static-analysis

ENRE-cpp ⚠️ — ENRE (ENtity Relationship Extractor) est un outil d'extraction des dépendances ou relations entre entités de code à partir du code source. ENRE-cpp est un extracteur de relations d'entités pour C/C++ basé sur @eclipse/CDT. (En cours de développement)

ESBMC — ESBMC est un model-checker open source, sous licence permissive, à contexte borné, basé sur la satisfiabilité modulo théories, pour la vérification de programmes C/C++ mono et multi-threadés.

flawfinder — Détecte les faiblesses de sécurité potentielles.

flint++ ⚠️ — Portage multiplateforme et sans dépendance de flint, un programme de lint pour C++ développé et utilisé chez Facebook.

Frama-C — Un analyseur statique fiable et extensible pour le code C.

GCC — Le compilateur GCC dispose de capacités d'analyse statique depuis la version 10. Cette option n'est disponible que si GCC a été configuré avec le support de l'analyseur activé. Il peut également exporter ses diagnostics vers un fichier JSON au format SARIF (à partir de la v13).

Goblint — Un analyseur statique pour l'analyse de programmes C multi-threadés. Son objectif principal est la détection des courses de données, mais il signale également d'autres erreurs d'exécution, telles que les débordements de tampon et les déréférencements de pointeurs nuls.

Helix QAC ©️ — Analyse statique de niveau entreprise pour les logiciels embarqués. Prend en charge les normes de codage MISRA, CERT et AUTOSAR.

IKOS — Un analyseur statique fiable pour le code C/C++ basé sur LLVM.

KLEE — Un moteur d'exécution symbolique dynamique construit sur l'infrastructure du compilateur LLVM. Il peut générer automatiquement des cas de test pour les programmes afin que ceux-ci exercent autant que possible le programme.

LDRA ©️ — Une suite d'outils comprenant l'analyse statique (TBVISION) selon diverses normes, notamment MISRA C & C++, JSF++ AV, CWE, CERT C, CERT C++ et des règles personnalisées.

MATE ⚠️ — Une suite d'outils pour l'analyse interactive de programmes, axée sur la recherche de bogues dans le code C et C++. MATE unifie l'analyse des vulnérabilités spécifiques aux applications et de bas niveau à l'aide de graphes de propriétés de code (CPG), permettant la découverte de vulnérabilités hautement spécifiques aux applications qui dépendent à la fois des détails d'implémentation et de la sémantique de haut niveau des programmes C/C++ ciblés.

PC-lint ©️ — Analyse statique pour C/C++. Fonctionne nativement sous Windows/Linux/MacOS. Analyse le code pour pratiquement toutes les plateformes, avec prise en charge de C11/C18 et C++17.

Phasar — Un framework d'analyse statique basé sur LLVM qui inclut une analyse de taint et d'état de type.

Polyspace Bug Finder ©️ — Identifie les erreurs d'exécution, les problèmes de concurrence, les vulnérabilités de sécurité et d'autres défauts dans les logiciels embarqués C et C++.

Polyspace Code Prover ©️ — Fournit une vérification de code qui prouve l'absence de débordements, de divisions par zéro, d'accès aux tableaux hors limites et de certaines autres erreurs d'exécution dans le code source C et C++.

scan-build — Frontend pour piloter le Clang Static Analyzer intégré à Clang via une compilation classique.

splint — Vérificateur statique de programmes assisté par annotations.

SVF — Un outil statique qui permet une analyse de dépendances interprocédurale précise et extensible pour les programmes C et C++.

TrustInSoft Analyzer ©️ — Détection exhaustive des erreurs de codage et des vulnérabilités de sécurité associées. Cela englobe une détection fiable des comportements indéfinis (débordements de tampon, accès aux tableaux hors limites, déréférencements de pointeurs nuls, use-after-free, divisions par zéro, accès mémoire non initialisés, débordements signés, arithmétique de pointeurs invalide, etc.), la vérification des flux de données et de contrôle, ainsi que la vérification fonctionnelle complète des spécifications formelles. Toutes les versions de C jusqu'à C18 et de C++ jusqu'à C++20 sont prises en charge. TrustInSoft Analyzer obtiendra la qualification ISO 26262 au T2 2023 (TCL3). Un vérificateur MISRA C est également inclus.

vera++ ⚠️ — Vera++ est un outil programmable pour la vérification, l'analyse et la transformation du code source C++.

SonarAnalyzer.CSharp — Ces analyseurs Roslyn vous permettent de produire un code propre (Clean Code), sûr, fiable et maintenable, en vous aidant à trouver et corriger les bogues, les vulnérabilités et les défauts de code dans votre base de code.

VSDiagnostics ⚠️ — Une collection d'analyseurs statiques basés sur Roslyn qui s'intègre à Visual Studio.

Wintellect.Analyzers — Analyseurs de diagnostic et corrections de code pour la plateforme de compilation .NET (« Roslyn »).

ESBMC — ESBMC est un model-checker open source, sous licence permissive, à contexte borné, basé sur la satisfiabilité modulo théories, pour la vérification de programmes C/C++ mono et multi-threadés.

flawfinder — Détecte les faiblesses de sécurité potentielles.

flint++ ⚠️ — Portage multiplateforme et sans dépendance de flint, un programme de lint pour C++ développé et utilisé chez Facebook.

GCC — Le compilateur GCC dispose de capacités d'analyse statique depuis la version 10. Cette option n'est disponible que si GCC a été configuré avec le support de l'analyseur activé. Il peut également exporter ses diagnostics vers un fichier JSON au format SARIF (à partir de la v13).

Helix QAC ©️ — Analyse statique de niveau entreprise pour les logiciels embarqués. Prend en charge les normes de codage MISRA, CERT et AUTOSAR.

IKOS — Un analyseur statique fiable pour le code C/C++ basé sur LLVM.

KLEE — Un moteur d'exécution symbolique dynamique construit sur l'infrastructure du compilateur LLVM. Il peut générer automatiquement des cas de test pour les programmes afin que ceux-ci exercent autant que possible le programme.

LDRA ©️ — Une suite d'outils comprenant l'analyse statique (TBVISION) selon diverses normes, notamment MISRA C & C++, JSF++ AV, CWE, CERT C, CERT C++ et des règles personnalisées.

MATE ⚠️ — Une suite d'outils pour l'analyse interactive de programmes, axée sur la recherche de bogues dans le code C et C++. MATE unifie l'analyse des vulnérabilités spécifiques aux applications et de bas niveau à l'aide de graphes de propriétés de code (CPG), permettant la découverte de vulnérabilités hautement spécifiques aux applications qui dépendent à la fois des détails d'implémentation et de la sémantique de haut niveau des programmes C/C++ ciblés.

PC-lint ©️ — Analyse statique pour C/C++. Fonctionne nativement sous Windows/Linux/MacOS. Analyse le code pour pratiquement toutes les plateformes, avec prise en charge de C11/C18 et C++17.

Phasar — Un framework d'analyse statique basé sur LLVM qui inclut une analyse de taint et d'état de type.

Polyspace Bug Finder ©️ — Identifie les erreurs d'exécution, les problèmes de concurrence, les vulnérabilités de sécurité et d'autres défauts dans les logiciels embarqués C et C++.

