よくある質問

Cyfendo は、ソースコードの脆弱性を継続的にスキャンし、レビューできる状態の修正を生成する、自律型のアプリケーションセキュリティプラットフォームです。検出、トリアージ、パッチ生成を自動化することで、セキュリティチームとエンジニアリングチームに求められる手作業の AppSec の負担を減らすよう設計されています。

Cyfendo は、クラウド管理の監査と Cyfendo Private Scan モードの両方に対応しており、エンタープライズのチームは、ご自身の LLM アカウントまたはオンプレミスモデル (Ollama/vLLM) を使って、Cyfendo にソースコードを送信せずに、解析を自分たちのマシン上でローカルに実行できます。

従来の SAST スキャナは硬直した構文パターンに頼り、ルールの手動調整が大量に必要となるため、誤検知率が高く、アラート疲れを招きます。Cyfendo は自律的な実行を軸に設計されています。コードのセマンティックな文脈と制御フローの到達可能性を解析して、到達できないノイズを除外し、必要に応じてレビューできる状態の統合差分パッチを添えた、対応可能な検出事項を提供します。

いいえ。Cyfendo が自動化するのは、定期的なスキャン、初期のトリアージ、ノイズの削減、修復の下書きといった、繰り返しの多い AppSec の作業です。セキュリティアーキテクチャ、リスクポリシー、最終的なコードの承認は、引き続きセキュリティリーダーとエンジニアリングチームが完全に管理します。

いいえ。Cyfendo は、複雑な設定やカスタムクエリ言語を必要とせず、そのままで動作します。開発者やエンジニアリングチームは、リポジトリを連携すれば、セキュリティの専門知識がなくてもすぐにコードの保護を始められます。

はい。Cyfendo は既存の仕組みに干渉せず動作し、既存の CI/CD の構成を変更することなく、Snyk、Semgrep、Checkmarx、Veracode、SonarQube、社内独自のセキュリティツールなどと並行して評価できます。

Cyfendo は、アプリケーションのソースコードと設定ファイルに対して、深いセマンティックな静的解析とデータフローの到達可能性の解析を行います。アプリケーション層の弱点、安全でない API の使用、入力検証の欠陥、暗号の設定ミスの特定に重点を置いています。

フルスキャンのたびに、サードパーティのパッケージも公表済みのアドバイザリに照らして監査します。その結果は、お客様自身のコードの検出事項とは別に扱われます。

Cyfendo は、OWASP Top 10、CWE Top 25 Most Dangerous Software Weaknesses、および専門的なクラウド/モバイルのセキュリティ標準にわたる、アプリケーション層の幅広い脆弱性を検出します。手続き間の AST テイント追跡、データフローの到達可能性の解析、デュアルオラクルのサンドボックス検証を組み合わせることで、Cyfendo は 6 つの主要な脆弱性領域にわたって、確度の高い欠陥にフラグを立てます:

• インジェクションの欠陥と動的コード実行: SQL インジェクション (生の SQL、カーソル呼び出し、NoSQL API にわたる CWE-89、CWE-564、CWE-943)、OS コマンドインジェクション (CWE-78、CWE-77、CWE-88)、動的コード実行と安全でない Eval (CWE-94、CWE-95、CWE-96)、クロスサイトスクリプティング / XSS (CWE-79、CWE-80、React の dangerouslySetInnerHTML)、サーバーサイドテンプレートインジェクション / SSTI (Jinja2、Mako、Tornado、EJS、Handlebars、Pug、Nunjucks、Velocity にわたる CWE-1336)、XPath インジェクション (CWE-643)、LDAP インジェクション (CWE-90)、XML 外部エンティティ / XXE (CWE-611、CWE-827)。
• ファイルシステム、アップロード、アーカイブのセキュリティ: パス・ディレクトリトラバーサル (CWE-22、CWE-23、CWE-36、CWE-73)、安全でないアーカイブ展開 / Zip Slip (検証されていないアーカイブの展開による CWE-29)、無制限のファイルアップロード (CWE-434)。
• アプリケーションロジックと最新のフレームワークの弱点: サーバーサイドリクエストフォージェリ / SSRF (CWE-918)、安全でないデシリアライゼーション (Python の pickle/PyYAML、PHP の unserialize、Java の ObjectInputStream にわたる CWE-502)、プロトタイプ汚染 (CWE-1321)、安全でないマスアサインメントとエンティティのオーバーポスティング (CWE-915)、クロスサイトリクエストフォージェリ / CSRF (CWE-352)、オープン URL リダイレクト (CWE-601)、信頼境界違反 (CWE-501)。
• 認証、認可、シークレット管理: 不適切な認証と認可の欠如 (CWE-287、CWE-306、CWE-862、CWE-863 / BOLA / IDOR)、安全でない JWT 検証と署名の欠陥 (none アルゴリズムまたは署名チェックの欠如による CWE-347、CWE-345)、ハードコードされたシークレットと C2 ボットのトークン (CWE-798)、安全でない Cookie 設定 (CWE-614、CWE-1004)。
• 暗号、TLS、データ保護: 破られた暗号と安全でないモード (ECB モード、DES、RC4 などの CWE-327)、静的 / ハードコードされた暗号の IV とナンスの再利用 (CWE-329)、破られた/弱い暗号ハッシュ (MD5、SHA-1 による CWE-328、CWE-326)、安全でない乱数と弱い PRNG (CWE-330、CWE-338)、安全でない TLS / 無効化された証明書検証 (CWE-295)。
• モバイルと Android バイトコードのセキュリティ (展開済み APK の Dalvik .dex ファイル): 悪意のある動的ドロッパーと任意コードのロード (DexClassLoader / PathClassLoader による CWE-506、CWE-494)、Android FileProvider のルートパスの露出 (CWE-22)、ネットワーク通信の傍受 (VpnService による CWE-250)、機密情報の平文保存 (CWE-312、CWE-922)。

