無料のソースコードセキュリティスキャン：脆弱なコード、依存関係、漏えいしたシークレットを発見
Ostorlabで.zipやGitHub、GitLab、Bitbucket、Azure DevOpsのリポジトリを無料でスキャンできます。コード、脆弱な依存関係、ハードコードされたシークレットを静的解析し、レポートをメールでお届けします。
無料のソースコードセキュリティスキャン：脆弱なコード、依存関係、漏えいしたシークレットを発見
要点：Ostorlabでは、ソースコードの脆弱性を無料でスキャンできます。.zipをアップロードするか、リポジトリを接続してください。無料スキャンは、コード、依存関係、ハードコードされたシークレットの3点を確認します。レポートはメールで届きます。
無料スキャンの確認対象
| 確認項目 | 検出するもの | 例 |
|---|---|---|
| コード（静的アプリケーションセキュリティテスト（SAST）） | 自社コードの安全でないパターン | ユーザー入力から組み立てたSQL、弱い暗号、安全でないデシリアライゼーション |
| 依存関係（ソフトウェア構成分析（SCA）） | 既知のCVEがあるライブラリ | 公開エクスプロイトがある古いログやXMLのライブラリ |
| シークレット | コードにコミットされた認証情報 | AWSキー、APIトークン、秘密鍵、データベースのパスワード |
このスキャンは静的です。ビルドや実行は行わないため、どのブランチでも安全に実行できます。
開始する2つの方法
- .zipをアップロード。 最も手早い方法です。プロジェクトをアーカイブし、ostorlab.coのフォームにドロップして、メールアドレスを入力します。
- リポジトリを接続。 OstorlabプラットフォームでGitHub、GitLab、Bitbucket、Azure DevOps、自己ホスト型Gitを連携し、リポジトリを選びます。
シークレットの漏えいが特に重要な理由
漏えいしたキーは、攻撃チェーンの最初の足掛かりになることがよくあります。リポジトリに残されたトークンがAPIでまだ受け入れられ、モバイルアプリから使われる場合があります。個別のスキャンでは問題がないように見えても、組み合わせると攻撃経路が形成されます。Ostorlabの有料マルチアセットスキャンは、コード、API、アプリをまとめてテストし、こうした経路を見つけます。キーが漏えいする仕組みや確認方法については、ハードコードされたキーとシークレットの検出と検証をご覧ください。
無料スキャンの対象外
無料スキャンは、コードのビルドや実行、検出した問題の悪用を試みません。動作中のアプリで実際に悪用可能な検出結果を確認するには、Agentic Deep Scanを使用してください。両者を組み合わせる方法は、AIエージェントはSASTの検出結果を実行時に実証できるかで説明しています。
先にツールを比較したい場合は、2026年の優れたSASTツールをご覧ください。
自社のコードで試す：ソースコードを無料でスキャン。
よくある質問
GitHubリポジトリ向けの無料SASTツールはありますか？ はい。OstorlabはGitHub、GitLab、Bitbucket、Azure DevOps、自己ホスト型Gitのリポジトリと.zipアーカイブを無料でスキャンします。
無料のソースコードスキャンはハードコードされたシークレットを検出しますか？ はい。AWSキー、APIトークン、秘密鍵、データベースのパスワードなど、コードにコミットされた認証情報を探します。
無料のソースコードスキャンはコードを実行しますか？ いいえ。コード、依存関係、シークレットを静的解析します。ビルドや実行は行いません。
どの言語に対応していますか？ 複数の言語を使うリポジトリや、言語が混在するリポジトリに対応しています。対応言語の一覧をご覧ください。