Polyspace Code Prover ©️ — Fournit une vérification de code qui prouve l'absence de débordements, de divisions par zéro, d'accès aux tableaux hors limites et de certaines autres erreurs d'exécution dans le code source C et C++.- scan-build — Frontend pour piloter l'analyseur statique Clang intégré à Clang via une compilation classique.

splint — Vérificateur statique de programmes assisté par annotations.

SVF — Un outil statique permettant une analyse de dépendances interprocédurale, scalable et précise pour les programmes C et C++.

TrustInSoft Analyzer ©️ — Détection exhaustive des erreurs de codage et de leurs vulnérabilités de sécurité associées. Cela englobe une détection fiable des comportements indéfinis (dépassements de tampon, accès hors limites à des tableaux, déréférencements de pointeurs nuls, use-after-free, divisions par zéro, accès mémoire non initialisés, dépassements d'entiers signés, arithmétique de pointeurs invalide, etc.), la vérification des flux de données et de contrôle ainsi que la vérification fonctionnelle complète de spécifications formelles. Toutes les versions de C jusqu'à C18 et de C++ jusqu'à C++20 sont prises en charge. TrustInSoft Analyzer obtiendra la qualification ISO 26262 au T2 2023 (TCL3). Un vérificateur MISRA C est également inclus.

vera++ ⚠️ — Vera++ est un outil programmable pour la vérification, l'analyse et la transformation de code source C++.

go/ast — Le package ast déclare les types utilisés pour représenter les arbres syntaxiques des packages Go.

goast — Outil d'analyse statique basé sur l'AST Go (arbre de syntaxe abstraite) avec Rego.

gochecknoglobals ⚠️ — Vérifie qu'aucune variable globale n'est présente.

goconst — Trouve les chaînes répétées qui pourraient être remplacées par une constante.

gocyclo — Calcule les complexités cyclomatiques des fonctions dans le code source Go.

gofmt -s — Vérifie si le code est correctement formaté et ne peut pas être simplifié davantage.

gofumpt — Applique un format plus strict que gofmt, tout en restant rétrocompatible. Autrement dit, gofumpt accepte un sous-ensemble des formats acceptés par gofmt. L'outil est un fork de gofmt à partir de Go 1.19 et nécessite Go 1.18 ou une version ultérieure. Il peut être utilisé comme remplacement direct pour formater votre code Go, et exécuter gofmt après gofumpt ne devrait produire aucun changement. gofumpt n'ajoutera jamais de règles en désaccord avec le formatage de gofmt. Nous étendons donc gofmt plutôt que d'entrer en concurrence avec lui.

goimports — Vérifie les imports de packages manquants ou non référencés.

gokart — Analyse de sécurité Golang axée sur la minimisation des faux positifs. Il est capable de tracer la source des variables et des arguments de fonction pour déterminer si les sources d'entrée sont sûres.

GolangCI-Lint — Exécuteur rapide de linters pour Go. Il agrège plusieurs linters Go et fournit une configuration, une mise en cache et un format de sortie unifiés. Alternative à Go Meta Linter.

golint — Affiche les erreurs de style de codage dans le code source Go.

goreporter — Exécute simultanément de nombreux linters et normalise leur sortie en un rapport.

goroutine-inspect — Un outil interactif pour analyser les dumps de goroutines Golang.

gosec (gas) — Inspecte le code source à la recherche de problèmes de sécurité en analysant l'AST Go.

gotype — Analyse syntaxique et sémantique similaire à celle du compilateur Go.

govulncheck — Govulncheck signale les vulnérabilités connues qui affectent le code Go. Il utilise l'analyse statique du code source ou de la table des symboles d'un binaire pour réduire les rapports à ceux qui pourraient affecter l'application. Par défaut, govulncheck envoie des requêtes à la base de données de vulnérabilités Go à l'adresse https://vuln.go.dev. Les requêtes adressées à la base de données de vulnérabilités ne contiennent que des chemins de modules, et non du code ou d'autres propriétés de votre programme.

ineffassign — Détecte les affectations sans effet dans le code Go.

interfacer ⚠️ — Suggère des interfaces plus étroites qui peuvent être utilisées.

lll — Signale les lignes longues.

maligned ⚠️ — Détecte les structs qui prendraient moins de mémoire si leurs champs étaient triés.

misspell — Trouve les mots anglais couramment mal orthographiés.

nakedret ⚠️ — Trouve les retours nus (naked returns).

nargs — Trouve les arguments inutilisés dans les déclarations de fonctions.

OSV-Scanner — Scanner de vulnérabilités écrit en Go qui utilise les données fournies par OSV.dev. Développé par Google pour analyser les dépendances de plusieurs langages et gestionnaires de packages à la recherche de vulnérabilités connues. Prend en charge l'analyse de conteneurs, l'analyse de licences et la remédiation guidée. Fonctionne avec les lockfiles, les SBOM et les images de conteneurs pour identifier les problèmes de sécurité.

prealloc — Trouve les déclarations de slices qui pourraient potentiellement être préallouées.

Reviewdog — Un outil pour publier des commentaires de revue depuis n'importe quel linter sur n'importe quel service d'hébergement de code.

revive — Linter pour Go rapide, configurable, extensible, flexible et élégant. Remplacement direct de golint.

safesql ⚠️ — Outil d'analyse statique pour Golang qui protège contre les injections SQL.

shisho ⚠️ — Un analyseur de code statique léger conçu pour les développeurs et les équipes de sécurité. Il vous permet d'analyser et de transformer le code source avec un DSL intuitif similaire à sed, mais pour le code.

staticcheck — Analyse statique Go spécialisée dans la détection de bugs, la simplification du code et l'amélioration des performances.

structcheck — Trouve les champs de struct inutilisés.

structslop — Analyseur statique pour Go qui recommande des réorganisations de champs de struct pour une efficacité maximale en termes d'espace/allocation

test — Affiche l'emplacement des échecs de test du module de test stdlib.

unconvert ⚠️ — Détecte les conversions de type redondantes.

unparam — Trouve les paramètres de fonction inutilisés.

varcheck — Trouve les variables globales et constantes inutilisées.

wsl — Impose des lignes vides aux bons endroits.

ENRE-java ⚠️ — ENRE (ENtity Relationship Extractor) est un outil d'extraction des dépendances ou relations entre entités de code à partir du code source. ENRE-java est un extracteur de relations entre entités pour les projets Java, basé sur @Eclipse JDT/parser.

Error Prone — Attrape les erreurs Java courantes comme erreurs de compilation.

fb-contrib — Un plugin pour FindBugs avec des détecteurs de bugs supplémentaires.

forbidden-apis — Détecte et interdit les invocations de méthodes/classes/champs spécifiques (comme la lecture d'un flux de texte sans jeu de caractères). Compatible Maven/Gradle/Ant.

google-java-format — Reformate le code source Java pour se conformer au Google Java Style

HuntBugs ⚠️ — Outil d'analyse statique de bytecode basé sur Procyon Compiler Tools, destiné à succéder à FindBugs.

IntelliJ IDEA ©️ — Est fourni avec de nombreuses inspections pour Java et Kotlin et inclut des outils de refactorisation, de formatage et plus encore.

JArchitect ©️ — Mesurez, interrogez et visualisez votre code et évitez les problèmes inattendus, la dette technique et la complexité.