確認されたすべての脆弱性は、ソースからシンクまでの完全なテイントトレース、CWE の定義、CVSS スコアリング、必要に応じてレビューできる状態のパッチ差分を備えた、インタラクティブな検出事項のドシエに表示されます。

Cyfendo の対応範囲マトリクスは、5 つの運用上の観点と複数の言語ティアにわたる、信頼できる唯一の情報源です:

• 本番対応 (10 の主要な言語ファミリー): Python、Java、JavaScript/TypeScript、Go、C/C++、Rust、PHP、Ruby、Shell/Bash、Kotlin / Android にわたる、包括的なファイル間テイント解析、一時的なサンドボックスでのエクスプロイト検証、レビューできる状態のパッチ生成。
• ベータとロードマップでの対応 (3 言語): C#、Swift、Scala については、アーリーアクセスの解析と基本的な脆弱性スキャンを利用できます (高度なファイル間テイント追跡と自律的なパッチ生成は、開発ロードマップに含まれています)。
• 5 つの運用上の機能の観点:
  • 1) 基本スキャン: AST 解析と、単一ファイルの字句パターンマッチング。
  • 2) 本番対応のファイル間テイント解析: 信頼できない入力から機密性の高いシンクまでの、コードベース全体にわたる手続き間のデータフロー追跡。
  • 3) 一時的なサンドボックスでのエクスプロイト検証: トリガーとなるペイロードと、無害な機能のベースラインを用いた、デュアルオラクルによる動的な到達可能性の検証。
  • 4) レビューできる状態のパッチ生成: 開発者がレビューしてマージできる、文脈に沿った統合差分。
  • 5) ベータ / ロードマップでの対応: プレビュー段階の構文解析と、エンジンの継続的な拡張。

詳細な内訳は、言語対応マトリクスに記載しています。

はい。フルスキャンのたびに、プロジェクトが依存しているパッケージと、それらに影響する公表済みの脆弱性も一覧表示します。Cyfendo は、npm、PyPI、Go、Maven/Gradle、NuGet、Cargo、Composer、RubyGems、Hex、Pub、Swift について、まずロックファイルを読み取り、ロックファイルがカバーしていないものはマニフェストを読み取ります。

アドバイザリは OSV.dev (GitHub Advisory Database と既知の悪意のあるパッケージを含む) から取得し、CISA Known Exploited Vulnerabilities カタログと FIRST EPSS のエクスプロイトスコアを組み合わせています。

任意のクラウドスキャンの依存関係ページを開くか、cyfendo deps を実行すると、AI モデルもアップロードも使わずに、この監査だけを実行できます。追加のスキャンクレジットは消費せず、ロックファイルが保護対象 LOC に計上されることもありません。依存関係の監査ガイドをご覧ください。

