口コミを書く

自社で開発するアプリの脆弱性を、公開前にソースコードで見つけたい、開発・セキュリティ・情報システムの担当の方へ

ソースコード診断ツール（SAST）のメーカー6社比較【2026年】

ソースコード診断ツール（SAST）⁠は⁠、
開発中のコードを動かさずに、脆弱性を見つける道具です。

ABOUT

ソースコード診断ツールとは

比較表を見る ↓

ソースコード診断ツール（SAST）⁠と⁠は⁠、開発中のソースコードを動かさずに調べ、
脆弱性を見つける道具です。
静的解析ツール、SASTとも呼びます。

製品の特長

  • コードを動かさずに調べる（完成前でも検査できる）
  • 開発の流れに組み込める（IDE・プルリクエスト・CI）
  • 動かす場所で選べる（社内・クラウド）

使うメリット

  • 公開前に穴を直せる（書いている最中に見つかる）
  • 同じ基準で何度も回せる（コミットごとに調べられる）
  • 直す場所がわかる（不具合の位置を示す製品がある）

選ぶときに注意すること

  1. 動かして初めてわかる穴は見つからない。稼働中のサイトの診断と分けて考える
  2. 誤検知は出る。結果を見て判断する人を決めておく
  3. 使っている言語が対象か、先に公式の一覧で確かめる
  4. OSSの脆弱性は別の検査（SCA）で見る。同じ製品に入っているかを確かめる

※仕様と価格は各メーカーの公式の製品ページと文書による。多くのメーカーは価格を公開していません。

LIST

ソースコード診断ツールの比較表

ソースコード診断ツール（SAST）7製品の比較
製品・メーカーコスト製品の強み仕様公式ページ

手元・社内で動かす型

3製品
オープンテキスト株式会社OpenText Fortify SASTCOBOLやABAPの古いコードも調べたい口コミを書く要見積

C# や C++ に加えて、ABAP や COBOL のような基幹系の言語まで調べられます。汎用機の IBM Enterprise COBOL の版まで公式の表に出ています。基幹系と Web を同じツールで見たい会社に合います。

種類
手元・社内で動かす型
動かす場所
自社に導入する手引きを公開
対応言語
C#・C・C++・ABAP・COBOLなど
修正の助け
Fortify Remediation Aviatorで修正を支援
特長
汎用機のCOBOLも解析
記載なし
つなぐ先・基準・調べる範囲
公式ページへ詳細・仕様
JFrog JapanJFrog Advanced Securityコードを外に上げずに手元で調べたい口コミを書く要見積

解析を手元のPCやCIサーバーで動かすので、ソースコードを外のサービスに上げません。毎秒約2,000行の速さで調べます。外とつながない環境や自社管理の環境に向きます。

種類
手元・社内で動かす型
動かす場所
手元のPC、CIサーバー
つなぐ先
IDE、CLI、Frogbot
基準
OWASP Top 10
修正の助け
脆弱性ごとに直し方を表示
調べる範囲
SAST、SCA、シークレット、IaC
特長
毎秒約2,000行を解析
記載なし
対応言語
公式ページへ詳細・仕様
ブラック・ダック（Black Duck Software）Coverity組み込みや車載のコードも規約で調べたい口コミを書く要見積

セキュリティに加えて、MISRA や AUTOSAR など組み込みの規約までまとめて調べられます。22言語と200を超えるフレームワークを扱い、オンプレミスでもプライベートクラウドでも動きます。社外にコードを出せない開発で使えます。

種類
手元・社内で動かす型
動かす場所
オンプレミス、プライベートクラウド
対応言語
22言語、200超のフレームワーク
つなぐ先
IDE、SCM、CI
基準
OWASP Top 10、CWE Top 25、PCI DSS、MISRA
修正の助け
Code SightでIDE内にコード修正を表示
調べる範囲
コードの欠陥、脆弱性、ハードコードされた機密
特長
変更分だけ調べる増分スキャン
公式ページへ詳細・仕様カタログ（PDF）

クラウドで使う型

3製品
アマゾン ウェブ サービス ジャパン合同会社Amazon Inspector コードセキュリティAWSのワークロードとまとめて調べたい口コミを書く1回0.15ドルバージニア北部の計算例

EC2 やコンテナの脆弱性を調べる Amazon Inspector の中で、コードリポジトリも調べられます。公式の計算例では、1回のスキャンが種類ごとに0.15ドルです。AWS を中心に動かす開発に合います。

種類
クラウドで使う型
動かす場所
AWSの脆弱性管理サービス
対応言語
C#・C・C++・Go・Java・JavaScript・Kotlin・PHP・Python・Ruby・Rust・Scala・Shell
つなぐ先
コードリポジトリ、CI/CD
調べる範囲
SAST、SCA、IaC
特長
EC2やコンテナの検査と同じサービス
記載なし
基準・修正の助け
公式ページへ詳細・仕様
Datadog Japan合同会社Datadog Code Security監視と同じ画面でコードの穴も見たい口コミを書く要見積

