sigship

AI が構築したアプリのリリース可否を判定します。
障害が起きる前に、事後分析を。

---

SIGSHIP はお使いのマシン上でリポジトリを読み取り、本番環境で問題になるものを一覧表示します。漏えいしたキー、公開状態のデータベース、未検証の Webhook、支出を抑える仕組みのない AI ルートなどです。重大な問題が見つからない場合に限り 0 で終了するため、あなたとコーディングエージェントは完了を判断するための実際のテストを得られます。

npx sigship

登録不要、テレメトリーなし、ランタイム依存関係なし。無料ツールがネットワークに接続することはありません。

目次

• 利用できること
• クイックスタート
• コマンド
• プルリクエスト
• コーディングエージェント（MCP）
• チェック項目
• プライバシー
• SIGSHIP Cloud とライセンスキー
• 制限事項
• コントリビューションとセキュリティ

利用できること

SIGSHIP read 6 files in 22 ms, ran 17 checks

Postmortem, written before the outage. Worst first.

SEV-1  Your Stripe webhook accepts anything
       src/api/stripe-webhook.ts:3  Handles Stripe events with no signature check in this file.
       Someone posts a fake "payment succeeded" event to your endpoint and
       gets your paid plan for free.

SEV-2  Your AI route has no spending brake
       src/api/chat.ts:2  This route calls a paid AI API and the project has no rate limiter.
       One script loops on this endpoint overnight and you wake up to the invoice.

NO-GO  1 SEV-1, 1 SEV-2, 0 SEV-3. Exit 1.
Paste the fixes into your AI tool: npx sigship --prompt

終了コード	意味
0	GO。 SEV-1 または SEV-2 の問題は見つかりませんでした。
1	NO-GO。 リリースを妨げる問題があります。
2	SIGSHIP を実行できませんでした。たとえば、フォルダーが存在しません。

GO は、これらのチェックでリリースを妨げる問題が見つからなかったことを意味します。アプリの安全性を証明するものではありません。

クイックスタート

Node.js 22 以降が必要です。

npx sigship                 # check the current folder
npx sigship path/to/app     # check another folder
npx sigship --prompt        # turn every fix into one prompt for Lovable, Cursor, Bolt or Claude Code
npx sigship ui              # open the same results as a dashboard in your browser

コマンド

コマンド	動作
npx sigship [folder]	プロジェクトをチェックして、事後分析を出力します。
npx sigship ui [folder]	ローカルダッシュボードを開きます。判定結果、問題、修正用プロンプトをコピーするボタン、再実行機能を利用できます。
npx sigship init [folder]	AGENTS.md にプルリクエストチェックと完了の定義を追加します。
npx sigship mcp	コーディングエージェント用の MCP サーバーを起動します。

オプション	動作
--prompt	修正内容を 1 つのプロンプトとして AI ツール向けに出力します。
--json	結果を JSON として出力します。
--markdown	プルリクエストのコメント用に、結果を Markdown として出力します。
--strict	SEV-3 の問題もブロック対象にします。
--report	クライアント向けの sigship-report.html も書き出します。ライセンスキーが必要です。
--no-open	ui と併用すると、ブラウザーを開かずにダッシュボードのリンクを出力します。
--version, --help	バージョンまたはヘルプを出力します。

ダッシュボードは 127.0.0.1 のみで待ち受け、表示されたプライベートリンクへのリクエストにのみ応答し、ファイルの内容ではなく問題を表示します。Ctrl+C を押すと停止します。

プルリクエスト

npx sigship init

.github/workflows/sigship.yml を追加します。このファイルにより、SEV-1 または SEV-2 の問題を再び持ち込むプルリクエストは失敗します。また、コーディングエージェントが完了を宣言する前に SIGSHIP を実行するよう指示する、完了の定義を AGENTS.md に追加します。既存のファイルを上書きすることはありません。