検出事項とは、Cyfendo がお客様自身のコードで見つけ、サンドボックスでの攻撃によって証明しようとした弱点です。依存関係のアドバイザリとは、お客様が使っているパッケージのバージョンについて、他者が公表した脆弱性です。Cyfendo はこれをお客様のアプリに対してテストしないため、お客様のコードがパッケージの脆弱な部分に到達するかどうかは分かりません。

そのため、これらは別扱いになっています。アドバイザリが、検出事項の件数、リスクスコア、--fail-on ゲート、検出事項の SARIF を変えることはありません。アドバイザリでビルドをゲートするには --deps-fail-on を使用します。アドバイザリの照会が完了しなかった場合も終了コード 1 で終了します。SARIF ファイルに追加するには --sarif-include-deps を使用します。

深刻度はアドバイザリで公表されている評価です。優先度は、何から修正すべきかを示す Cyfendo の順位付けです:

• P1: 既知の悪意のあるパッケージ、または、実際に悪用されている脆弱性の CISA リストに載っている脆弱性。
• P2: アプリに同梱されるパッケージの重要度が高い、または緊急のもの、もしくは EPSS スコアが 10% 以上のもの。
• P3: 重要度が低い、または未評価のもの、あるいは、コードがインポートしているようには見えない直接依存パッケージの、重要度が高い、または緊急のアドバイザリ。
• P4: 開発用またはテスト用のパッケージのみ。

Cyfendo は、アドバイザリの順位付けのためだけに、コードがパッケージをインポートしているかを確認します。インポートされていないパッケージでも、プラグイン、ツール、設定によって読み込まれる可能性があるため、アドバイザリを非表示にすることはありません。

自動では修正しません。各アドバイザリには最初に修正されたバージョンが記載されているため、通常は、お客様自身でアップグレードすることが修正となります。Cyfendo は依存関係のパッチを作成もテストもしません。パッケージが悪意のあるものと判明している場合は、削除したうえで、ビルドやアプリが到達できたシークレットをローテーションしてください。

はい。クラウドスキャンが対象です。Cyfendo は毎日、各プロジェクトの最新のクラウドスキャンのパッケージを、あらためて OSV.dev と照合します。新しいアドバイザリは、そのスキャンの依存関係ページと通知に表示され、ワークスペースのオーナーにはメールが届きます (開発用パッケージにのみ影響するアドバイザリは、通知のみでメールは送られません)。

プロジェクトごとに、依存関係ページでこれをオフにできます。Private Scan は、そのパッケージ一覧が Cyfendo に届かないため、監視されません。

はい。パッケージとそのアドバイザリを一覧にした CycloneDX 1.6 形式で出力できます。クラウドスキャンでは、スキャンページでレポートのエクスポート → SBOM (CycloneDX 1.6)を選択します。CLI では、cyfendo scan または cyfendo deps に --sbom sbom.cdx.json を追加します。Private Scan でも .cyfendo/sbom.cdx.json に保存されます。

送信されるのはパッケージ名とバージョンのみで、ソースコード、ファイルパス、プロジェクト名は送信されません:

• 名前とバージョンが OSV.dev に送信され、見つかった CVE ID が FIRST EPSS に送信されます。CISA のカタログはダウンロードされるため、CISA にお客様のプロジェクトに関する情報は届きません。
• ロックファイルがカバーしていないパッケージについては、その名前とバージョンが deps.dev にも送信され、宣言されたバージョン範囲は npm レジストリまたは PyPI で照会されます。
• ワークスペース、パス、git のパッケージ、およびプライベートレジストリに紐付けられているパッケージは送信されません。

Private Scan では、これらのリクエストはお使いのマシンから直接送られ、依存関係に関する情報が Cyfendo に届くことはなく、--no-deps でオフにできます。クラウドスキャンでは、リクエストは Cyfendo のワーカーから送られ、最新のスキャンのパッケージ一覧は監視のために保持されます。

アプリケーションのペネトレーションテストは、現在、一部の企業向けの限定ベータ版のみです。別途スコープを定めて個別の手配により提供され、セルフサービスのプランには含まれません。評価の要件とスケジュールについては、営業担当にご相談ください。

いいえ。Cyfendo は、組み込みのセマンティックモデルと業界標準の脆弱性定義により、そのままで動作します。カスタムルールを書いたり、正規表現フィルタを調整したりしなくても、すぐに始められます。

はい。Cyfendo はコードベース全体をインデックス化し、包括的な手続き間のコールグラフを構築して、モジュールをまたぐデータフローを追跡します。以降のプルリクエストや増分のコミットでは、変更されたパスとその呼び出し元に対して、高速な差分解析を行います。

