SafeWeave

SafeWeave

AI が作成したコード向けのセキュリティスキャナーです。SafeWeave は MCP を介して AI エディター（Claude Code、Cursor、VS Code、Windsurf）内で動作し、コードの脆弱性、漏えいしたシークレット、リスクのある依存関係、IaC およびコンテナの問題をチェックします。そのため、アシスタントは同じターン内に検出事項を修正できます。

• npm： safeweave-mcp
• 公式 MCP レジストリ： dev.safeweave/safeweave
• ウェブサイト： safeweave.dev · safeweave.dev/scan で登録なしのスキャンをお試しいただけます

このリポジトリは SafeWeave のオープンコア部分です。スキャナーエンジン（packages/scanners）、スキャンゲートウェイ（packages/gateway）、共有型（packages/common）、Docker ファイル、Claude Code スキルが含まれています。MCP サーバー自体は npm で提供されています。

クイックスタート

コマンドを 1 つ実行するだけです。スキャナーをダウンロードし、検出したすべてのエディターを設定します。

npx -y safeweave-mcp

または、エディターの MCP 設定に自分で追加します。

{
  "mcpServers": {
    "safeweave": {
      "command": "npx",
      "args": ["-y", "safeweave-mcp"],
      "env": {
        "SAFEWEAVE_LICENSE_KEY": "your-license-key-here"
      }
    }
  }
}

キーは任意です。キーがなくても、10 回のスキャンを試用できます（SAST、シークレット、依存関係）。safeweave.dev/signup で無料アカウントを作成すると、7 種類のスキャナーを使ったローカルスキャンを無制限に利用できます。

プラン

プラン	料金	スキャンの実行場所	スキャナー
キーなし	無料	ローカル、10 回のスキャンを試用	3 種類（SAST、シークレット、依存関係）
無料アカウント	無料	ローカル	7 種類（DAST 以外すべて）
Cloud	$29/mo	ローカル + ホスト環境	8 種類すべてに加え、PR チェック、ウェブサイトスキャン、AI ビルダー向けルール
Cloud Plus	$59/mo	ローカル + ホスト環境	Cloud の全機能に加え、チームメイト

詳細は safeweave.dev/pricing をご覧ください。

代替方法：Docker

Docker での実行をご希望の場合：

git clone https://github.com/nickfluxk/safeweave.git
cd safeweave
cp .env.example .env   # Edit with your license key and SCAN_DIR
docker compose up

スキャナーバイナリの仕組み

SafeWeave は、初回使用時に必要なスキャナーバイナリを自動的にダウンロードして管理します。

ツール	バージョン	用途
gitleaks	8.21.2	シークレットと認証情報の検出
trivy	0.58.0	コンテナの脆弱性と IaC の設定ミスのスキャン
opengrep	1.16.3	SAST 分析（Semgrep 互換のスタンドアロンバイナリ）

• バイナリは次の順に解決されます：システムの PATH → ~/.safeweave/bin/ キャッシュ → 自動ダウンロード
• Homebrew/apt で gitleaks または trivy をすでにインストールしている場合は、それらが使用されます（置き換えられることはありません）
• SAST では、システムの semgrep が優先されます。見つからない場合は、スタンドアロンの Semgrep 互換フォークである opengrep がダウンロードされます。Python は不要です
• ダウンロードは起動時にバックグラウンドで行われるため、サーバーはすぐに利用できます
• バージョンは固定されており、SafeWeave のリリースごとに更新されます
• ダウンロードに失敗した場合（インターネット接続がないなど）、そのスキャナーは問題なくスキップされます

対応プラットフォーム： macOS（arm64、x64）、Linux（arm64、x64）、Windows（x64）

キャッシュの場所：

~/.safeweave/
  bin/       # Downloaded binaries
  meta/      # Version metadata (JSON)