JBMC — Model-checker borné pour Java (bytecode) ; vérifie les assertions définies par l'utilisateur, les assertions standard et plusieurs analyses de métriques de couverture.

JLiSA — Un analyseur statique pour Java basé sur l'interprétation abstraite, construit sur le framework LiSA.

Mariana Trench — Notre outil d'analyse statique orienté sécurité pour les applications Android et Java. Mariana Trench analyse le bytecode Dalvik et est conçu pour fonctionner rapidement sur de grandes bases de code (des dizaines de millions de lignes de code). Il peut détecter les vulnérabilités au fur et à mesure que le code change, avant même qu'il n'atterrisse dans votre dépôt.

NullAway — Vérificateur de pointeurs nuls basé sur les types avec un faible surcoût au moment de la compilation ; un plugin Error Prone.

OWASP Dependency Check ⚠️ — Vérifie les dépendances pour les vulnérabilités connues et publiquement divulguées.

qulice — Combine plusieurs outils d'analyse statique (préconfigurés) (checkstyle, PMD, Findbugs, ...).

RefactorFirst — Identifie et priorise les God Classes et les classes fortement couplées dans les bases de code Java que vous devriez refactoriser en premier.

Soot — Un framework pour analyser et transformer les applications Java et Android.

Spoon — Spoon est une bibliothèque de métaprogrammation pour analyser et transformer le code source Java (y compris Java 9, 10, 11, 12, 13, 14). Il analyse les fichiers sources pour construire un AST bien conçu avec une puissante API d'analyse et de transformation. Peut être intégré dans Maven et Gradle.

SpotBugs — SpotBugs est le successeur de FindBugs. Un outil d'analyse statique pour rechercher des bugs dans le code Java.- steady ⚠️ — Analyse vos applications Java pour détecter les dépendances open source présentant des vulnérabilités connues, en utilisant à la fois l'analyse statique et les tests pour déterminer le contexte et l'utilisation du code afin d'obtenir une meilleure précision.

Violations Lib — Bibliothèque Java pour analyser les fichiers de rapport issus de l'analyse statique de code. Utilisée par de nombreux plugins Jenkins, Maven et Gradle.

NodeJSScan ⚠️ — Un scanner de code de sécurité statique pour les applications Node.js, propulsé par libsast et semgrep, qui s'appuie sur l'outil CLI njsscan. Il propose une interface utilisateur avec divers tableaux de bord sur l'état de sécurité d'une application.

plato ⚠️ — Visualise la complexité du code source JavaScript.

Polymer-analyzer — Un framework d'analyse statique pour les Web Components.

retire.js — Scanner détectant l'utilisation de bibliothèques JavaScript présentant des vulnérabilités connues.

RSLint ⚠️ — Un linter JavaScript (en cours de développement) écrit en Rust, conçu pour être aussi rapide que possible, personnalisable et facile à utiliser.

standard — Un module npm qui vérifie les problèmes de style JavaScript.

tern — Un analyseur de code JavaScript pour un support linguistique approfondi et multi-éditeurs.

TypL ⚠️ — Avec TypL, vous écrivez simplement du JS totalement standard, et l'outil déduit vos types grâce à une inférence puissante.

xo — Un wrapper ESLint exigeant mais configurable, avec de nombreuses fonctionnalités incluses. Il impose un code strict et lisible.

yardstick ⚠️ — Métriques de code JavaScript.

parallel-lint — Cet outil vérifie la syntaxe des fichiers PHP plus rapidement qu'une vérification en série, avec une sortie plus soignée.

Parse — Un scanner de sécurité statique.

pdepend — Calcule des métriques logicielles telles que la complexité cyclomatique pour le code PHP.

phan — Un analyseur statique moderne d'etsy.

PHP Architecture Tester — Outil de test d'architecture facile à utiliser pour PHP.

PHP Assumptions — Vérifie les hypothèses faibles.

PHP Coding Standards Fixer — Corrige votre code selon des normes telles que PSR-1, PSR-2 et la norme Symfony.

PHP Insights — Vérifications instantanées de la qualité PHP depuis votre console. Analyse de la qualité du code et du style de codage, ainsi qu'aperçu de l'architecture du code et de sa complexité.

Php Inspections (EA Extended) — Un analyseur de code statique pour PHP.

PHP Refactoring Browser — Assistant de refactoring.

PHP Semantic Versioning Checker — Suggère une version suivante conformément au versionnage sémantique.

PHP-Parser — Un analyseur syntaxique PHP écrit en PHP.

php-speller — Bibliothèque de vérification orthographique pour PHP.

PHP-Token-Reflection ⚠️ — Bibliothèque émulant la réflexion interne de PHP.

php7cc ⚠️ — Vérificateur de compatibilité PHP 7.

php7mar ⚠️ — Aide les développeurs à porter rapidement leur code vers PHP 7.

PHP_CodeSniffer ⚠️ — Détecte les violations d'un ensemble défini de normes de codage.

PHPArkitect — PHPArkitect vous aide à garder votre base de code PHP cohérente et solide, en permettant d'ajouter des vérifications de contraintes architecturales à votre flux de travail. Vous pouvez exprimer la contrainte que vous souhaitez appliquer, dans un code PHP simple et lisible.

phpca ⚠️ — Détecte l'utilisation d'extensions non intégrées.

phpcpd ⚠️ — Détecteur de copier-coller pour le code PHP.

phpdcd ⚠️ — Détecteur de code mort (DCD) pour le code PHP.

PhpDependencyAnalysis ⚠️ — Construit un graphe de dépendances pour un projet.

PhpDeprecationDetector ⚠️ — Analyseur de code PHP pour rechercher les problèmes liés aux fonctionnalités obsolètes dans les versions plus récentes de l'interpréteur. Il détecte les objets supprimés (fonctions, variables, constantes et directives ini), les fonctionnalités de fonctions obsolètes, ainsi que l'utilisation de noms ou d'astuces interdits (par exemple les identifiants réservés dans les versions plus récentes).

phpdoc-to-typehint ⚠️ — Ajoute des indications de types scalaires et des types de retour aux projets PHP existants à l'aide des annotations PHPDoc.

phpDocumentor — Analyse le code source PHP pour générer de la documentation.

phploc ⚠️ — Un outil pour mesurer rapidement la taille et analyser la structure d'un projet PHP.

PHPMD — Détecte d'éventuels bogues dans votre code.

PhpMetrics — Calcule et visualise diverses métriques de qualité de code.

phpmnd — Aide à détecter les nombres magiques.

PHPQA — Un outil pour exécuter des outils d'assurance qualité (phploc, phpcpd, phpcs, pdepend, phpmd, phpmetrics).

phpqa - jakzal — De nombreux outils d'analyse statique PHP dans un seul conteneur.

phpqa - jmolivas — Outil CLI d'analyse tout-en-un PHPQA.

phpsa ⚠️ — Outil d'analyse statique pour PHP.

PHPStan — Outil d'analyse statique PHP - découvrez les bogues dans votre code sans l'exécuter !

Progpilot — Un outil d'analyse statique à des fins de sécurité.

Psalm — Outil d'analyse statique pour trouver les erreurs de type dans les applications PHP.