はい。GitHub App と CI/CD の連携により、Cyfendo はプルリクエストやコミットで差分スキャンを自動的に起動し、コードがマージされる前に、インラインコメントとセキュリティのステータスチェックを返すことができます。

Cyfendo のすべてのプランには、CI/CD パイプライン向けに調整された、予測しやすい月間のセキュリティスキャン許容量が含まれています (Free は月 5 回、Starter は月 10 回、Growth は月 30 回、Scale は月 100 回)。変更のないスナップショットの同一の再スキャンでは、スキャンクレジットを 0 しか消費しないため、開発者はスキャンクレジットを使わずに状態を再確認できます。

いいえ。Cyfendo は、抽象構文木 (AST) とセマンティックなシンボルテーブルを使ってソースコードを直接解析するため、お客様側で完全なビルド環境、コンパイル済みバイナリ、コンテナイメージを用意する必要はありません。

任意のコードパターンのすべてにわたって完璧を達成する自動セキュリティスキャナはありません。Cyfendo は、問題を報告する前に、信頼できないソースから機密性の高いシンクまでのデータフローの到達可能性を検証することで、幅広い脆弱性検出と高い適合率を両立するよう設計されています。

はい。どの自動化されたセキュリティツールでも、誤検知は起こり得ます。Cyfendo は、セマンティックな到達可能性と実行コンテキストを検証することで、これを最小限に抑えるよう設計されています。すべての検出事項には、完全な証拠とトレースグラフが含まれるため、開発者はその妥当性をすばやく評価できます。

はい。自動化されたセキュリティスキャンでは、すべての脆弱性や複雑なビジネスロジックの欠陥が検出されることを保証できません。Cyfendo は、セキュアなコードレビューやテストと並ぶ、多層防御を備えた包括的なセキュリティプログラムの主要な構成要素として活用してください。

各検出事項には、脆弱性の種類と CWE ID、深刻度の分類、影響を受けるファイルと行番号、ソースからシンクまでの完全なデータフロートレース、エクスプロイト可能性の説明、対応可能な修復のアドバイス、該当する場合はレビューできる状態の統合差分パッチが含まれます。

OWASP Benchmark は、2,740 件のテストケースにわたって脆弱性検出の性能を測定する、標準化されたテストスイートです。Cyfendo が公表している結果は、そのベンチマークでの性能を示すものであり、あらゆる実環境のアプリケーションで同等の検出率が得られることの保証と解釈すべきではありません。

感度 (再現率) は、既知の脆弱なベンチマークのケースのうち、Cyfendo が正しく識別した数を測るものです (真の脆弱性テストケース 1,415 件のうち 1,331 件)。これは脆弱性検出の網羅性の指標であり、適合率や実環境全体での精度を示すものではありません。

Youden 指数 (J = 感度 + 特異度 - 1) は、感度と特異度を 1 つの複合指標にまとめたもので、偽陽性と偽陰性を同等に評価します。0.90 というスコアは、脆弱なコードパスと脆弱でないコードパスを強く判別できていることを示しています。

はい。完全な方法論、テストの構成、カテゴリ別のスコアの内訳を、公開している OWASP Benchmark ホワイトペーパーに掲載しています。

重複排除は、同じ根本原因や実行フローを共有する生の脆弱性トレースをグループ化し、エンジニアリングチームに冗長なアラートが大量に届かないようにするものです。Cyfendo は、設定可能な 3 つの重複排除の範囲に対応しています:

• 根本原因 (デフォルト): 関数とルートにまたがる、多要素の AST コールグラフのクラスタリング。重複したアラートを、根本原因ごとの検出事項にまとめます。
• ファイル単位の分離 (file): 重複排除を個々のファイル内に限定します。別のファイルの検出事項が統合されることはありません。
• 生のトレース (none): クラスタリングを完全に無効にし、検証済みの候補トレースをすべて個別に出力します。

ベンチマークモードは、合成の脆弱性評価スイート(OWASP Benchmark、Juliet Test Suite、SecBench、社内のテストスイートなど)を実行するために特に最適化されています。

Web UI のトグル、または CLI フラグ(--benchmark-mode)で有効にすると、Cyfendo は重複排除を自動的にファイル単位の分離に固定し(別々のファイルにある合成テストケースが統合されて、見かけ上の偽陰性が生じるのを防ぐため)、評価のスループットを最大にし正解データと直接比較できるよう、最初の AI パッチ生成を省略します。

