¿Qué es Semgrep MCP?
Semgrep es un analizador estático rápido para más de 30 lenguajes cuyas reglas se parecen al código que detectan. Su servidor MCP, ahora integrado en el binario de semgrep como semgrep mcp después de que se archivara el repositorio independiente semgrep/mcp, permite a un agente analizar código con esas reglas. Para Claude Code, Semgrep Guardian reúne el servidor MCP con hooks que analizan cada archivo que escribe el agente.
Por defecto, el código se analiza en local y nunca se sube. La Community Edition gratuita analiza una función o un archivo cada vez; el flujo de datos entre archivos, las reglas Pro y el análisis de dependencias necesitan iniciar sesión en Semgrep.
Cómo instalar Semgrep MCP
semgrep mcp¿Merece la pena Semgrep MCP?
La última línea de defensa para el código escrito por IA debería ser la misma que afronta el código humano: una comprobación fuera de la sesión de programación que bloquea el merge. Semgrep lleva años siendo esa comprobación, en más de 30 lenguajes, y su repositorio principal tiene 17.000 estrellas en GitHub y va por la versión 1.182.0. El servidor MCP y el plugin Guardian la llevan también a la sesión.
Eso importa porque el agente ve el hallazgo mientras sigue trabajando y lo corrige antes de que tú revises el diff. Y como las reglas de Semgrep se escriben con la propia sintaxis del lenguaje, un bug que tu equipo encontró una vez se convierte en una regla que lo detecta para siempre, en el editor, en el agente y en CI.
La pega: la Community Edition gratuita mira una función o un archivo cada vez, y la propia Semgrep dice que eso pasa por alto muchos bugs reales en uso de seguridad. El flujo de datos entre archivos y el análisis de dependencias necesitan iniciar sesión, y la plataforma completa es comercial. Las configuraciones del registro envían métricas seudónimas de reglas salvo que pases --metrics=off.
Nuestra opinión: adoptes lo que adoptes, haz que semgrep scan --error sea una comprobación de estado obligatoria en los pull requests. En el plan gratuito, OSV-Scanner para dependencias y Gitleaks para secretos cubren los huecos evidentes.
Dónde se gana su sitio
Un equipo de 20 desarrolladores que usa Claude Code en un monorepo de TypeScript
Impedir que se haga merge de código inseguro, lo haya escrito quien lo haya escrito
Añade semgrep scan --config auto --error --metrics=off como comprobación de CI obligatoria; instala Guardian para que el agente vea los mismos hallazgos mientras trabaja. La Community Edition es gratuita.
Un responsable de AppSec que ve una y otra vez la misma clase de bug
Acabar para siempre con un patrón de bug recurrente
Escribe una regla de Semgrep con la propia sintaxis del código y añádela a la configuración compartida que usan CI y el agente.
Antes de decidirte
- Puesta en marcha
- brew install semgrep o python3 -m pip install semgrep; ejecuta semgrep mcp para el servidor. Guardian se instala desde el gestor /plugin de Claude Code.
- Integraciones
- Claude Code (plugin Guardian con hooks), Cursor, VS Code y otros clientes MCP; CI de GitHub y GitLab; salida SARIF.
- Datos y privacidad
- El código se analiza en local y no se sube por defecto; las configuraciones del registro envían métricas seudónimas salvo con --metrics=off. Guardian se comunica con semgrep.dev para el inicio de sesión y los datos de despliegue.
- Coste a escala
- La Community Edition es gratuita; el precio de AppSec Platform es por colaborador y figura en la página de precios de Semgrep.
- Límites
- La Community Edition analiza una sola función o un solo archivo y pasa por alto los bugs entre archivos.
Lo bueno
- Las mismas reglas en el agente, el editor y CI
- Código analizado en local por defecto
- Las reglas se parecen al código que detectan
- Más de 30 lenguajes
Lo malo
- El plan gratuito analiza una función o un archivo cada vez
- El análisis entre archivos y el de dependencias necesitan iniciar sesión
- Las configuraciones del registro envían métricas salvo que se desactiven
- Repositorio MCP independiente archivado; consulta la documentación para la instalación actual
Ideal para
Cualquier equipo que quiera que el código escrito por IA pase el mismo filtro de análisis estático que el código humano.
Alternativas a Semgrep MCP
Semgrep MCP: preguntas frecuentes
- ¿Merece la pena Semgrep MCP?
- A un modelo se le puede convencer de que ignore un hallazgo; a una comprobación de CI fallida, no, y Semgrep te permite ejecutar la misma comprobación en ambos sitios. Le damos un 4.3 sobre 5.
- ¿Cuánto cuesta Semgrep MCP?
- Community Edition gratuita con licencia LGPL 2.1; Semgrep AppSec Platform (reglas Pro, análisis entre archivos, Supply Chain, Secrets) es de pago.
- ¿Qué inconvenientes tiene Semgrep MCP?
- El plan gratuito analiza una función o un archivo cada vez; el análisis entre archivos y el de dependencias necesitan iniciar sesión; las configuraciones del registro envían métricas salvo que se desactiven; repositorio MCP independiente archivado; consulta la documentación para la instalación actual.
- ¿Para quién es Semgrep MCP?
- Cualquier equipo que quiera que el código escrito por IA pase el mismo filtro de análisis estático que el código humano.
- ¿Cuánto cuesta Semgrep MCP para un equipo o en producción?
- La Community Edition es gratuita; el precio de AppSec Platform es por colaborador y figura en la página de precios de Semgrep.
- ¿Es Semgrep MCP seguro para los datos de la empresa?
- El código se analiza en local y no se sube por defecto; las configuraciones del registro envían métricas seudónimas salvo con --metrics=off. Guardian se comunica con semgrep.dev para el inicio de sesión y los datos de despliegue.
- ¿Cuáles son las mejores alternativas a Semgrep MCP?
- Las alternativas más cercanas que hemos analizado son Snyk MCP Server (Snyk Studio).
Respuestas comprobadas el 24 oct 2026.