SonarQube

SonarQube analiza el código fuente sin ejecutarlo. Busca errores, vulnerabilidades de seguridad, secretos escritos en el código, code smells, duplicación y cobertura de pruebas, y muestra las incidencias en un panel y en las pull requests. Los equipos definen puertas de calidad, como no admitir nuevos errores críticos, que pueden bloquear una fusión cuando el código no cumple el estándar, de modo que los problemas se detectan pronto en el desarrollo.

Se integra con sistemas de CI/CD como GitHub Actions, GitLab, Jenkins y Azure DevOps, y con los IDE mediante SonarLint, que señala problemas mientras escribes. Entre sus funciones de IA está CodeFix, que sugiere cambios para las incidencias que encuentra, y capacidades diseñadas para revisar código generado por IA, un tema cada vez más importante a medida que los asistentes escriben más código. Admite un gran número de lenguajes y frameworks.

SonarQube se ofrece como edición comunitaria gratuita para alojar por cuenta propia, ediciones de pago con más lenguajes y funciones, y SonarQube Cloud como servicio alojado. El análisis estático puede producir falsos positivos, así que los equipos tienen que ajustar las reglas. Entre sus competidores están Snyk, Checkmarx, Semgrep, Veracode y CodeQL en GitHub, y Codacy y DeepSource son otras herramientas de calidad. SonarQube es una opción estándar para la calidad continua del código.