Cyfendo は、対応する検出事項に対して、コード変更の案(修復パッチ)を生成できます。マージする前に、それらの変更をレビューし、テストし、受け入れる責任は開発者にあります。

いいえ。パッチの生成は任意です。脆弱性の検出、トリアージ、手動での修復ガイダンスのためだけに Cyfendo を使うこともできます。

いいえ。パッチの生成はすべての有料プランに追加料金なしで含まれており、いつでも有効・無効を切り替えられます。

はい。セキュリティ修正には、複数のファイルにまたがる連携した変更が必要なものがあります(データベースクエリとその呼び出し元の両方を更新する場合など)。生成される 1 つのパッチに、必要な変更をすべて含めることができます。

パッチは標準的な unified diff(`.patch` 形式)で提供されます。Cyfendo Web IDE で目視でレビューしたり、ダウンロードしたり、標準の Git ツール(`git apply`)でローカルに適用したりできます。

いいえ。Cyfendo がお客様のリポジトリにコードを自動でマージすることは一切ありません。コードの承認とマージに関するすべての権限と責任は、100%開発者にあります。

生成されたパッチは、開発者に修正を提示する前に、構文解析と、隔離されたサンドボックスでの自動再スキャンを経て、テイントパスが断たれ脆弱性が解消されたことを確認します。

自動化されたコード変更は、いかなるものも保証されたものとして扱うべきではありません。Cyfendo は、レビューにそのまま回せる質の高い修正を生成し、最終的なテストとマージの承認は開発者の手に残すように設計されています。

高速 PoC モード(デフォルト):セマンティックな AST 解析、手続き間のテイント伝播、gVisor サンドボックスでの動的なエクスプロイト検証を、LLM によるコード生成を待たずに実行します。スキャンは数秒で完了し、検証済みの概念実証が得られます。

AI 修復モード:検出と PoC の検証に加えて、ピンポイントなコード差分を生成し、デュアルオラクルのサンドボックスで検証して、単体テストを壊すことなく脆弱性が緩和されることを確認します。

はい。高速スキャン(またはパッチを省略したベンチマークスキャン)を実行した場合でも、インタラクティブ脆弱性 IDEで任意の検出事項を開き、「Synthesize Dual-Oracle Patch」をクリックできます。Cyfendo は、その検出事項に対するピンポイントな unified diff を、その場で生成し、サンドボックスで検証して提示します。

公式の GitHub App 連携、Web ダッシュボードでの ZIP またはフォルダの直接アップロード、またはローカルのターミナルや CI パイプラインでの Cyfendo CLI(cyfendo scan .)の実行で、コードを接続できます。

CLI は PyPI から pipx install cyfendo または pip install --upgrade cyfendo でインストールします(Python 3.9 以降、macOS、Linux、Windows に対応)。ワンライナーのインストーラー curl -sSL https://cyfendo.com/install.sh | bash でも同じ結果になります。Cyfendo は単体のバイナリの配布を終了しました。以前にインストールした場合は、インストーラーをもう一度実行するか、~/.local/bin/cyfendo を削除して PyPI からインストールしてください。

Cyfendo は最小権限の原則に従っています。スキャンには、リポジトリへの読み取り専用アクセスで十分です。書き込み権限を求めるのは、修復の差分に対する自動のプルリクエスト作成を、お客様が明示的に有効にした場合だけです。

はい。GitHub 連携を設定するとき、組織全体ではなく、選択したリポジトリにだけアクセスを許可できます。

GitLab、Bitbucket、Azure DevOps、ローカルの Git リポジトリは、スタンドアロンの CLI(cyfendo scan .)か、Web ダッシュボードからのプロジェクトアーカイブのアップロードでスキャンできます。

はい。既存の SCM や CI システムがコードをワークスペースにチェックアウトし、Cyfendo CLI がその結果のソースツリーを直接スキャンします。

はい。Cyfendo CLI は、GitHub Actions、GitLab CI、Jenkins、CircleCI、独自のビルドパイプラインに組み込み、セキュリティゲートの適用や SARIF レポートの出力ができます。

はい。開発者はターミナルから cyfendo scan . を実行して、ローカルのブランチをスキャンし、上流のリポジトリにコードをプッシュする前に検出事項を確認できます。