コーディングエージェント（MCP）

Claude Code：

claude mcp add sigship -- npx -y sigship mcp

Cursor の場合は、.cursor/mcp.json に設定します。

{ "mcpServers": { "sigship": { "command": "npx", "args": ["-y", "sigship", "mcp"] } } }

エージェントは、sigship_check と sigship_explain の 2 つのツールと、「判定結果が NO-GO の間は完了したと言わない」という 1 つの指示を受け取ります。SIGSHIP は MCP Registry に io.github.sigship/sigship として登録されています。

チェック項目

AI で構築されたアプリで実際に起こりやすい問題をもとに選んだ、17 項目のチェックです。それぞれのリンク先では、何が問題なのか、どのように修正するかを説明しています。

SEV-1：リリースを妨げる、またはデータや金銭を危険にさらす問題 コード内の有効なシークレット · コミットされた .env · ブラウザーから見える名前が付いたサーバーシークレット · ブラウザー内の AI キー · 行レベルセキュリティが設定されていないテーブル · 誰でも書き込みできるポリシー · 検証されていない Stripe ウェブフック · SQL 内のユーザー入力

SEV-2：リリースを妨げる、悪用が容易な問題 レート制限のない AI ルート · localStorage 内の管理者ロール · サニタイズされていない HTML

SEV-3：報告されますが、--strict を指定した場合のみ処理を妨げます ワイルドカード CORS · ログ内のシークレット · エラーバウンダリーなし · エラートラッキングなし · テストなし · ロックファイルなし

プライバシー

• 無料ツール、ダッシュボード、MCP サーバーはすべてお使いのマシン上で動作します。ネットワーク通信やテレメトリーは一切ありません。
• SIGSHIP は、どのような出力形式でもシークレットの値を表示しません。
• ライセンスキーを設定した場合に限り、SIGSHIP はキーと一方向のリポジトリフィンガープリントを api.sigship.dev に送信します。コード、ファイル名、検出結果を送信することはありません。

詳細はこちら：sigship.dev/privacy。

SIGSHIP Cloud とライセンスキー

SIGSHIP Cloud は近日公開予定です。GitHub、Lovable、Bolt、Replit などの AI ツールからリポジトリを接続すると、SIGSHIP がプッシュのたびにチェックし、稼働中のサイトを監視して、修正すべき点をわかりやすい英語でお知らせします。プランは月額 Solo（$19）、Team（$59）、Agency（$149）です。ウェイトリストに登録。

すでにライセンスキーをお持ちの場合は、設定して追加チェックの Pro パックを利用できます。

SIGSHIP_KEY=your-key npx sigship            # free checks plus the Pro pack
SIGSHIP_KEY=your-key npx sigship --report   # also write a client-ready HTML report
npx sigship init --pro                      # pull request comments and a nightly check

毎晩のチェックとプルリクエストへのコメントを有効にするには、リポジトリのシークレット SIGSHIP_KEY にキーを追加してください。Slack アラートを受け取る場合は、任意で SLACK_WEBHOOK_URL も設定してください。ライセンスサーバーに接続できない場合、SIGSHIP は Pro パックの前回のダウンロード、または無料のチェックを使用します。ネットワークの問題によってスキャンが失敗することはありません。

制限事項

• SIGSHIP はパターンチェックを使用します。実際の問題を見逃したり、安全なコードを問題として報告したりする可能性があります。
• リポジトリを読み取るため、ウェブコンソールで作成した Supabase ポリシーなど、ダッシュボード上でのみ変更された設定は確認できません。
• GO はセキュリティ監査を意味するものではありません。人によるレビューについては、パイロットレビューをご覧ください。

コントリビューションとセキュリティ

• 誤検出や見逃された問題を見つけましたか？Issue を作成してください。
• チェックの追加やバグの修正をお考えですか？CONTRIBUTING.mdをご覧ください。
• SIGSHIP 自体のセキュリティ上の問題を見つけましたか？SECURITY.mdに従って報告し、公開 Issue は作成しないでください。

ライセンス

MIT © Zoof04 Inc. · sigship.dev · [email protected]