静的コードおよび設定チェック
スキャナーはソースコードと設定関連ファイルに対して55件のチェックを適用し、アクセス制御、露出したキー、安全でない入力処理、セキュリティ設定、AIで構築したWebアプリにありがちなその他のミスを対象とします。
AIで構築したWebアプリ向けセキュリティスキャン
Epheremは、AIコーディングツールで構築されたWebアプリ向けの静的セキュリティスキャナーです。ZIPアップロードまたは接続した個人のGitHubリポジトリを受け付け、プロジェクトファイルを読み取り、アプリケーションを実行せずに一般的なセキュリティミスをチェックします。
このサービスは、AIで構築したアプリが実際のユーザーに届く前に行う初期チェックとして設計されています。アクセス制御、シークレット、入力処理、設定、依存関係に関する勧告を調べ、確認済みのパッケージ勧告、確認が必要なコードの検出結果、分析できなかった領域を分けたレポートを作成します。また、対応しているAIコーディングツール向けの修正プロンプトも提供しますが、露出したキーのローテーションなどの対応は開発者に委ねられます。
セキュリティスキャン機能
言語を考慮した分析
JavaScriptとTypeScriptを最も詳細にカバーし、Pythonにも部分的に対応しています。対応していない言語は、クリーンな状態として扱うのではなく、レポート内で特定します。
依存関係の勧告チェック
ロックファイルに記載された正確なパッケージバージョンを、公開されているセキュリティ勧告のデータベースであるOSV.devと照合します。ロックファイルによるカバレッジがない場合は、その旨を報告します。
検出結果の分類
レポートでは、結果を既知の問題、可能性の高い問題、確認が必要な検出結果、分析されなかった項目に分類し、勧告との一致、コードパターン、カバレッジの不足を区別しやすくします。
実行につながるレポート
各検出結果について、問題を平易な言葉で説明し、ファイルと行を特定し、実行可能な対応を説明して、修正方法を提案します。コード抜粋では、キーやパスワードと見られる情報をマスクします。
AI支援の修正ワークフロー
検出結果には、Cursor、Lovable、またはClaude Code向けのプロンプトを含められます。変更を加えた後にもう一度スキャンを実行すると、現在のコードについて新しいレポートを作成できます。
実用的なユースケース
リリース前にAI生成アプリをレビューする
バックエンドコード、環境関連ファイル、データベースルール、ロックファイルを含むプロジェクト全体をアップロードし、表示されるインターフェースには現れない可能性のある問題を検出します。
迅速な反復開発後にプロジェクトを監査する
個人のGitHubリポジトリを接続し、既存プロジェクトの認証、所有権チェック、露出した認証情報、安全でないデータアクセスをレポートで確認します。
検出結果を具体的なコード変更につなげる
ファイルと行を示す検出結果、および生成されたプロンプトを使って、Cursor、Lovable、またはClaude Codeによる対象を絞った修正を導き、その後、変更したコードを再スキャンします。
パッケージのリスクを確認する
依存関係セクションを使って、ロックファイルに記載された正確なバージョンを公開された勧告と照合します。特に、AIコーディングツールがパッケージを追加または更新した場合に役立ちます。
レビューの範囲を明確にする
レポートに問題がないことを安心材料とみなす前に、「分析されなかった項目」と「確認が必要な項目」のセクションを読み、手動レビューまたは別のセキュリティプロセスが必要な領域を特定します。
Pros and Cons
Pros
- アーリーアクセス期間中は無料で利用でき、1アカウントあたり1日5回までスキャンできます。
- 正確なファイルと行を特定し、想定される影響を説明して、推奨される修正方法を提示します。
- ZIPアップロードと個人のGitHubリポジトリに対応し、アプリごとにスキャン履歴をまとめて管理できます。
- アプリケーションを実行したり、パッケージをインストールしたり、データベースに接続したり、コードをAIに送信したりせずにスキャンできます。
Cons
- 自動化された初期チェックであり、ペネトレーションテストでも、アプリケーションの安全性を証明するものでもありません。