Cyfendo CLI には、Web UI のすべての設定コントロールに対応する、きめ細かなオプションがあります。

• --dedup-scope=root_cause|file|none: コールグラフによるクラスタリング、ファイル単位の分離、生の候補トレースのいずれかを選びます。
• --generate-patch: スキャン中に、AI による修復パッチの自動生成を有効にします。
• --no-patch: 高速な PoC スキャンのために、パッチの生成を明示的に省略します。
• --benchmark-mode: ベンチマーク評価モードで実行します(重複排除をファイル単位の分離に固定し、パッチの生成を省略します)。
• --patch-bundle=<path>: 生成されたすべての修正を、1 つにまとめた unified .patch バンドルに出力します。

接続済みの任意の Git プロジェクトに、ダッシュボードから(または REST API で)定期スキャンの自動スケジュールを設定できます。頻度は、毎日(24 時間ごと)、毎週(7 日ごと)、毎月(30 日ごと)から選べます。

スケジュールを設定すると、Cyfendo はバックグラウンドで実行され、新しいコミットを取得し、コードの到達可能性を監査し、ピンポイントな修正を生成して、完了通知をアプリ内の受信トレイとメールアドレスに届けます。

定期スキャンが起動すると、Cyfendo はコードをクローンする前に、git ls-remote を使ってリモートブランチの HEAD コミット SHA を軽量に事前確認します。前回完了したスキャン以降に新しいコミットがなければ、スケジューラーはただちにステータス skipped_unchanged で終了します。

スキャンクレジットは 0 しか差し引かれず、計算リソースも LOC クォータも消費されないため、コードベースに実際の変更があったときのために、月間のスキャン枠をそのまま残せます。

はい。Cyfendo はモノレポ構成に完全に対応しています。手動スキャンでもスケジュールスキャンでも、相対パスのサブディレクトリ(例: apps/api、services/billing、packages/core)を任意で指定できます。

Cyfendo は、そのサブフォルダ内のファイルだけを切り出してパッケージ化します。保護対象 LOC の計上と、セキュリティ脆弱性のトリアージには、その特定のサービスだけが反映されます。

プライベートリポジトリ用のパーソナルアクセストークンは、認証付きの AES-256(Fernet)暗号で保存時に暗号化されます。

トークンが復号されるのは、一時的なサンドボックスでの取得処理の間だけで、メモリ上でのみ行われ、平文でディスクに書き込まれることはなく、すべての API レスポンスでマスクされます。すべての Git サブプロセスは -c credential.helper= によるサンドボックスの分離を強制するため、ローカル OS に存在する認証情報にはアクセスできません。

はい。Cyfendo は Git の認証情報をプロジェクト(project_id)ごとに厳格に分離します。プロジェクトのスケジュールのモーダルで Git トークンを設定または更新すると、そのトークンはそのリポジトリだけに限定されます。

これにより、最小権限に沿った、リポジトリ単位のきめ細かなトークンを作成できます。あるリポジトリの認証情報を更新またはローテーションしても、ワークスペース内の他のリポジトリに影響したり、そのスキャンが起動したりすることはありません。

Cyfendo は、数百万行規模のリポジトリを含む大規模な本番コードベースで動作するよう、サブリニアなインデックス作成と分散 AST 分析を用いて設計されています。

スキャンにかかる時間は、コードベースの規模、言語の複雑さ、差分スキャンが有効かどうかによって異なります。小規模から中規模のリポジトリは通常 2 分以内に完了し、大規模なエンタープライズのリポジトリは、スケジュールされたフル監査で 5 分から 15 分で完了します。

いいえ。プルリクエストや増分コミットでは、Cyfendo は変更されたファイルとその依存関係のコールグラフに対して高速な差分分析を行い、コードベース全体の監査は、最初の導入時とスケジュール実行のために残しておきます。

Cyfendo のどのプランにも、予測しやすい月間のセキュリティスキャン枠が含まれています(Free は月 5 回、Starter は月 10 回、Growth は月 30 回、Scale は月 100 回)。変更のないコードベースのスナップショットの再スキャンは、スキャンクレジットを 0 しか消費しません。

Cyfendo の料金は、保護対象のアクティブなコードベースの規模と、固定の月間スキャン枠に基づく、予測しやすいものです。変更のないスナップショットの再スキャンは、追加の LOC を 0、スキャンクレジットを 0 しか消費しません。より多くのスキャン数や大きなコードベースの容量が必要な場合は、モジュール式のアドオンとプランのアップグレードをご利用いただけます。