Qafoo Quality Analyzer ⚠️ — Visualise les métriques et le code source.

rector — Mises à niveau instantanées et refactoring automatisé de tout code PHP 5.3+. Il met à niveau votre code pour PHP 7.4, 8.0 et au-delà. Rector promet un faible taux de faux positifs car il recherche des motifs AST (arbre de syntaxe abstraite) étroitement définis. Le cas d'utilisation principal est la réduction de la dette technique dans votre code hérité et la suppression du code mort. Rector fournit un ensemble de règles spéciales pour Symfony, Doctrine, PHPUnit et bien d'autres.

Reflection — Bibliothèque de réflexion pour effectuer de l'analyse statique pour les projets PHP

Symfony Insight ©️ — Détecte les risques de sécurité, trouve les bogues et fournit des métriques exploitables pour les projets PHP.

Tuli — Un moteur d'analyse statique.

twig-lint — twig-lint est un outil de lint pour vos fichiers twig.

WAP — Outil pour détecter et corriger les vulnérabilités de validation des entrées dans les applications web PHP (4.0 ou supérieur) et prédit les faux positifs en combinant l'analyse statique et l'exploration de données.

Dlint — Un outil pour garantir la sécurité du code Python.

Dodgy — Dodgy est un outil très basique à exécuter sur votre base de code pour rechercher des valeurs suspectes ("dodgy"). Il s'agit d'une série d'expressions régulières simples conçues pour détecter des choses telles que des validations accidentelles de diffs SCM, ou des mots de passe ou clés secrètes codés en dur dans les fichiers.

ENRE-py ⚠️ — ENRE (ENtity Relationship Extractor) est un outil d'extraction des dépendances ou relations entre entités de code à partir du code source. ENRE-py est un extracteur de relations d'entités pour Python basé sur les Python Language Services de la bibliothèque standard.

fixit — Un framework pour créer des règles de lint et les corrections automatiques correspondantes pour le code source.

flake8 — Un wrapper autour de pyflakes, pycodestyle et mccabe.

flakeheaven — flakeheaven est un linter Python construit autour de flake8 pour permettre une configuration toml héritable et complexe.

Griffe — Signatures pour des programmes Python entiers. Extrayez la structure, le cadre, le squelette de votre projet, pour générer de la documentation API ou détecter les changements cassants dans votre API.

InspectorTiger ⚠️ — IT, Inspector Tiger, est un outil / framework moderne de revue de code Python. Il est livré avec un ensemble de gestionnaires prédéfinis qui vous avertissent des améliorations possibles et des bogues potentiels. Outre ces gestionnaires, vous pouvez écrire les vôtres ou utiliser ceux de la communauté.

jedi — Bibliothèque d'autocomplétion / d'analyse statique pour Python.

linty fresh — Analyse les erreurs de lint et les signale sur Github sous forme de commentaires sur une pull request.

mbake — mbake est un formateur et linter de Makefile. Cela n'a pris que 50 ans !

mccabe ⚠️ — Vérifie la complexité de McCabe.

multilint ⚠️ — Un wrapper autour de flake8, isort et modernize.

mypy — Un vérificateur de types statique qui vise à combiner les avantages du duck typing et du typage statique, fréquemment utilisé avec MonkeyType.

pip-audit — Outil d'analyse des packages Python à la recherche de vulnérabilités connues. Développé par la Python Packaging Authority (PyPA) et soutenu par Trail of Bits et Google. Analyse les environnements Python et les fichiers requirements pour identifier les packages vulnérables et suggère des correctifs. Prend en charge GitHub Actions, les hooks pre-commit et de multiples intégrations de services de vulnérabilités.

prospector — Un wrapper autour de pylint, pep8, mccabe et d'autres.- py-find-injection ⚠️ — Détecte les vulnérabilités d'injection SQL dans le code Python.

pyanalyze — Un outil pour détecter programmatiquement les erreurs courantes dans le code Python, telles que les références à des variables non définies et les erreurs de type. Il peut être étendu pour ajouter des règles supplémentaires et effectuer des vérifications spécifiques à certaines fonctions.

pycodestyle — (Anciennement pep8) Vérifie le code Python par rapport à certaines conventions de style de la PEP 8.

pydocstyle ⚠️ — Vérifie la conformité avec les conventions de docstring Python.

pyflakes — Vérifie les fichiers source Python pour détecter des erreurs.

pylint — Recherche les erreurs de programmation, aide à appliquer une norme de codage et détecte certains code smells. Il inclut également pyreverse (un générateur de diagrammes UML) et symilar (un vérificateur de similarités).

pylyzers ⚠️ — Un analyseur de code statique / serveur de langage pour Python, écrit en Rust, axé sur la vérification de types et une sortie lisible.

Pyra — Pyra est un analyseur statique / linter de haut niveau pour les applications de data science écrites en Python, qui aide les développeurs à identifier les problèmes potentiels dans leur code de science des données écrit en Python, en tant qu'extension de Lyra.

pyre-check ⚠️ — Un vérificateur de types rapide et évolutif pour les grandes bases de code Python. Pyre-check a été remplacé par Pyrefly, son itération suivante.

pyrefly — Un vérificateur de types rapide et incrémental ainsi qu'un serveur de langage pour Python, offrant des fonctionnalités IDE telles que la navigation dans le code, la coloration sémantique et la complétion de code.

pyright — Vérificateur de types statique pour Python, créé pour combler les lacunes des outils existants comme mypy.

pyroma — Évalue dans quelle mesure un projet Python respecte les bonnes pratiques de l'écosystème de packaging Python et répertorie les points qui pourraient être améliorés.

Pysa — Un outil basé sur pyre-check de Facebook pour identifier les problèmes de sécurité potentiels dans le code Python à l'aide de l'analyse de taint.

PyT - Python Taint ⚠️ — Un outil d'analyse statique pour détecter les vulnérabilités de sécurité dans les applications web Python.

pytype — Un analyseur de types statique pour le code Python.

pyupgrade — Un outil (et hook pre-commit) pour mettre automatiquement à niveau la syntaxe vers les versions plus récentes du langage.

QuantifiedCode ⚠️ — Révision et réparation automatiques de code. Il vous aide à suivre les problèmes et les métriques dans vos projets logiciels, et peut être facilement étendu pour prendre en charge de nouveaux types d'analyses.

radon ⚠️ — Un outil Python qui calcule diverses métriques à partir du code source.

refurb — Un outil pour rénover et moderniser les bases de code Python. Refurb s'inspire fortement de clippy, le linter intégré à Rust.

ruff — Linter Python rapide, écrit en Rust. 10 à 100 fois plus rapide que les linters existants. Compatible avec Python 3.10. Prend en charge l'observation de fichiers (file watcher).