- JavaScriptとTypeScriptのカバレッジが最も充実しています。Pythonは詳細度が低く、その他の言語は分析対象外として表示される場合があります。
- スキャナーが読み取るのはコードのみであるため、実際の動作、データベースの状態、ホスティング設定、プロジェクトファイル外のダッシュボード設定は検証できません。
FAQ
プロジェクトをスキャンするにはどうすればよいですか？
プロジェクトのZIPをアップロードするか、個人のGitHubリポジトリを接続してから、スキャンを開始します。初回スキャンの前にメール確認が必要です。Epheremはプロジェクト用のアプリエントリを作成し、スキャンレポートを履歴に保存します。
スキャンの制限は何ですか？
各アカウントで1日5回までスキャンを実行でき、同時に実行できるスキャンは1件です。スキャンは5分後に停止します。ZIPアップロードは最大100 MBで、エントリ数20,000件、ファイル数5,000件、解凍後1 GBまでの制限があります。
Epheremはペネトレーションテストですか？またはアプリが安全であることを保証しますか？
Epheremは、アプリを実行したり、公開サイトにアクセスしたり、データベースにログインしたり、パッケージをインストールしたりせずに、ソースコードと設定関連ファイルを読み取ります。読み取り可能なコード以外の動作や設定は評価できず、分析されなかったコードは安全とみなさず、一覧に表示します。
スキャンレポートには何が含まれますか？
レポートでは、パッケージに関する勧告を既知の問題として分類し、コードパターンを可能性の高い問題、または確認が必要な検出結果として分類して分けて表示します。また、分析されなかったファイルや領域も特定します。検出結果には、ファイルパス、行番号、説明、影響、推奨される修正方法が含まれます。
EpheremはAIを使ってコードを分析または修正しますか？
無料スキャンでコードをAIに送信することはありません。対応している検出結果については、Cursor、Lovable、またはClaude Codeに貼り付けられるプロンプトをEpheremが提供します。ただし、キーのローテーションなどの外部操作は手動で完了する必要があります。
Quick Facts
- カテゴリー
- 開発者向けツール、アプリケーションセキュリティスキャナー
- 主なユーザー
- AIコーディングツールでWebアプリを構築する人
- 入力
- プロジェクトのZIPファイルまたは個人のGitHubリポジトリ
- カバレッジ
- 55件のチェック。JavaScriptとTypeScriptに最も強く、Pythonには部分対応
- 依存関係の情報源
- 正確なパッケージバージョンに関するOSV.devの公開勧告
- アーリーアクセス時の利用
- 無料。1アカウントあたり1日5回までスキャン可能
Epheremの代替品
ByteAsk
ByteAskは、C/C++向けのターミナル起点AIコーディングエージェント。リポジトリを編集し、コンパイラやデバッガ、サニタイザ、テストで変更を検証してから差分を表示。無料枠あり。
CreateOS Sandbox
CreateOS Sandboxは、FirecrackerマイクロVM上でコードやエージェントのワークロードを実行できる分離型コンピュート環境です。SDK、CLI、MCPで制御可能。
GitBot
GitBotは、Claude Code、Codex、OpenCodeを活用した再利用可能なコーディングボットを作成できるローカルブラウザワークスペースです。永続スレッドと権限設定で、リポジトリ内の作業を効率化します。
hob
hobは、エージェントのセッション、ターミナル、履歴、後続作業を、既存のツールやプロバイダーに合わせて整理できる独立したコーディングエージェント向けワークスペース。ローカルでの制御を重視する開発者に最適。
Ably Chat
Ably Chatは、カスタムのリアルタイムチャットアプリを構築できるチャットAPIプラットフォームです。ルーム単位のメッセージ、入力中表示、プレゼンス、リアクション、メッセージ更新に対応し、利用量ベースの料金も選べます。
Exodus
Exodusは無料の開発者向けツール。アプリのリポジトリを監査し、現在のデプロイとGoogle Cloud Run設計を比較して、コーディングエージェント向けの移行計画を作成。新規製品の構成・コスト見積もりにも対応。