SonarQube

SonarQube analyse le code source sans l’exécuter. Il cherche les bugs, les vulnérabilités de sécurité, les secrets en dur, les code smells, la duplication et la couverture de tests, puis signale les problèmes dans un dashboard et dans les pull requests. Les équipes définissent des quality gates, par exemple aucun nouveau bug critique, qui peuvent bloquer un merge si le code n’atteint pas le seuil. Les problèmes sont ainsi pris tôt dans le développement.

Il s’intègre aux systèmes de CI/CD comme GitHub Actions, GitLab, Jenkins et Azure DevOps, et aux IDE via SonarLint, qui signale les problèmes pendant la saisie. Les fonctions d’IA incluent CodeFix, qui propose des changements pour les problèmes trouvés, et des capacités pensées pour vérifier le code généré par l’IA, un sujet qui compte de plus en plus à mesure que les assistants écrivent davantage de code. Il prend en charge un grand nombre de langages et de frameworks.

SonarQube existe en édition communautaire gratuite à héberger soi-même, en éditions payantes avec plus de langages et de fonctions, et en SonarQube Cloud comme service hébergé. L’analyse statique peut produire des faux positifs : les équipes doivent ajuster les règles. Les concurrents incluent Snyk, Checkmarx, Semgrep, Veracode et CodeQL sur GitHub, avec Codacy et DeepSource comme autres outils de qualité. SonarQube est un choix courant pour la qualité continue du code.