Safety — Scanner de vulnérabilités des dépendances Python conçu pour renforcer la sécurité de la chaîne d'approvisionnement logicielle en détectant les packages présentant des vulnérabilités connues. Vérifie les dépendances Python par rapport à une base de données de vulnérabilités de sécurité connues et fournit des rapports détaillés. Prend en charge l'intégration CI/CD et plusieurs formats de sortie.

ty — Un vérificateur de types Python extrêmement rapide écrit en Rust.

unimport — Un linter et formateur pour trouver et supprimer les instructions d'import inutilisées.

vulture — Trouve les classes, fonctions et variables inutilisées dans le code Python.

wemake-python-styleguide — Le linter Python le plus strict et le plus dogmatique qui soit.

wily — Un outil en ligne de commande pour archiver, explorer et représenter graphiquement la complexité du code source Python.

xenon ⚠️ — Surveille la complexité du code à l'aide de radon.

yapf ⚠️ — Un formateur pour les fichiers Python créé par Google YAPF suit une méthodologie distinctive, issue de l'outil 'clang-format' créé par Daniel Jasper. Essentiellement, le programme reformate le code de la manière la plus appropriée qui respecte le guide de style, même si le code original suit déjà ce guide de style. Ce concept est similaire à l'outil 'gofmt' du langage Go, qui vise à mettre fin aux débats sur le formatage en faisant passer l'ensemble de la base de code d'un projet par YAPF à chaque modification, maintenant ainsi un style cohérent dans tout le projet et éliminant la nécessité de discuter du style à chaque revue de code.

Fukuzatsu — Un outil pour mesurer la complexité du code dans les fichiers de classes Ruby. Son analyse génère des scores basés sur des algorithmes de complexité cyclomatique sans « opinions » ajoutées.

htmlbeautifier — Un normaliseur / embellisseur pour HTML qui comprend également le Ruby embarqué. Idéal pour nettoyer les templates Rails.

laser ⚠️ — Analyse statique et linter de style pour le code Ruby.

MetricFu ⚠️ — MetricFu est un ensemble d'outils fournissant des rapports qui montrent quelles parties de votre code pourraient nécessiter un travail supplémentaire.

pelusa — Outil d'analyse statique de type Lint pour améliorer votre code Ruby orienté objet.

quality ⚠️ — Exécute des contrôles de qualité sur votre code à l'aide d'outils communautaires et s'assure que vos indicateurs ne se dégradent pas au fil du temps.

Querly ⚠️ — Outil de vérification basé sur des motifs pour Ruby.

Railroader ⚠️ — Un scanner open source d'analyse statique des vulnérabilités de sécurité pour les applications Ruby on Rails.

rails_best_practices — Un outil de métriques de code pour les projets Rails.

reek — Détecteur de code smells pour Ruby.

Roodi — Roodi signifie Ruby Object Oriented Design Inferometer. Il analyse votre code Ruby et vous avertit des problèmes de conception que vous avez en fonction des vérifications qu'il a configurées.

RuboCop — Un analyseur statique de code Ruby, basé sur le guide de style Ruby communautaire.

Rubrowser — Générateur interactif de graphe de dépendances des classes Ruby.

ruby-lint ⚠️ — Analyse statique de code pour Ruby.

rubycritic — Un rapporteur de qualité de code Ruby.

rufo — Un formateur Ruby dogmatique, conçu pour être utilisé en ligne de commande comme plugin d'éditeur de texte, afin de formater automatiquement les fichiers à l'enregistrement ou à la demande.

Saikuro ⚠️ — Un analyseur de complexité cyclomatique pour Ruby.

SandiMeter ⚠️ — Outil d'analyse statique pour vérifier le code Ruby par rapport aux règles de Sandi Metz.

Skunk — Un calculateur de SkunkScore pour le code Ruby — Trouvez le code le plus compliqué sans couverture de tests !

Sorbet — Un vérificateur de types rapide et puissant conçu pour Ruby.

Standard Ruby — Guide de style Ruby, avec linter et correcteur de code automatique.

Steep — Typage progressif pour Ruby.

Traceroute ⚠️ — Une gem Rake task qui vous aide à trouver les routes et actions de contrôleur inutilisées pour votre application Rails 3+.

cargo-show-asm — Sous-commande cargo affichant l'assembleur, le LLVM-IR et le MIR générés pour le code Rust.

cargo-spellcheck — Vérifie toute votre documentation pour les fautes d'orthographe et de grammaire avec hunspell (prêt) et languagetool (aperçu).

cargo-unused-features ⚠️ — Trouve les feature flags activés potentiellement inutilisés et les élimine. Vous pouvez générer un simple rapport HTML à partir du JSON pour faciliter l'inspection des résultats. Il supprime une fonctionnalité d'une dépendance puis compile le projet pour voir s'il compile toujours. Si c'est le cas, le feature flag peut éventuellement être supprimé, mais cela peut être un faux positif.

clippy — Un linter de code pour détecter les erreurs courantes et améliorer votre code Rust.

diff.rs — Application web (WASM) pour afficher un diff entre les versions de crates Rust.

dylint — Un outil pour exécuter des lints Rust à partir de bibliothèques dynamiques. Dylint permet aux développeurs de maintenir facilement leurs propres collections de lints personnelles.

electrolysis ⚠️ — Un outil pour vérifier formellement les programmes Rust en les transpilant en définitions dans le prouveur de théorèmes Lean.

herbie ⚠️ — Ajoute des avertissements ou des erreurs à votre crate lors de l'utilisation d'une expression à virgule flottante numériquement instable.

kani — Le Kani Rust Verifier est un model checker bit-précis pour Rust. Kani est particulièrement utile pour vérifier les blocs de code unsafe en Rust, où les « superpouvoirs unsafe » ne sont pas vérifiés par le compilateur. Kani vérifie :

TangleGuard ©️ — Aide à comprendre et à maintenir une architecture logicielle évolutive. Pour ce faire, il génère un graphe de dépendances interactif et imbriqué à partir du code source. Vous pouvez choisir le niveau de détail et obtenir la partie de votre base de code qui vous intéresse.

warnalyzer ⚠️ — Affiche le code inutilisé des projets Rust multi-crates.

Better Code Hub ©️ — Better Code Hub vérifie votre base de code GitHub selon 10 directives d'ingénierie conçues par l'autorité en matière de qualité logicielle, Software Improvement Group.

Betterscan CE ⚠️ — Vérifie votre code et votre infrastructure (divers dépôts Git pris en charge, piles cloud, CLI, plateforme d'interface Web, intégrations disponibles) pour les problèmes de sécurité et de qualité. Analyse de code/SAST/Linting utilisant de nombreux outils/scanners dédupliqués avec un seul rapport (IA en option).

biome — Une chaîne d'outils pour les projets web, visant à fournir les fonctionnalités nécessaires à leur maintenance. Biome formate et linte le code en une fraction de seconde. Il est le successeur de Rome. Il est conçu pour éventuellement remplacer Biome est conçu pour éventuellement remplacer Babel, ESLint, webpack, Prettier, Jest, et d'autres.

BlockWatch — Un linter indépendant du langage qui maintient le code, la documentation et la configuration synchronisés et applique des règles strictes de formatage et de validation.

BugProve ⚠️ ©️ — BugProve est une plateforme d'analyse de firmware proposant des techniques d'analyse statique et dynamique pour découvrir les corruptions mémoire, les injections de commandes et d'autres classes de faiblesses courantes dans le code binaire. Elle détecte également les dépendances vulnérables, les paramètres cryptographiques faibles, les mauvaises configurations, et plus encore.

callGraph — Génère statiquement une image de graphe d'appels et l'affiche à l'écran.

CAST Highlight ©️ — Analyse statique de code commerciale qui s'exécute localement, mais téléverse les résultats vers son cloud pour la présentation.

Checkmarx CxSAST ©️ — Analyse statique de code commerciale qui ne nécessite pas de pré-compilation.

