Alternatives open source face à la controverse sur la licence Semgrep

La communauté de la sécurité a été témoin d'un changement sismique en janvier 2025, lorsque des entreprises rivales se sont unies pour lancer Opengrep— un dérivé de l'outil de test de sécurité des applications statiques Semgrep. Autrefois reconnu pour son esprit open source axé sur la communauté, SemgrepName a suscité la controverse lorsqu'il a modifié son modèle de licence en décembre 2024. Ces changements de licence ont restreint l'utilisation des règles contribuées dans les produits commerciaux et ont déplacé les fonctionnalités clés derrière un mur payant.

Semgrep est devenu un outil essentiel pour les développeurs du monde entier grâce à sa capacité à détecter les vulnérabilités dans de nombreux langages de programmation. Cependant, la décision de l'entreprise risque de freiner l'innovation dans un domaine crucial pour la cybersécurité moderne.

Au milieu de la controverse, la startup DevSecOps DeepSource a été lancée Globstar, une nouvelle boîte à outils open source pour la sécurité du code. Conçue de toutes pièces et publiée sous licence MIT, Globstar affirme vouloir offrir un accès commercial illimité et un accès public complet à son code.

« Avec Globstar, nous proposons une nouvelle approche de l'analyse statique personnalisée, conçue pour répondre aux besoins des équipes de sécurité. Elle est issue d'un cadre interne que nous avons développé pour la détection des menaces. » Sanket Saurav, co-fondateur et PDG de Source profonde, m'a-t-il confié. « Semgrep est déjà entre de bonnes mains, et notre objectif était de nous démarquer. Nous ne nous considérons pas comme un remplaçant, mais comme une alternative qui apporte une nouvelle perspective à l'espace. »

La société a levé un total de 7.7 millions de dollars de financement et est actuellement soutenue par les investisseurs de Y-Combinator.

Développé en langage de programmation Go et intégré à Tree-sitter, Globstar prend en charge plus de 20 langages de programmation. La boîte à outils comprend une interface YAML intuitive pour la création de vérificateurs de sécurité personnalisés et une interface Go avancée pour l'analyse multi-fichiers complexe.

« Lorsqu'un projet est dérivé, il prend souvent une trajectoire différente, mais lorsqu'il est contraint de s'appuyer sur un produit existant, l'innovation peut être limitée », a déclaré Sanket. « Nous avons créé un système qui simplifie le processus de création de vérificateurs de code personnalisés. »

Nécessité commerciale versus préservation open source

Le 13 décembre 2024, Semgrep a remanié son modèle de licence afin de restreindre l'utilisation par des tiers de règles contribuées dans des produits commerciaux concurrents sans autorisation. De plus, l'entreprise a rebaptisé sa version open source « Semgrep CE » (Édition Communautaire). Semgrep affirme que ces modifications de licence sont essentielles pour protéger la propriété intellectuelle et garantir des revenus durables. L'entreprise soutient que la restriction de l'utilisation commerciale contribue à freiner le reconditionnement non autorisé et soutient l'innovation à long terme.

« Lorsque les ingénieurs écrivent du code pour résoudre un problème, l'analyse statique examine le code sans l'exécuter, identifiant ainsi les tendances et les problèmes potentiels dès les premières étapes du développement. Semgrep est un acteur respecté dans ce domaine, et je les tiens en haute estime », a déclaré Sanket. « Cependant, leur évolution en matière de licences pour les utilisateurs commerciaux reflète une réalité plus large : les entreprises financées par du capital-risque doivent concilier principes open source et modèles économiques durables. »

Il note que même si le changement n'a pas eu d'impact direct sur les utilisateurs finaux, il soulève un débat permanent sur la question de savoir si l'open source doit rester entièrement sans restriction ou évoluer pour assurer sa viabilité à long terme.

En janvier 2025, dix entreprises de DevSec, dont Aikido Security, Arnica, Amplify Security, Endor Labs, Jit, Kodem, Legit Security, Mobb et Orca Security, ont formé un consortium pour lancer Opengrep. Traditionnellement très compétitifs, le nouveau consortium entend contester directement la décision de Semgrep de limiter les fonctionnalités à des fins commerciales. blog récentsEndor Labs a déclaré que l’analyse de code statique est « trop importante pour être restreinte ».

Cependant, il n'est pas encore clair si Opengrep se contente de reconditionner du code hérité plutôt que d'offrir une solution complètement nouvelle.

L'essor des alternatives open source 

DeepSource a identifié un besoin croissant chez les développeurs pour un outil qui s'affranchit des contraintes héritées. « Les entreprises clientes ne souhaitent pas jongler avec plusieurs outils : cela crée des difficultés d'intégration et stimule la demande pour une solution tout-en-un », explique Sanket. « L'analyse statique joue un rôle crucial dans la compréhension de l'architecture du code, c'est pourquoi nous nous sommes positionnés comme une plateforme unifiée. »

Cependant, Globstar, développé par DeepSource, n'est pas le seul à le faire. Plusieurs alternatives d'analyse de code statique ont gagné en popularité suite à la controverse sur la licence Semgrep. Par exemple, SonarQube est une plateforme d'analyse de code proposant une édition communautaire gratuite et des versions payantes pour l'analyse de code statique, l'assistance à l'intégration et le suivi des indicateurs. ShellCheck est également une autre alternative spécifiquement utilisée pour l'analyse des scripts shell et aide les développeurs à détecter les erreurs de script susceptibles d'entraîner des bugs majeurs ou des inefficacités. Il signale les commandes ou la syntaxe potentiellement incompatibles entre différents environnements shell. Grâce à sa simplicité d'utilisation (exécution en ligne de commande et intégration aisée aux pipelines CI/CD), ShellCheck est devenu un choix de plus en plus populaire.

Si Opengrep cherche à préserver les racines ouvertes d'un outil historique, d'autres alternatives comme SonarQube, Globstar et ShellCheck offrent également une solution innovante et avant-gardiste. Alors que le débat sur l'open source se développe, les développeurs et les entreprises sont confrontés à des choix cruciaux susceptibles de redéfinir le paysage de l'analyse de code.