スキャンごとにだけ課金すると、望ましくない動機が生まれます。エンジニアリングチームが予算を節約するためにスキャンの頻度を減らし、重大な脆弱性がリリースサイクルの終盤まで検出されないままになってしまうのです。

Cyfendo がお約束するのは、保護するコードに基づく、予測しやすい料金です。保護対象のコードベースの容量に、余裕のある月間スキャン枠と、変更のないコードの 0 クレジット再スキャンを組み合わせることで、開発者は予算が突然膨らむ心配なく、継続的なセキュリティ対策を維持できます。

保護対象 LOC は、常時有効な容量の上限(ディスクの容量やサーバーの RAM に似たもの)であるのに対し、月間スキャン枠は毎月補充される消費型の予算です。

• 常時の容量(保護対象 LOC):リポジトリが Cyfendo で保護されている間は、そのコード行数がプランの枠を継続的に占有します(例: 100K の Starter プランで 80K LOC のリポジトリを保護している場合、残りは 20K LOC です)。同時により多くのリポジトリを保護するために、翌月に新しい 100K が残高に加算されることはありません。
• 継続的な更新は無料(追加の LOC は 0):稼働中のプロジェクトのコードを更新、変更、リファクタリング、修正しても、追加の LOC は 0 しか消費しません。
• 補充されるスキャン予算:月間のセキュリティスキャン枠(例: Starter は 10 回、Growth は 30 回、Scale は 100 回)は、30 日ごとの請求サイクルの開始時に自動でリセットされます。

プロジェクトを削除すると、稼働中のスキャンはただちに停止します。月間の容量の上限を公平に保ち、削除によるローテーションの悪用(例: 同じ月間クォータでリポジトリ B をスキャンするためにリポジトリ A を削除する)を防ぐため、容量は月間のクォータ期間をまたいで計上されます。

枠全体は、次の月次請求サイクルの開始時にリセットされます。既存のプロジェクトを継続的に更新する場合、通常のバージョン更新やリファクタリングは、同じプロジェクトの連続したバージョンとして扱われます。

Cyfendo のどのプランにも、継続的なセキュリティ対策と CI/CD パイプラインの活用を想定した、余裕のある月間スキャン枠が含まれており、ユーザーシート数は無制限です。

• Free プラン:保護対象 LOC は最大 10K、セキュリティスキャンは月 5 回(保護対象リポジトリは 1 つ)。
• Starter プラン(月額 $99):保護対象 LOC は最大 100K、セキュリティスキャンは月 10 回(リポジトリ数は無制限)。
• Growth プラン(月額 $299):保護対象 LOC は最大 500K、セキュリティスキャンは月 30 回(リポジトリ数は無制限、スキャンキューの優先処理つき)。
• Scale プラン(月額 $799):保護対象 LOC は最大 2M、セキュリティスキャンは月 100 回(モジュール式のアドオンで拡張可能)。

同一内容の再スキャン(スキャンクレジット 0):コードに変更がない同一のコミットやスナップショットをスキャンしても、スキャンクレジットは消費されません。スキャン枠は、30 日ごとの請求サイクルの開始時に自動で更新されます。

Cyfendo は、30 日ごとの請求サイクルにおける期間ピーク(High-Water Mark)モデルを採用しており、頻繁なスキャンやリファクタリングが、開発者の不利にならないようにしています。

• 継続的な再スキャンとバグ修正(追加の LOC は 0):プロジェクトのコードを変更、リファクタリング、修正して、コードベース全体の規模がその月の現在のピーク以内に収まっている場合、差分 LOC は 0 です。再スキャンと自動の PR チェックに追加費用はかかりません。
• コードベースの成長と機能の拡張(差分 LOC が増加):プロジェクトの規模が拡大した場合(例: 10,000 LOC から 13,000 LOC)、課金されるのは純増分(差分 +3,000 LOC)だけで、13,000 LOC のコードベース全体が最初から課金されることはありません。
• コードの削減・整理(追加の LOC は 0):使っていないコードを削除して、プロジェクトが 10,000 LOC から 8,500 LOC に縮小した場合、差分 LOC は 0 です。それまでに確定したピーク(10,000 LOC)は現在の 30 日サイクルの間は保持され、次回の請求更新時にリセットされます。
• ソースの連続性の自動分析:Cyfendo は、アップロード間のバージョンの系統を決定論的に照合します(フォルダ名の変更、ファイルの移動、増分の編集に対応)。枠の使い回しを防ぐため、完全に無関係なコードベース(重複が <20% のもの)だけが新しいプロジェクトの割り当てとして扱われます。