ClassGraph — Un scanner de classpath et de module path pour interroger ou visualiser les métadonnées de classes ou les relations entre classes.

Clayton ©️ — Revues de code alimentées par l'IA pour Salesforce. Sécurisez vos développements, appliquez les bonnes pratiques et contrôlez votre dette technique en temps réel.

coala ⚠️ — Framework indépendant du langage pour créer des analyses de code - prend en charge plus de 60 langages par défaut.

Cobra ©️ — Analyseur structurel de code source du Jet Propulsion Laboratory de la NASA.

Codacy ©️ — Analyse de code pour livrer un meilleur code, plus rapidement.

Code Intelligence ©️ — Plateforme DevSecOps agnostique CI/CD qui combine des moteurs de fuzzing leaders du secteur pour trouver des bugs et visualiser la couverture de code

Code Pathfinder — Analyse statique de code open source pour les équipes de sécurité avec analyse de flux de données inter-fichiers (taint analysis). Conçu pour trouver des vulnérabilités, effectuer des recherches structurelles avancées, obtenir des informations et prend en charge le serveur MCP.

Code-Graph-RAG — Construit des graphes de connaissances à partir de bases de code multilingues en utilisant l'analyse AST Tree-sitter et les stocke dans Memgraph. Prend en charge 11 langages de programmation avec un schéma de graphe unifié et permet l'interrogation et la modification en langage naturel de la structure et des relations du code. Fonctionne comme un serveur MCP pour l'intégration d'assistants IA.

Codeac ©️ — Outil de revue de code automatisée qui s'intègre à GitHub, Bitbucket et GitLab (même en auto-hébergement). Disponible pour JavaScript, TypeScript, Python, Ruby, Go, PHP, Java, Docker, et plus encore. (open source gratuit)

codeburner — Fournit une interface unifiée pour trier et agir sur les problèmes qu'il trouve.

codechecker — Une base de données de défauts et une extension de visualisation pour le Clang Static Analyzer avec interface web.

CodeFactor ©️ — Analyse de code automatisée pour les dépôts sur GitHub ou BitBucket.

CodeFlow ©️ — Outil d'analyse de code automatisée pour gérer la dette technique. S'intègre avec Bitbucket et Gitlab. (gratuit pour les projets open source)

Codemodder — Codemodder est un framework enfichable pour créer des codemods expressifs. Utilisez Codemodder lorsque vous avez besoin de plus qu'un linter ou un outil de formatage de code. Utilisez-le pour corriger des problèmes de sécurité non triviaux et d'autres problèmes de qualité de code.

codeql — Analyse de code approfondie - requêtes sémantiques et flux de données pour plusieurs langages avec prise en charge du plugin VSCode.

CodeQue — Écosystème pour la correspondance structurelle de code JavaScript et TypeScript. Propose un outil de recherche qui comprend la structure du code. Disponible en tant qu'outil CLI et extension Visual Studio Code. Il aide à rechercher le code plus rapidement et plus précisément, rendant votre flux de travail plus efficace. Bientôt, il proposera un plugin ESLint pour créer vos propres règles en quelques minutes afin de garantir la qualité de la base de code.

CodeRush ©️ — Outils de création de code, de débogage, de navigation, de refactorisation, d'analyse et de visualisation qui utilisent le moteur Roslyn dans Visual Studio 2015 et versions ultérieures.

CodeScan ©️ — Qualité de code et sécurité pour les développeurs Salesforce. Conçues exclusivement pour la plateforme Salesforce, les solutions d'analyse de code de CodeScan vous offrent une visibilité totale sur la santé de votre code.

CodeScene ©️ — CodeScene est un outil de visualisation de la qualité pour les logiciels. Priorisez la dette technique, détectez les risques de livraison et mesurez les aspects organisationnels. Entièrement automatisé.

CodeSee ©️ — CodeSee cartographie et automatise les services, répertoires, dépendances de fichiers et changements de code de votre application. C'est comme Google Map, mais pour le code.

CodeSonar from GrammaTech ©️ — Analyse statique avancée, de programme entier et de chemins profonds, de C, C++, Java et C# avec des explications faciles à comprendre et une visualisation du code et des chemins.

Codety ⚠️ ©️ — Codety Scanner est un scanner de code source complet qui intègre plus de 5000 règles d'analyse statique de code, visant à détecter les problèmes de code pour plus de 20 langages de programmation et outils IaC.

Codiga ©️ — Plateforme de revues de code automatisées et de gestion de la dette technique qui prend en charge plus de 12 langages.

Corgea ©️ — Corgea est un scanner SAST alimenté par l'IA qui aide les développeurs à trouver et corriger le code non sécurisé. Il détecte les failles de logique métier, l'authentification cassée, les vulnérabilités API, et plus encore, avec peu de faux positifs. De plus, il rédige automatiquement des correctifs de sécurité à approuver. Corgea s'intègre avec GitHub, GitLab, Azure DevOps, les IDE et la CLI. Il est gratuit à essayer.

Corrode ⚠️ — Traduction semi-automatique de C vers Rust. Peut révéler des bugs dans l'implémentation d'origine en affichant les avertissements et erreurs du compilateur Rust. Remplacé par C2Rust.

Coverity ©️ — Synopsys Coverity prend en charge 20 langages et plus de 70 frameworks, dont Ruby on Rails, Scala, PHP, Python, JavaScript, TypeScript, Java, Fortran, C, C++, C#, VB.NET.

cpp-linter-action — Une action GitHub pour linter le code C/C++ intégrant clang-tidy et clang-format afin de recueillir les retours fournis sous forme de commentaires de fil et/ou d'annotations.

cqc ⚠️ — Vérifiez la qualité de votre code pour les fichiers js, jsx, vue, css, less, scss, sass et styl.

DeepCode ⚠️ ©️ — DeepCode a été acquis par Snyk et est désormais Snyk Code.

DeepSource ©️ — Analyse statique approfondie pour trouver des problèmes dans les catégories de risques de bugs, sécurité, anti-patterns, performance, documentation et style. Intégrations natives avec GitHub, GitLab et Bitbucket. Moins de 5 % de faux positifs.

deleaker ©️ — Deleaker est un outil de détection de fuites mémoire pour C++, .NET et Delphi, s'intégrant avec Visual Studio, Qt Creator et RAD Studio ou fonctionnant en application autonome. Il aide les développeurs à trouver et corriger efficacement les fuites mémoire, GDI et de handles.

Depends — Analyse les dépendances complètes des éléments de code pour Java, C/C++, Ruby.

DerScanner ©️ — Plateforme multi-langages de test de sécurité des applications statiques (SAST) qui détecte les vulnérabilités critiques, notamment les secrets codés en dur, la cryptographie faible, les portes dérobées, les injections SQL, les configurations non sécurisées, etc.

DevSkim — Outil d'analyse statique basé sur des expressions régulières pour Visual Studio, VS Code et Sublime Text - C/C++, C#, PHP, ASP, Python, Ruby, Java, et autres.

diesel-guard — Linter pour les modèles de migration Postgres dangereux dans Diesel et SQLx. Prévient les temps d'arrêt causés par des changements de schéma non sécurisés.

dotnet-format — Un formateur de code pour .NET. Les préférences seront lues à partir d'un fichier .editorconfig, s'il est présent ; sinon, un ensemble de préférences par défaut sera utilisé. À l'heure actuelle, dotnet-format est capable de formater des projets C# et Visual Basic avec un sous-ensemble d'options .editorconfig prises en charge.