監視で使う Datadog の画面で、コードの脆弱性まで見られます。静的解析と実行時の解析を一緒に使い、本番での動きをもとに優先順位を付けます。すでに Datadog を入れている開発チームに合います。

種類
クラウドで使う型
動かす場所
CI、Datadogのホスト型スキャン
つなぐ先
JetBrains IDE、Visual Studio Code、Cursor
修正の助け
修正案からプルリクエストを作成
調べる範囲
SAST、SCA、実行時解析
特長
Bits AIが誤検知の見きわめを支援
記載なし
対応言語・基準
公式ページへ詳細・仕様
ブラック・ダック（Black Duck Software）Black Duck PolarisSASTとSCA・DASTを1か所で見たい口コミを書く要見積

SAST に SCA・DAST・IaC 解析・シークレット検出を足した、クラウドで使う基盤です。GitHub や GitLab の変更を検出して、新しいリポジトリも自動で調べます。ポリシーに反するとビルドを止められます。

種類
クラウドで使う型
動かす場所
SaaS
つなぐ先
GitHub、GitLab、Bitbucket、Azure DevOps
基準
OWASP Top 10などをポリシーに設定
調べる範囲
SAST、SCA、DAST、IaC、シークレット
特長
プルリクエスト時に高速スキャン
記載なし
対応言語・修正の助け
公式ページへ詳細・仕様

AIが診断する型

1製品
GMO Flatt Security株式会社Takumi byGMOロジックの穴までAIで調べたい口コミを書く70,000円/月（税抜）〜

AIエージェントが診断するので、従来のツールが苦手な認証・認可の不備やロジックの穴まで調べます。1回の診断は数時間〜1日程度で、検出した穴の修正は Pull Request で届きます。基本料金は月70,000円（税抜）⁠で⁠⁠⁠⁠す⁠。

種類
AIが診断する型
つなぐ先
Pull Requestで修正を提出
修正の助け
修正のPull RequestをAIが作成
調べる範囲
AI-SAST、AI-DAST
特長
1回の診断は数時間〜1日程度
記載なし
動かす場所・対応言語・基準
公式ページへ詳細・仕様

手元・社内で動かす型3製品

オープンテキスト株式会社

OpenText Fortify SAST

COBOLやABAPの古いコードも調べたい

C# や C++ に加えて、ABAP や COBOL のような基幹系の言語まで調べられます。汎用機の IBM Enterprise COBOL の版まで公式の表に出ています。基幹系と Web を同じツールで見たい会社に合います。

コスト要見積

種類
手元・社内で動かす型
動かす場所
自社に導入する手引きを公開
対応言語
C#・C・C++・ABAP・COBOLなど
修正の助け
Fortify Remediation Aviatorで修正を支援
特長
汎用機のCOBOLも解析
記載なし
つなぐ先・基準・調べる範囲
公式ページへ
詳細・仕様口コミを書く
JFrog Japan

JFrog Advanced Security

コードを外に上げずに手元で調べたい

解析を手元のPCやCIサーバーで動かすので、ソースコードを外のサービスに上げません。毎秒約2,000行の速さで調べます。外とつながない環境や自社管理の環境に向きます。

コスト要見積

種類
手元・社内で動かす型
動かす場所
手元のPC、CIサーバー
つなぐ先
IDE、CLI、Frogbot
基準
OWASP Top 10
修正の助け
脆弱性ごとに直し方を表示
調べる範囲
SAST、SCA、シークレット、IaC
特長
毎秒約2,000行を解析
記載なし
対応言語
公式ページへ
詳細・仕様口コミを書く
ブラック・ダック（Black Duck Software）

Coverity

組み込みや車載のコードも規約で調べたい

セキュリティに加えて、MISRA や AUTOSAR など組み込みの規約までまとめて調べられます。22言語と200を超えるフレームワークを扱い、オンプレミスでもプライベートクラウドでも動きます。社外にコードを出せない開発で使えます。

コスト要見積

種類
手元・社内で動かす型
動かす場所
オンプレミス、プライベートクラウド
対応言語
22言語、200超のフレームワーク
つなぐ先
IDE、SCM、CI
基準
OWASP Top 10、CWE Top 25、PCI DSS、MISRA
修正の助け
Code SightでIDE内にコード修正を表示
調べる範囲
コードの欠陥、脆弱性、ハードコードされた機密
特長
変更分だけ調べる増分スキャン
公式ページへ
詳細・仕様カタログ（PDF）口コミを書く

