Next TokenParallel World

← ラボ / Claude Code ガイド / 連携台帳

Snyk Limited・開発ツール・CI/CD・海外　公式サイト
コード・依存関係・コンテナ・IaCなどのセキュリティ脆弱性をスキャン・監視するサービス。CLI、IDEプラグイン、SCM／CI/CD連携、APIで開発ワークフローに組み込める（公式ドキュメントの説明）。

Claude Codeに、どこまで権限を渡せるか

読み取り専用で渡せるか あり
公式のサービスアカウントのページに、書き込みできない読み取り専用トークンにするには Group Viewer のサービスアカウントを使う、とある。組織用サービスアカウントに読み取り専用の標準ロールがあるとは書かれていない（カスタムロールが唯一の方法と読める）。Snyk Studio（MCP）をこの方法で読み取り専用にできるかは確認していない。
権限（スコープ）を選べるか あり
OAuth風のスコープ選択ではなく、サービスアカウントに割り当てるロールで権限の範囲を決める。グループ用は Group Viewer / Group Admin / Group Member、組織用は Org Admin / Org Collaborator / 自作のカスタムロール。自分より強い権限のロールは割り当てられない。
危険な操作の既定
制御の記載なし。MCPには snyk_trust でフォルダを許可する手順があり、Claude Codeガイドは確認プロンプトの記載なし（スクリーンショットのみ）。ホスト型MCPは提供されない（ローカル実行）。
削除ができるか できる
ロール権限として「Remove Project」があり、Org Admin と Org Collaborator が Yes、Group Viewer は No（https://docs.snyk.io/platform-administration/user-management/pre-defined-roles.md）。つまりプロジェクトの削除は権限として存在する。MCPツール（スキャン系）とCLIコマンドに削除はなく、REST APIの削除エンドポイントの有無は確認できず未確認。
取り消し方（キー・接続）
サービスアカウントのアクセストークンは設定した有効期限（最長1年）で失効し、期限切れ後は新規作成。OAuth 2.0は短命トークンを自動更新。旧APIキーは失効しない。取り消し手順の記載はこのページになし（未確認）。ローカルMCP側: ルール方式の撤去は snyk mcp configure --rm --tool=claude-cli、認証トークンの消去は snyk_logout ツール。

根拠のページ

つなぎ方（公式の資料にある範囲）

公式MCP あり

Snyk Studioの一部としてSnyk MCPサーバー（Snyk CLIを実行するローカルサーバー）を提供。Snyk社は「ホスト型のリモートMCPサーバーは提供していない」と記載。ツールはliteプロファイル7個（snyk_auth, snyk_code_scan, snyk_sca_scan, snyk_version, snyk_logout, snyk_trust, snyk_send_feedback）、fullで snyk_container_scan, snyk_iac_scan, snyk_sbom_scan, snyk_aibom, snyk_package_health_check が加わる（既定はfull）。Claude Codeを含む複数のエージェント環境にはフック方式が既定で、ルール方式（MCP）は旧方式（legacy）扱い。Snyk MCPの必要プランは公式（Getting started、Claude Codeガイドのどちらも）に記載なし。

つなぎ方（公式の記載）
ルール方式: npx -y snyk@latest mcp configure --tool=claude-cli。手動: ~/.claude.json に npx -y snyk@latest mcp -t stdio を登録、またはSSEで snyk mcp -t sse を起動し claude mcp add --transport sse snyk http://127.0.0.1:7695/sse。初回は認証（snyk_auth）後にプロジェクトフォルダをtrustする（公式Claude Codeガイドの記載）。ルール方式の撤去は snyk mcp configure --rm --tool=claude-cli（Claude Codeガイドの記載）。

根拠のページ

公式CLI あり

Snyk CLIでプロジェクトのスキャン・監視。コマンド例: test, code test, container test, iac test, sbom test, secrets test, monitor, fix（--agentic あり）, ignore, policy, auth, config, aibom。

根拠のページ

公式API あり

REST API（ベースURL https://api.snyk.io/rest/。トークンはリージョン固有で、使えるベースURLは api.snyk.io、api.us.snyk.io、api.eu.snyk.io、api.au.snyk.io（いずれも /rest）。誤ったリージョンは 401）。個人APIトークンを Authorization: token API_TOKEN で送り、version クエリを付ける。サービスアカウント（OAuth 2.0／アクセストークン／旧APIキー）の記載もある。レート制限は「1620リクエスト/分/APIキー」で、超過は429（About the REST API ページの記載）。

根拠のページ

第三者製MCP（公式ではない） 1件

  • mcp-snyk（作者: sammcj（GitHubアカウント。運営者の詳細は未確認）・最終更新: アーカイブ済み（2025-08-24にオーナーがアーカイブ、読み取り専用））
    書き込み・削除: 書き込みの記載なし（ツール一覧はREADMEに全部は載っておらず確定できない）
    READMEにアルファ版で「未完成」との警告あり。ツールは scan_repository、verify_token、Snykプロジェクトのスキャン（IDで指定）。認証は SNYK_API_KEY。リリースなし、コミット2件、15 stars、ライセンスの記載なし。
    https://github.com/sammcj/mcp-snyk