Embold ©️ — Plateforme intelligente d'analyse de logiciels qui identifie les problèmes de conception, les problèmes de code, la duplication et les métriques. Prend en charge Java, C, C++, C#, JavaScript, TypeScript, Python, Go, Kotlin et plus encore.

emerge ⚠️ — Emerge est un visualiseur de code source et de dépendances qui peut être utilisé pour recueillir des informations sur la structure du code source, les métriques, les dépendances et la complexité des projets logiciels. Après avoir analysé le code source d'un projet, il vous fournit une interface web interactive pour explorer et analyser votre projet à l'aide de structures de graphes.

Enforster AI ©️ — Enforster AI effectue une SAST de sécurité de code contextuelle, exploitant les LLM et l'intelligence artificielle pour réduire et enrichir la détection des failles logiques, des secrets, des fuites de données, des vulnérabilités de la chaîne d'approvisionnement et techniques.

ESLint — Un linter extensible pour JS, suivant la norme ECMAScript.

ezno — Un compilateur JavaScript et vérificateur TypeScript écrit en Rust, axé sur l'analyse statique et les performances d'exécution. Le vérificateur de types d'Ezno est construit à partir de zéro. Le vérificateur est entièrement compatible avec les annotations de types TypeScript et peut fonctionner sans aucune annotation de type.

Find Security Bugs — Le plugin SpotBugs pour les audits de sécurité des applications web Java et des applications Android. (Fonctionne également avec les projets Kotlin, Groovy et Scala)- Fortify ©️ — Une plateforme commerciale d'analyse statique qui prend en charge l'analyse de C/C++, C#, VB.NET, VB6, ABAP/BSP, ActionScript, Apex, ASP.NET, Classic ASP, VB Script, Cobol, ColdFusion, HTML, Java, JS, JSP, MXML/Flex, Objective-C, PHP, PL/SQL, T-SQL, Python (2.6, 2.7), Ruby (1.9.3), Swift, Scala, VB et XML.

Freeplane Code Explorer — Le mode Code Explorer de Freeplane est conçu pour analyser la structure et les dépendances du code compilé en fichiers de classes JVM. Il permet également d'afficher directement les résultats des tests ArchUnit dans Freeplane, si Freeplane est en cours d'exécution et qu'ArchUnit détecte des violations de règles pendant les tests.

Goodcheck — Linter personnalisable basé sur des expressions régulières.

goone ⚠️ — Détecte les requêtes N+1 (appels SQL dans une boucle for) dans le code Go

graudit — Grep rough audit - outil d'audit de code source.

HCL AppScan Source ©️ — Analyse statique de code commerciale.

Hopper ⚠️ — Un outil d'analyse statique écrit en Scala pour les langages qui s'exécutent sur la JVM.

Hound CI — Commente les violations de style dans les pull requests GitHub. Prend en charge Coffeescript, Go, HAML, JavaScript, Ruby, SCSS et Swift.

imhotep ⚠️ — Commente les commits arrivant dans votre dépôt et vérifie les erreurs syntaxiques ainsi que les avertissements généraux de lint.

include-gardener ⚠️ — Un analyseur statique multi-langages pour C/C++/Obj-C/Python/Ruby permettant de créer un graphe (au format dot ou graphml) qui montre toutes les relations #include d'un ensemble donné de fichiers.

Infer — Un analyseur statique pour Java, C et Objective-C

Joern — Joern est une plateforme d'analyse de code source, de bytecode et d'exécutables binaires. Elle génère des code property graphs (CPG), une représentation graphique du code pour l'analyse de code multi-langages. Les code property graphs sont stockés dans une base de données graphique personnalisée. Cela permet d'explorer le code à l'aide de requêtes formulées dans un langage de requête spécifique au domaine basé sur Scala. Joern est développé dans le but de fournir un outil utile pour la découverte de vulnérabilités et la recherche en analyse statique de programmes.

jQAssistant — jQAssistant est une plateforme d'analyse logicielle basée sur des plugins qui permet d'analyser les structures de code et les métadonnées des dépôts dans une base de données graphique Neo4j. Les données collectées peuvent être utilisées pour une exploration ad hoc via des requêtes, la visualisation ou la définition de règles pour une validation continue de l'architecture.

keploy — Keploy est une plateforme de test open source qui aide les développeurs à automatiser et rationaliser leur processus de test. Elle fournit des agents de test API et d'intégration, générant des tests et des mocks/stubs pour des API qui fonctionnent réellement. De plus, Keploy propose un agent de tests unitaires alimenté par l'IA qui génère des tests unitaires stables et utiles directement dans vos PR GitHub et dans VSCode, aidant à détecter les erreurs et à améliorer la qualité du code.

Kiuwan ©️ — Identifiez et corrigez les cybermenaces dans un environnement collaboratif extrêmement rapide, avec une intégration transparente dans votre SDLC. Python, C\C++, Java, C#, PHP et plus encore.

Klocwork ©️ — Analyse statique de qualité et de sécurité pour C/C++, Java et C#.

LangLint — Plateforme de traduction automatisée pour les commentaires de code et les docstrings sur plus de 20 types de fichiers. Élimine les barrières linguistiques dans la collaboration logicielle internationale. Prend en charge plus de 100 paires de langues avec protection de la syntaxe. S'intègre dans les pipelines CI/CD comme Ruff. 10 à 20 fois plus rapide grâce au traitement concurrent.

LGTM ©️ — Trouvez des vulnérabilités de sécurité, des variantes et des problèmes critiques de qualité de code à l'aide de requêtes CodeQL sur le code source. Revue de code automatique des PR ; gratuit pour l'open source. Anciennement Semmle. Prend en charge les dépôts Git publics hébergés sur Bitbucket Cloud, GitHub.com, GitLab.com.

lizard — Lizard est un analyseur extensible de complexité cyclomatique pour de nombreux langages de programmation, y compris C/C++ (il ne nécessite pas tous les fichiers d'en-tête ni les imports Java). Il effectue également la détection de copier-coller (détection de clones de code / détection de code dupliqué) et de nombreuses autres formes d'analyse statique de code. Il compte les lignes de code sans les commentaires, le CCN (nombre de complexité cyclomatique), le nombre de jetons des fonctions, le nombre de paramètres des fonctions.

Mega-Linter — Mega-Linter peut gérer tout type de projet grâce à ses 70+ linters intégrés, ses rapports avancés, exécutable sur n'importe quel système CI ou localement, avec installation et configuration assistées, capable d'appliquer le formatage et les correctifs

Mobb ©️ — Mobb est un correcteur de vulnérabilités automatique et fiable qui sécurise les applications, réduit les arriérés de sécurité et libère les développeurs pour qu'ils se concentrent sur l'innovation. Mobb est gratuit pour les projets open source.

MOPSA — Un analyseur statique conçu pour réutiliser facilement des domaines abstraits à travers des langages très différents (comme C et Python).