クラウドで使う型3製品

アマゾン ウェブ サービス ジャパン合同会社

Amazon Inspector コードセキュリティ

AWSのワークロードとまとめて調べたい

EC2 やコンテナの脆弱性を調べる Amazon Inspector の中で、コードリポジトリも調べられます。公式の計算例では、1回のスキャンが種類ごとに0.15ドルです。AWS を中心に動かす開発に合います。

コスト1回0.15ドルバージニア北部の計算例

種類
クラウドで使う型
動かす場所
AWSの脆弱性管理サービス
対応言語
C#・C・C++・Go・Java・JavaScript・Kotlin・PHP・Python・Ruby・Rust・Scala・Shell
つなぐ先
コードリポジトリ、CI/CD
調べる範囲
SAST、SCA、IaC
特長
EC2やコンテナの検査と同じサービス
記載なし
基準・修正の助け
公式ページへ
詳細・仕様口コミを書く
Datadog Japan合同会社

Datadog Code Security

監視と同じ画面でコードの穴も見たい

監視で使う Datadog の画面で、コードの脆弱性まで見られます。静的解析と実行時の解析を一緒に使い、本番での動きをもとに優先順位を付けます。すでに Datadog を入れている開発チームに合います。

コスト要見積

種類
クラウドで使う型
動かす場所
CI、Datadogのホスト型スキャン
つなぐ先
JetBrains IDE、Visual Studio Code、Cursor
修正の助け
修正案からプルリクエストを作成
調べる範囲
SAST、SCA、実行時解析
特長
Bits AIが誤検知の見きわめを支援
記載なし
対応言語・基準
公式ページへ
詳細・仕様口コミを書く
ブラック・ダック（Black Duck Software）

Black Duck Polaris

SASTとSCA・DASTを1か所で見たい

SAST に SCA・DAST・IaC 解析・シークレット検出を足した、クラウドで使う基盤です。GitHub や GitLab の変更を検出して、新しいリポジトリも自動で調べます。ポリシーに反するとビルドを止められます。

コスト要見積

種類
クラウドで使う型
動かす場所
SaaS
つなぐ先
GitHub、GitLab、Bitbucket、Azure DevOps
基準
OWASP Top 10などをポリシーに設定
調べる範囲
SAST、SCA、DAST、IaC、シークレット
特長
プルリクエスト時に高速スキャン
記載なし
対応言語・修正の助け
公式ページへ
詳細・仕様口コミを書く

AIが診断する型1製品

GMO Flatt Security株式会社

Takumi byGMO

ロジックの穴までAIで調べたい

AIエージェントが診断するので、従来のツールが苦手な認証・認可の不備やロジックの穴まで調べます。1回の診断は数時間〜1日程度で、検出した穴の修正は Pull Request で届きます。基本料金は月70,000円（税抜）⁠で⁠⁠⁠⁠す⁠。

コスト70,000円/月（税抜）〜

種類
AIが診断する型
つなぐ先
Pull Requestで修正を提出
修正の助け
修正のPull RequestをAIが作成
調べる範囲
AI-SAST、AI-DAST
特長
1回の診断は数時間〜1日程度
記載なし
動かす場所・対応言語・基準
公式ページへ
詳細・仕様口コミを書く

出典：メーカー図鑑 https://makerzukan.jp/c/cyber/sast-tool/／各社の公式資料（2026年11月7日確認）

Q&A

ソースコード診断ツール選びで、よくある疑問

購買担当の疑問ソースコード診断ツールの価格は、いくら？

値段を公式に出しているのは2製品です。Takumi byGMOは基本料金が月70,000円（税抜）⁠か⁠ら⁠で⁠す⁠。Amazon Inspectorは公式の計算例で1回0.15ドルです。ほかは見積もりで確かめます。

設備担当の疑問SASTの種類と違いは？

手元や社内で動かす型、クラウドで使う型、AIが診断する型の3つに分けました。コードを外に出せないなら、CoverityやJFrog Advanced Securityのように社内で動かせる型を選びます。

設備担当の疑問SASTとDASTの違いは？

SASTはソースコードを動かさずに調べ、DASTは動いているアプリを外から調べます。Black Duck PolarisやTakumi byGMOは、両方を1つのサービスで扱います。

設備担当の疑問対応言語はどれくらい？

Coverityは22言語と200を超えるフレームワークを扱います。Amazon InspectorはC#・Java・Pythonなどを公式に並べています。OpenText Fortify SASTはABAPやCOBOLも対象です。

工場長の疑問ソースコードを外に出さずに使える？

使えます。Coverityはオンプレミスとプライベートクラウドで動きます。JFrog Advanced Securityは解析を手元のPCやCIサーバーで動かします。

