SonarQube

SonarQube analysiert Quellcode, ohne ihn auszuführen. Es prüft auf Fehler, Sicherheitslücken, fest codierte Geheimnisse, Code-Smells, Duplikate und Testabdeckung und meldet Probleme in einem Dashboard und Pull Requests. Teams legen Qualitätsprüfungen fest, etwa keine neuen kritischen Fehler. Werden die Vorgaben nicht erfüllt, kann ein Merge blockiert werden, sodass Probleme früh auffallen.

SonarQube lässt sich mit CI/CD-Systemen wie GitHub Actions, GitLab, Jenkins und Azure DevOps sowie über SonarLint mit IDEs verbinden. SonarLint hebt Probleme schon beim Schreiben hervor. Zu den KI-Funktionen gehört CodeFix, das Änderungen für erkannte Probleme vorschlägt. Weitere Fähigkeiten prüfen KI-generierten Code – ein zunehmend wichtiges Thema, da Assistenten immer mehr Code schreiben. SonarQube unterstützt zahlreiche Programmiersprachen und Frameworks.

Für selbst gehostete Installationen gibt es eine kostenlose Community Edition. Kostenpflichtige Editionen bieten mehr Sprachen und Funktionen; SonarQube Cloud ist der gehostete Dienst. Statische Analyse kann Fehlalarme ausgeben, daher müssen Teams die Regeln abstimmen. Konkurrenten sind Snyk, Checkmarx, Semgrep, Veracode und CodeQL auf GitHub. Codacy und DeepSource sind weitere Werkzeuge zur Codequalität. SonarQube ist eine etablierte Wahl für fortlaufende Codequalität.