Cyfendo が計上するのは、自社開発のアプリケーションのソースコードだけです。

• コメントと空行:対応するすべての言語(Python、Java、JS/TS、Go、C/C++、Rust など)で、自動的に取り除かれ、計上されません。
• ベンダーパッケージと依存関係:node_modules/、vendor/、third_party/ などのディレクトリと、ロックファイル(package-lock.json、poetry.lock)は、保護対象 LOC の計算から完全に除外されます。
• ビルド成果物とバイナリ:dist/、build/、コンパイル済みバイナリ、画像、フォントは、自動的に無視されます。
• ミニファイされたコードと高密度のコード:自動的に検出されます。通常の読みやすいコードはそのまま計上され、高密度またはミニファイされた単一行のアセットには、クォータの歪みを防ぐための実効的な密度の下限が適用されます。

稼働中の保護対象コードがプランの枠を超えると、Cyfendo は自動で14 日間の猶予期間を設けます。この猶予期間中も、スキャンと CI/CD パイプラインは中断されずに続行されるため、スプリント中にチームのワークフローが止まることはありません。

プランのティアのアップグレードや、保護対象プロジェクトの調整は、「プランと請求」の設定から簡単に行えます。明示的な確認なしに、自動的に課金されたり、気づかないうちにアップグレードされたりすることは一切ありません。

追加の 1M LOC の容量ユニット(1M LOC あたり月額 +$200 または年額 $2,000、スキャンは月 +500 回)は、Scale ティアでのみ、モジュール式の容量拡張として利用できます(2M LOC を超えるコードベース向け)。

2M LOC 未満のコードベースでは、標準のティア間(Starter は 100K LOC、Growth は 500K LOC、Scale は 2M LOC)でアップグレードするのが、1 行あたりのコストが最も低く、対応するプラットフォームの機能をすべて利用できます。

Enterprise は、2M LOC を超えるコードベース、専用のプライベート VPC へのデプロイ要件、SSO/SAML 連携、カスタムのデータ保持ポリシー、専用の契約上の SLA が必要な組織向けに設計されています。

プライベートなデプロイの要件がある場合は、お問い合わせください。当社は、条件を満たす Enterprise のお客様と、AWS、Azure、GCP の VPC 内へのセルフホストのプライベートワーカーエージェントのデプロイについて検討しています。

はい。Cyfendo には、Google Workspace のシングルサインオン(SSO)と、きめ細かなロールベースアクセス制御(ワークスペースオーナー、実行と閲覧、閲覧のみ)が、すべての Business および Enterprise アカウントに標準で備わっています。ワークスペースのオーナーは、一元化されたチームダッシュボードから、共同作業者の招待、ロールの割り当て、最小権限でのスキャンの運用ができます。専用の SAML 2.0 / Okta 連携は、カスタムの Enterprise 契約でサポートされます。

はい。Enterprise 契約では、カスタムのデータ保持スケジュール、検出事項を保存しないポリシー、専用の監査ログのエクスポートに対応しています。

はい。Enterprise 契約には、稼働率の SLA(最大 99.9%)と、優先的な技術サポートの応答に関する取り決めが含まれます。

はい。Cyfendo は、提供可能なセキュリティ関連の資料をお渡しし、ベンダー審査やセキュリティ審査の際に、条件を満たすお客様とともに対応します。

開発者は、ダッシュボードで検出事項に直接「誤検知」または「リスクを受容」のフラグを付け、任意でメモを添えられます。このフィードバックは、以降のスキャンでの到達可能性分析の改善に使われます。

マージしないでください。主導権は常に開発者にあります。当社のエンジニアリングチームが調査できるよう、製品またはサポート窓口からそのパッチを報告してください。

当社は RFC 9116 に基づくセキュリティ開示ポリシーを運用しています。脆弱性の詳細は contact@cyfendo.com にメールでお送りください。セキュリティ窓口の詳細は /.well-known/security.txt に掲載しています。

Free のユーザーは、技術ドキュメントと標準のメールサポートをご利用いただけます。有料プランには優先チケット対応が含まれ、Scale と Enterprise のプランには、専任の技術アカウント管理と Slack/Teams チャンネルが含まれます。