Qu’est-ce que Semgrep MCP ?
Semgrep est un analyseur statique rapide pour plus de 30 langages dont les règles ressemblent au code qu'elles matchent. Son serveur MCP, désormais intégré au binaire semgrep comme semgrep mcp après l'archivage du dépôt autonome semgrep/mcp, laisse un agent scanner le code avec ces règles. Pour Claude Code, Semgrep Guardian regroupe le serveur MCP avec des hooks qui scannent chaque fichier que l'agent écrit.
Par défaut, le code est analysé localement et jamais téléversé. L'édition Community gratuite analyse une fonction ou un fichier à la fois ; le flux de données inter-fichiers, les règles Pro et le scan de dépendances ont besoin d'une connexion Semgrep.
Installer Semgrep MCP
semgrep mcpSemgrep MCP vaut-il le coup ?
La dernière ligne de défense pour le code écrit par IA devrait être la même que celle que le code humain affronte : une vérification hors de la session de codage qui bloque la fusion. Semgrep est cette vérification depuis des années, sur plus de 30 langages, et son dépôt principal a 17 000 étoiles GitHub et la version 1.182.0. Le serveur MCP et le plugin Guardian l'am ènent aussi dans la session.
Cela compte parce que l'agent voit la conclusion pendant qu'il travaille encore, et la corrige avant que vous n'examiniez jamais le diff. Et parce que les règles Semgrep sont écrites dans la syntaxe propre du langage, un bug que votre équipe a trouvé une fois devient une règle qui l'attrape pour toujours, dans l'éditeur, dans l'agent et en CI.
Le hic : l'édition Community gratuite ne regarde qu'une fonction ou un fichier à la fois, et Semgrep lui-même dit que cela rate beaucoup de vrais bugs en usage de sécurité. Le flux de données inter-fichiers et le scan de dépendances ont besoin d'une connexion, et la plateforme complète est commerciale. Les configurations du registre envoient des métriques de règles pseudonymes sauf si vous passez --metrics=off.
Notre avis : quoi que vous adoptiez d'autre, faites de semgrep scan --error une vérification de statut requise sur les pull requests. Sur le palier gratuit, OSV-Scanner pour les dépendances et Gitleaks pour les secrets comblent les lacunes évidentes.
Là où il fait la différence
Une équipe de 20 développeurs qui utilise Claude Code sur un monorepo TypeScript
Bloquer le code non sécurisé de la fusion, quel qu'en soit l'auteur
Ajoutez semgrep scan --config auto --error --metrics=off comme vérification CI requise ; installez Guardian pour que l'agent voie les mêmes conclusions pendant qu'il travaille. L'édition Community est gratuite.
Un responsable AppSec qui voit sans cesse la même classe de bug
Arrêter un pattern de bug récurrent pour de bon
Écrivez une règle Semgrep dans la syntaxe propre du code et ajoutez-la à la configuration partagée utilisée par la CI et l'agent.
Avant de vous engager
- Mise en route
- brew install semgrep ou python3 -m pip install semgrep ; lancez semgrep mcp pour le serveur. Guardian s'installe depuis le gestionnaire /plugin de Claude Code.
- Intégrations
- Claude Code (plugin Guardian avec hooks), Cursor, VS Code et autres clients MCP ; CI GitHub et GitLab ; sortie SARIF.
- Données et confidentialité
- Le code est analysé localement et non téléversé par défaut ; les configurations du registre envoient des métriques pseudonymes sauf --metrics=off. Guardian parle à semgrep.dev pour la connexion et les détails de déploiement.
- Coût à grande échelle
- L'édition Community est gratuite ; la tarification d'AppSec Platform est par contributeur sur la page de tarification de Semgrep.
- Limites
- L'édition Community est une analyse d'une seule fonction ou d'un seul fichier et rate les bugs inter-fichiers.
Les points forts
- Les mêmes règles dans l'agent, l'éditeur et la CI
- Code analysé localement par défaut
- Les règles ressemblent au code qu'elles matchent
- Plus de 30 langages
Les points faibles
- Le palier gratuit analyse une fonction ou un fichier à la fois
- L'analyse inter-fichiers et le scan de dépendances ont besoin d'une connexion
- Les configurations du registre envoient des métriques sauf désactivation
- Le dépôt MCP autonome archivé ; vérifiez la documentation pour l'installation actuelle
Idéal pour
Toute équipe qui veut que le code écrit par IA affronte la même barrière d'analyse statique que le code humain.
Alternatives à Semgrep MCP
Semgrep MCP : questions fréquentes
- Semgrep MCP vaut-il le coup ?
- Un modèle peut se laisser convaincre d'abandonner une conclusion ; une vérification CI ratée, non, et Semgrep vous laisse lancer la même vérification aux deux endroits. Nous lui donnons 4.3 sur 5.
- Combien coûte Semgrep MCP ?
- Édition Community gratuite sous LGPL 2.1 ; Semgrep AppSec Platform (règles Pro, analyse inter-fichiers, Supply Chain, Secrets) est payante.
- Quels sont les inconvénients de Semgrep MCP ?
- Le palier gratuit analyse une fonction ou un fichier à la fois; l'analyse inter-fichiers et le scan de dépendances ont besoin d'une connexion; les configurations du registre envoient des métriques sauf désactivation; le dépôt MCP autonome archivé ; vérifiez la documentation pour l'installation actuelle.
- À qui s’adresse Semgrep MCP ?
- Toute équipe qui veut que le code écrit par IA affronte la même barrière d'analyse statique que le code humain.
- Combien coûte Semgrep MCP pour une équipe ou en production ?
- L'édition Community est gratuite ; la tarification d'AppSec Platform est par contributeur sur la page de tarification de Semgrep.
- Semgrep MCP est-il sûr pour les données de l’entreprise ?
- Le code est analysé localement et non téléversé par défaut ; les configurations du registre envoient des métriques pseudonymes sauf --metrics=off. Guardian parle à semgrep.dev pour la connexion et les détails de déploiement.
- Quelles sont les meilleures alternatives à Semgrep MCP ?
- Les alternatives les plus proches que nous avons testées sont Snyk MCP Server (Snyk Studio).
Réponses vérifiées le 24 oct. 2026.