dvershinin/gixy

これは何？

主な機能

• 01NGINX設定のSSRF、HTTPレスポンス分割、Host偽装のリスクを検出します。
• 02TLS設定、HSTSヘッダー、サーバーバージョン情報の露出をチェックします。
• 03ReDoSを引き起こす可能性のある危険な正規表現を警告します。
• 04バージョン番号を指定すると、既知のNGINX CVEをチェックできます。
• 05任意で`.bak`バックアップを作成できる自動修正モードを利用できます。

ユースケース

• デプロイやセキュリティレビューの前に、本番環境のNGINX設定を監査する。
• CIパイプラインにNGINX設定のlintを組み込む。
• Kubernetesクラスター内のIngressコントローラー設定をチェックする。
• JetBrainsまたはVS Codeのエディター上で、NGINXセキュリティに関するヒントをリアルタイムに確認する。

クイックスタート

1. 1

   pip を使って PyPI から Gixy をインストールします

   pip install gixy-ng
2. 2

   NGINX の設定ファイルを解析します

   gixy /etc/nginx/nginx.conf

使う前に知っておきたいこと

• !十分なテストが行われているのは GNU/Linux のみです。ほかの OS では問題が発生する可能性があります。
• !メタデータではライセンスが NOASSERTION と記載されているため、使用前にライセンス条件を確認してください。

トピック

よくある質問

gixy とは？

NGINX設定ファイルをスキャンし、セキュリティ上の設定ミスやよくあるパフォーマンス問題を検出する静的解析ツール。 GixyはNGINX設定ファイルを解析し、サーバーを起動せずにセキュリティ上の設定ミスを報告します。SSRFにつながる可能性のあるプロキシ設定、安全でない変数によるHTTPレスポンス分割、Hostヘッダーの偽装、弱いTLS設定、aliasによるパストラバーサル、サーバーバージョン情報の露出などの問題を検出します。

gixy は無料で使えますか？ライセンスは？

gixy は Other ライセンスのオープンソースです。商用製品で使う前にライセンス条件を確認してください。

gixy は今もメンテナンスされていますか？

活発にメンテナンス中。gixy の最終コミットは 2026年10月20日 です。

gixy は何に使えますか？

デプロイやセキュリティレビューの前に、本番環境のNGINX設定を監査する。 CIパイプラインにNGINX設定のlintを組み込む。 Kubernetesクラスター内のIngressコントローラー設定をチェックする。 JetBrainsまたはVS Codeのエディター上で、NGINXセキュリティに関するヒントをリアルタイムに確認する。

gixy のインストール方法は？

pip を使って PyPI から Gixy をインストールします: pip install gixy-ng NGINX の設定ファイルを解析します: gixy /etc/nginx/nginx.conf

gixy はどこで入手できますか？

ソースコードとインストール手順は GitHub にあります：https://github.com/dvershinin/gixy