再ダウンロードを強制するには、rm -rf ~/.safeweave/bin ~/.safeweave/meta を実行します。

含まれる機能

スキャナー	検出対象	プラン
SAST	SQL インジェクション、XSS、SSRF、パストラバーサル、安全でない暗号化	無料
シークレット	ソースコード内の API キー、トークン、パスワード、秘密鍵	無料
依存関係	npm、pip、Go、Cargo パッケージの既知の CVE	無料
IaC	Terraform、Dockerfile、Kubernetes の設定ミス	無料アカウント
コンテナ	コンテナイメージの脆弱性	無料アカウント
ライセンス	GPL、AGPL、その他のリスクのある依存関係ライセンス	無料アカウント
セキュリティ態勢	認証、レート制限、CORS、セキュリティヘッダーの不足	無料アカウント
DAST	実行中のアプリにおけるランタイム API セキュリティの問題	Cloud

MCP 統合

Cursor、Claude Code、VS Code、Windsurf など、MCP 互換エディターで動作します。

設定後（上記のクイックスタートを参照）、AI に次のように尋ねてください。

• 「このプロジェクトをスキャンして、セキュリティ上の脆弱性を見つけてください」
• 「依存関係に CVE がないか確認してください」
• 「ハードコードされたシークレットをスキャンしてください」
• 「IaC の設定ミスをスキャンしてください」

Docker 経由で実行する場合は、代わりに SSE トランスポートを使用してください。

{
  "mcpServers": {
    "safeweave": {
      "url": "http://localhost:9000/sse"
    }
  }
}

HTTP API

ヘルスチェック

curl http://localhost:9000/api/health

スキャンの実行

curl -X POST http://localhost:9000/api/scan \
  -H 'Content-Type: application/json' \
  -d '{"directory": "/path/to/project"}'

特定のスキャナーを指定してスキャン

curl -X POST http://localhost:9000/api/scan \
  -H 'Content-Type: application/json' \
  -d '{"directory": "/path/to/project", "scanners": ["sast", "secrets"]}'

コンプライアンスプロファイル

組み込みプロファイル：standard、hardened、owasp、soc2、pci-dss、hipaa

MCP の set_profile ツールで設定するか、プロジェクト内にカスタム .safeweave/profile.yaml を作成してください。

設定

環境変数

変数	必須	説明
SAFEWEAVE_LICENSE_KEY	いいえ	safeweave.dev から取得したライセンスキーです。ライセンスキーがない場合は、10 回までの試用となります
SCAN_DIR	Docker のみ	スキャン対象としてマウントするホストディレクトリです
SAFEWEAVE_LICENSE_URL	いいえ	ライセンスサーバーの URL です（デフォルトは https://license.safeweave.dev）

Claude Code スキル：プッシュ前の自動スキャン

SafeWeave には、git commit、git push、または PR 作成の前にコードを自動でスキャンする Claude Code スキルが含まれています。

スキルのインストール

スキルを Claude Code のスキルディレクトリにコピーします。

mkdir -p ~/.claude/skills/secure-before-push
curl -sL https://raw.githubusercontent.com/nickfluxk/safeweave/main/skills/secure-before-push/SKILL.md \
  -o ~/.claude/skills/secure-before-push/SKILL.md

または、クローンしてコピーします。

git clone https://github.com/nickfluxk/safeweave.git /tmp/safeweave
cp -r /tmp/safeweave/skills/secure-before-push ~/.claude/skills/

インストール後の動作

インストールすると、「commit」、「push」、「ship it」、「create a PR」と伝えるたびに、Claude Code が SafeWeave のスキャンを自動で実行します。

重大度	アクション	プッシュをブロックするか
Critical / High	直ちに修正して再スキャンします	はい
Medium	警告し、確認を求めます	ユーザーが判断します
Low / Info	対応しません	いいえ

前提条件

SafeWeave MCP サーバーが設定されている必要があります。npx safeweave-mcp を実行すると、自動で設定できます。

確認

新しい Claude Code セッションを開始し、コードをコミットするよう依頼してください。git 操作の前に SafeWeave のスキャンが実行されることを確認できます。

ライセンス

MIT。詳細は LICENSE を参照してください。