第三者製のMCPは、サービスの運営元が作ったものではありません。作者と中身を確かめてから使うかどうかを決めてください。ここに載せているのは、公式のレジストリやGitHubで見つかったものを、書かれている範囲でまとめたもので、おすすめではありません。

探した場所（2件）

できる操作

読み取りでできる操作

  • 【MCP】snyk_code_scan（SAST）、snyk_sca_scan（依存関係・ライセンス）、fullでコンテナ・IaC・SBOM・AI-BOM・パッケージ健全性の確認
  • 【CLI】test系コマンドでのスキャン、monitor、sbom／aibom生成
  • 【API】REST APIでの参照（個別の一覧は未確認）

書き込みでできる操作

  • 【CLI】fix（--agentic あり）、ignore、policy、monitor（スナップショットの送信）
  • 【MCP】ツール一覧にコード編集ツールは無いが、公式はスキャン後にLLMが修正するディレクティブを案内（ツール自体がファイルを書き換えるかは未確認）

管理者操作（削除・課金・設定変更など）

  • 【API】サービスアカウントの管理（Snyk APIで作成・管理）が可能とドキュメント目次にある
  • 【MCP】snyk_logoutで保存済み認証トークンを消去、snyk_trustでフォルダをスキャン対象として信頼
  • 【ロール】ユーザーロールの権限表（Pre-defined roles）に「Remove Project」があり、Org Admin と Org Collaborator が Yes、Group Viewer は No。ロール権限としてプロジェクト削除は存在する。MCP・CLIに削除コマンドはない。REST APIの削除エンドポイントの有無は未確認

制限

  • MCPはローカル実行のみ。ホスト型リモートMCPは提供していないと公式に記載
  • Freeプランは5プロジェクト・Snyk Code 100テスト/月まで
  • SBOMスキャン（purl必須）とAI-BOMは実験的、AI-BOMはPython向けでプレビューCLIが必要と記載
  • APIのURLはリージョンごとに異なる
注意
  • Claude Codeではフック方式が既定で、ルール方式（MCP）は旧方式と公式に記載。インストーラーはuv、Python、Node.js、Snyk CLIなどの前提を入れる前に確認する旨が書かれている。
  • MCPのsnyk_trustは対象フォルダのスキャンを許可する操作。スキャンはコードの解析に使われる（コードがどこへ送られるかはこの調査では確認していない）。

認証・料金・日本語・実機検証

認証方式
MCP／CLI: snyk auth（snyk_authツール）でSnykアカウントに認証。API: 個人APIトークン（Authorization: token ...）、サービスアカウント（OAuth 2.0／アクセストークン／旧APIキー）
公表されている料金（2026年10月16日確認）
Free: 月額$0（5プロジェクト、Snyk Code 100テスト/月）／Team: 月額$25〜（月払い、100プロジェクト、Snyk Code 1,000テスト/月、10開発者まで）／Enterprise: 要問い合わせ（プリペイドクレジット方式、1クレジット=$1）（通貨コード記載なし、2026-10-16確認） 料金ページ
日本語対応
あり。公式サイトに日本語版（snyk.io/jp/ 配下）があり、og:locale が ja、言語切り替えに『日本語』が並ぶ（snyk.io/jp/blog/snyk-documentation-journey/ で確認）。ただし docs.snyk.io のドキュメントと管理画面が日本語かどうかは、このページに記載がなく未確認。
Claude Code実機検証
未検証（この台帳は、動かして確かめた記録ではありません。Akiraが試したときは、検証日つきで書き換えます）
確認できていない点（10件）
  • Snyk MCPの認証フロー詳細、読み取り専用かどうか（必要プランは公式に記載なし）
  • REST APIでのプロジェクト削除エンドポイントの有無（ロール権限としての Remove Project は確認）
  • サービスアカウントのアクセストークンの取り消し手順（サービスアカウントのページに記載なし）
  • 日本語ドキュメント・管理画面の有無
  • 第三者製MCPのうち snyk/saw-mcp は未開封（運営者も未確認）。sammcj/mcp-snyk の全ツール一覧も未確認
  • docs.snyk.io/developer-tools/snyk-cli/commands/mcp と docs.snyk.io/integrations/snyk-studio-agentic-integrations/snyk-studio-mcp は Page Not Found だったため、CLI側のmcpコマンドの個別ページは読めていない
  • 2026-10-17再確認で残った点: ja（docs.snyk.io と管理画面の日本語の有無。公式の対応言語一覧を開けなかった）
  • 2026-10-17再確認で残った点: read_only（Snyk Studio MCP自体を読み取り専用にする設定）
  • 2026-10-17再確認で残った点: ja: docs.snyk.io と管理画面の日本語の有無
  • 2026-10-17再確認で残った点: read_only（Snyk Studio MCP自体を読み取り専用にする設定）は今回調べていない（needs対象外）
出典（14件）

この台帳は、公式の資料を読んだ範囲のことで、動かして確かめたものではありません。確認日: 2026年10月16日。

ラボの資料は、公式の文書を読んでまとめたもので、実際に使って確かめた記録ではありません。日付や仕様は変わるので、使う前に各ページの出典で確かめてください。事実と「僕らの見立て」は、分けて書いています。