Semgrep

Définition

Semgrep est un outil d'analyse statique de code open-source, léger et rapide, développé par la société r2c, conçu pour détecter des vulnérabilités de sécurité et des anti-patterns de code en s'appuyant sur des correspondances de motifs syntaxiques (pattern matching) directement exprimées dans une syntaxe proche du langage de programmation analysé lui-même, plutôt que sur une syntaxe de règle abstraite et complexe caractéristique de nombreux autres outils SAST plus lourds et coûteux à personnaliser. Une règle Semgrep typique ressemble structurellement au code qu'elle cherche à détecter, avec des métavariables génériques capturant des éléments variables (noms de fonctions, arguments, valeurs), rendant la création de règles personnalisées accessible même à des développeurs sans expertise approfondie en analyse statique, contrairement à des outils nécessitant l'apprentissage d'un langage de règle dédié complexe. Les règles sont définies dans un format YAML simple et lisible, facilitant leur partage, leur versionnement au sein d'un dépôt Git et leur adaptation rapide à des besoins spécifiques d'une organisation ou d'un projet particulier. Semgrep couvre plus d'une trentaine de langages de programmation et propose un registre communautaire de règles prêtes à l'emploi couvrant l'OWASP Top 10, les CWE courantes et les bonnes pratiques spécifiques à chaque framework. Sa rapidité d'exécution, largement supérieure aux scanners SAST traditionnels plus exhaustifs mais lents.