漏えいしたキーと危険なコードを
リリース前に発見
GitHubやBitbucketを連携するか、手元のマシンでCLIを実行。リポジトリスキャナーがハードコードされたシークレット、脆弱な依存関係、危険なコード、リスクのあるAIエージェント設定を見つけ、修正を書いてプルリクエストも作成できます。
Fair · Repo Health
Quality Gate: FAILED1
Secrets
4
SAST
2
Dep CVEs
リポジトリスキャナーはScanverraの6つのツールのひとつです。1つのサブスクリプションですべて使えます。
6つのツールを見る分析内容
依存関係、脆弱性、コード品質を1回のスキャンで確認。
SAST & シークレット検出
JS、TS、Pythonの静的解析：SSRF、NoSQLインジェクション、オープンリダイレクト、テンプレートインジェクション、サンドボックスエスケープ、安全でないデシリアライゼーション、エントロピーベースの検出を含むシークレットパターンをカバーします。
依存関係CVEスキャン
npm、Python、Go、Ruby、PHP、Rust、Java、.NET、Dartのロックファイルとマニフェストを、継続的に更新される脆弱性データベースと照合します。CVEは深刻度別に正確な修正バージョンとともに評価され、さらに古いパッケージ検出で最新の利用可能バージョンを表示します。
IaC & 設定のセキュリティ
Dockerfile、docker-compose、Kubernetes (セキュリティコンテキスト、capabilities、ConfigMapシークレット)、GitHub Actions：固定されたaction、write-all権限、スクリプトインジェクションをすべてチェックします。
AI修正 & PR作成
すべての検出結果にAIが作成した修正案が付きます。必要なものを選択すると、Scanverraが GitHub上にプルリクエストを開きます：タイトル、本文、diffはあらかじめ入力済みです。誤検出はインラインコメントで抑制できます。
すべてのスキャンにシークレットスキャンを搭載
すべてのリポジトリスキャンにシークレットスキャンが含まれます。クラウド、決済、メッセージング、AIのAPIキーに特化したパターンと高エントロピー文字列を検出し、SAST、依存関係、IaCの結果と一緒に漏えいした鍵を見つけます。対象はブランチの現在のファイルです。見つかった鍵は削除する前に必ずローテーションしてください。
コマンドラインの方がお好みですか？
@scanverra/cliは自分のマシン上でコードをスキャンします。GitHubやBitbucketとの連携は不要です。Scanverraに送信されるのはスキャン結果のみです。
CLIについて詳しく見るnpx @scanverra/cli scan .使い方
スキャンからマージ済みPRまで、ブラウザを離れることなく完結。
GitHubまたはBitbucketを接続
ワンクリックでOAuth連携：コードの読み取りと、必要に応じてGitHub上でのプルリクエスト作成に必要な権限のみをリクエストします。
リポジトリとブランチを選択
リストから任意のリポジトリを選択します。スキャンするブランチを選択：デフォルトはリポジトリのデフォルトブランチです。
カテゴリー別に結果を確認
Security、Quality、IaC、Dependencies、Analysisの各タブで、深刻度・ファイルパス・行番号ごとにすべての検出結果を確認できます。
修正を適用してPRを作成
AIが提案した修正を承認し、必要に応じてコードを調整してから、ワンクリックでGitHub上にプルリクエストを開きます。
全チェックリスト
SAST、シークレット、依存関係、IaC、コード品質にわたる包括的なシグナル。
あわせて使いたいツール
Scanverraの各ツールはそれぞれ1つの観点をカバーします。この2つが次の観点を補います。
関連記事
Automating Code Quality and Dependency Audits in CI/CD
How to catch vulnerable dependencies, license issues, and quality drift on every pull request instead of during a quarterly cleanup.
npm audit vs. Snyk vs. Dependabot: Choosing the Right Dependency Scanner
Three names that come up constantly, doing genuinely different jobs - and why most teams end up using more than one, not choosing just one.
Understanding CVSS Scores: How to Prioritize Vulnerability Fixes
A 9.8 and a 7.5 aren't just "high" and "medium" - what actually goes into a CVSS score, and why the number alone shouldn't decide what you patch first.
Website Audit
Performance, SEO & accessibility
Security Scanner
Headers, secrets, SSL & CSRF risk
Browser Audit
Broken links, JS errors & forms