設備担当の疑問組み込みソフトのコーディング規約も調べられる？

CoverityはMISRAやAUTOSARなどの規約を扱います。車載や組み込みの開発なら、対象の規約が入っているかを公式で確かめます。

施設管理の疑問GitHubやGitLabとつなげる？

Black Duck PolarisはGitHub・GitLab・Bitbucket・Azure DevOpsの変更を検出します。Amazon Inspectorもコードリポジトリを調べます。

設備担当の疑問検出した脆弱性は自動で直せる？

Takumi byGMOは修正パッチを自動で作り、Pull Requestで出します。Datadog Code Securityは修正案からプルリクエストを作れます。直した結果は、人が見てから取り込みます。

経営者の疑問AIのSASTと従来のSASTの違いは？

従来のツールは決まった型で穴を探します。Takumi byGMOはAIエージェントが診断し、認証・認可の不備やロジックの穴まで調べます。1回の診断は数時間〜1日程度です。

総務の疑問脆弱性診断の代わりになる？

なりません。SASTはコードの中を調べる道具で、稼働中のサイトの設定や動きは見ません。公開前の診断と分けて計画します。

TYPES

ソースコード診断ツールの種類の違い

手元・社内で動かす型

解析を自社のPCやサーバー、CIの中で動かす型です。ソースコードを外に出さずに調べられます。組み込みや基幹系の開発で使います。

向いている使い方

  • 社外にコードを出せない
  • 外とつながない環境で開発する
  • 組み込みや基幹系の言語を調べる

根拠：Coverity はオンプレミスでもプライベー ト・クラウド環境でも動作します（出典1）

この種類の3製品を表で見る

クラウドで使う型

メーカーのクラウドで結果を見て、リポジトリやCIとつなぐ型です。サーバーを立てずに始められます。ほかの検査や監視と同じ画面で見られる製品もあります。

向いている使い方

  • サーバーを持たずに始めたい
  • GitHubやGitLabとつなぎたい
  • 監視やクラウドの検査とまとめたい

根拠：開発者中心の統合型SaaSプラットフォームです。（出典3）

この種類の3製品を表で見る

AIが診断する型

AIエージェントがコードを読んで診断する型です。決まった型の検査が苦手な認証・認可の不備やロジックの穴まで調べます。修正案まで出す製品もあります。

向いている使い方

  • 認証・認可の不備も見つけたい
  • 手動の診断を年に何度も回せない
  • 修正案まで出してほしい

根拠：AI-SAST / AI-DASTで脆弱性を網羅的に検出（出典9）

この種類の1製品を表で見る
MAKERS

ソースコード診断ツールの主なメーカー6社

アマゾン ウェブ サービス ジャパン合同会社

EC2 やコンテナの脆弱性を調べる Amazon Inspector の中で、コードリポジトリも調べられます。

オープンテキスト株式会社

C# や C++ に加えて、ABAP や COBOL のような基幹系の言語まで調べられます。

東京都

JFrog Japan

解析を手元のPCやCIサーバーで動かすので、ソースコードを外のサービスに上げません。

東京都

GMO Flatt Security株式会社

AIエージェントが診断するので、従来のツールが苦手な認証・認可の不備やロジックの穴まで調べます。

東京都

Datadog Japan合同会社

監視で使う Datadog の画面で、コードの脆弱性まで見られます。

東京都

ブラック・ダック（Black Duck Software）

セキュリティに加えて、MISRA や AUTOSAR など組み込みの規約までまとめて調べられます。

東京都

出典
  1. Black Duck Coverity データシート
  2. Black Duck Coverity SAST
  3. Black Duck Polaris
  4. OpenText SAST 対応言語
  5. JFrog SAST
  6. Datadog Code Security
  7. Datadog Static Code Analysis
  8. Amazon Inspector コードセキュリティの対応言語
  9. GMO Flatt Security Takumi byGMO
掲載基準

開発中のソースコードを機械で調べて脆弱性を見つける業務用のツールとサービスのうち、自社で開発して自社のブランドで出し、公式資料で仕様を確かめられた製品を載せました。稼働中のサイトを外から調べる診断は脆弱性診断の比較に、部品表の管理はSBOMツールの比較に分けています。日立ソリューションズなど海外製品を売る代理店の取り扱いは載せていません。Snyk Codeは日本語サイトと東京の拠点の記載はあるものの公式の法人一覧に日本法人が無く、GitHub Code SecurityとGitLabのSASTは公式で日本法人を確かめられず、Checkmarx・Veracode・HCL AppScan・Wiz Codeも公式の日本語ページで日本法人を確かめられなかったので、今回は載せていません。Contrast Scanは日本語の製品ページの中身を確かめられず、トレンドマイクロのCode Securityは公式の説明にソースコードの静的解析の記載が見当たらないので、載せていません。

ソースコード診断ツール（SAST）を作っているメーカーの方へ：掲載・訂正のご依頼（掲載は無料です）

CITE

引用

比較記事にしてほしい製品の依頼はこちら👉