行する前にコマンドを解析し、破壊的な git やファイル操作、秘密情報の読み取りを止めるフック。Claude Code・Codex・Cursor などのコーディング CLI に対応します。

試す

npx -y cc-safety-net@latest install

ライセンス: MIT
最終コミット: 2026-10-28
最新リリース: v2.7.0 · 2026-10-27
GitHub のスター: 1843
OpenSSF Scorecard: 未評価

追加や訂正を提案する（data/tools.yaml）