Neurolint-CLI — Outil de transformation de code déterministe utilisant l'analyse AST et des transformations basées sur des règles. Corrige automatiquement plus de 50 problèmes, y compris les violations d'accessibilité, les erreurs d'hydratation, les migrations React 19/Next.js 16 et les mises à jour de configuration. Dispose d'une orchestration infaillible en 5 étapes pour garantir zéro changement cassant. Spécialisé pour les projets React, Next.js et TypeScript.

oclint — Un outil d'analyse statique de code source pour améliorer la qualité et réduire les défauts pour C, C++ et Objective-C.

Offensive 360 ©️ — Système commercial d'analyse statique de code qui ne nécessite ni compilation du code source ni pré-compilation.

OpenRewrite — OpenRewrite corrige les problèmes courants d'analyse statique signalés via Sonar et d'autres outils à l'aide d'un plugin Maven et Gradle ou de la CLI Moderne.

OpenStaticAnalyzer — OpenStaticAnalyzer est un outil d'analyse de code source capable d'effectuer une analyse statique approfondie du code source de systèmes complexes.

oxc — The Oxidation Compiler crée une suite d'outils haute performance pour le langage JavaScript / TypeScript réécrit en Rust.

parasoft ©️ — Solutions automatisées de test logiciel pour les tests unitaires, d'API et d'interface web. Conforme à MISRA, OWASP et autres.

pfff — Les outils de Facebook pour l'analyse de code, la visualisation ou la transformation de source préservant le style pour de nombreux langages.

Pixee ©️ — Pixeebot détecte les problèmes de sécurité et de qualité de code dans votre code et crée des pull requests prêtes à fusionner avec les correctifs recommandés.

PMD — Un analyseur de code source pour Java, Salesforce Apex, JavaScript, PLSQL, XML, XSL et autres.

pre-commit — Un framework pour gérer et maintenir des hooks pre-commit multi-langages.

Precaution — Precaution est un outil d'analyse statique de sécurité (SAST) conçu pour trouver des vulnérabilités potentiellement critiques dans le code source avant la production. Il est disponible sous forme de CLI, de GitHub Action et d'application GitHub.

Prettier — Un formatteur de code avec des conventions par défaut.

Pronto — Revue de code automatisée rapide de vos modifications. Prend en charge plus de 40 runners pour divers langages, notamment Clang, Elixir, JavaScript, PHP, Ruby et plus encore.

PT.PM ⚠️ — Un moteur de recherche de motifs dans le code source, basé sur un AST unifié ou UST. Actuellement, C#, Java, PHP, PL/SQL, T-SQL et JavaScript sont pris en charge. Les motifs peuvent être décrits dans le code ou via un DSL.

Putout — Transformateur de code pluggable et configurable avec prise en charge intégrée des plugins eslint et babel pour js, jsx, typescript, flow, markdown, yaml et json.

PVS-Studio ©️ — Une analyse statique de code C, C++, C# et Java (conditionnellement gratuite pour les développeurs FOSS et individuels). À des fins publicitaires, vous pouvez proposer un grand projet FOSS pour analyse par les employés de PVS. Prend en charge la cartographie CWE, OWASP ASVS, MISRA, AUTOSAR et les normes de codage SEI CERT.

pylama — Outil d'audit de code pour Python et JavaScript. Englobe pycodestyle, pydocstyle, PyFlakes, Mccabe, Pylint et plus encore

Qwiet AI ©️ — Identifiez les vulnérabilités propres à votre base de code avant qu'elles n'atteignent la production. S'appuie sur le Code Property Graph (CPG) pour exécuter ses analyses en parallèle dans un graphe unique de graphes. Détecte automatiquement les défauts de logique métier en dev, comme les secrets codés en dur et les bombes logiques

Refactoring Essentials — L'extension gratuite Visual Studio 2015 pour les refactorisations C# et VB.NET, y compris les analyseurs de bonnes pratiques de code.

relint — Un linter de fichiers statique qui vous permet d'écrire des règles personnalisées à l'aide d'expressions régulières (RegEx).

ReSharper ©️ — Étend Visual Studio avec des inspections de code à la volée pour C#, VB.NET, ASP.NET, JavaScript, TypeScript et d'autres technologies.

Rev-dep — Kit d'analyse et d'optimisation des dépendances pour les projets JavaScript et TypeScript modernes. Tracez les imports, identifiez les dépendances circulaires, trouvez le code inutilisé, nettoyez les modules node.

RIPS ©️ — Un analyseur statique de code source pour les vulnérabilités dans les scripts PHP.

Roslyn Analyzers — Implémentation basée sur Roslyn des analyseurs FxCop.

Roslyn Security Guard — Projet axé sur l'identification de vulnérabilités potentielles telles que l'injection SQL, le cross-site scripting (XSS), le CSRF, les faiblesses cryptographiques, les mots de passe codés en dur et bien d'autres.

SafeQL — Validez et générez automatiquement des types TypeScript à partir de requêtes SQL brutes dans PostgreSQL. SafeQL est un plugin ESLint pour écrire des requêtes SQL de manière type-safe.

SAST Online ©️ — Vérifiez en profondeur le code source Android pour découvrir et traiter les problèmes de sécurité et les vulnérabilités potentiels. Outil en ligne de test statique de sécurité des applications (analyse statique de code)

Scrutinizer ⚠️ ©️ — Un vérificateur propriétaire de qualité de code qui peut être intégré à GitHub.

Security Code Scan — Analyseur de code de sécurité pour C# et VB.NET. Détecte divers motifs de vulnérabilités de sécurité : SQLi, XSS, CSRF, XXE, Open Redirect, etc. S'intègre dans Visual Studio 2015 et versions ultérieures. Détecte divers motifs de vulnérabilités de sécurité : SQLi, XSS, CSRF, XXE, Open Redirect, etc.

Semgrep — Un outil d'analyse statique rapide et open source pour trouver des bugs et appliquer les normes de code à l'éditeur, au commit et au moment de la CI. Ses règles ressemblent au code que vous écrivez déjà ; pas de lutte avec les arbres de syntaxe abstraite ou les regex. Prend en charge plus de 17 langages.

Semgrep Supply Chain ©️ — Trouvez et corrigez rapidement les problèmes de sécurité hautement prioritaires. Semgrep Supply Chain priorise les 2 % de vulnérabilités qui sont atteignables depuis votre code.

Seqra — Analyseur statique axé sur la sécurité pour les applications web Java et Kotlin. Analyse le bytecode avec des règles YAML de style Semgrep et un dataflow de niveau CodeQL (avec un support Spring de première classe) pour trouver les vulnérabilités que les scanners basés uniquement sur le source manquent.

ShiftLeft Scan ⚠️ — Scan est une plateforme DevSecOps gratuite et open source pour détecter les problèmes de sécurité dans le code source et les dépendances. Elle prend en charge un large éventail de langages et de pipelines CI/CD. Remarque : ShiftLeft a été renommé Qwiet AI en 2023, qui a ensuite été acquis par Harness en septembre 2025. Ce projet open source n'est plus maintenu.

shipshape ⚠️ — Plateforme d'analyse statique de programmes qui permet à des analyseurs personnalisés de se brancher via une interface commune.

Sigrid ©️ — Sigrid vous aide à améliorer votre logiciel en mesurant la qualité de code de votre système, puis compare les résultats à une référence de milliers de systèmes industriels pour vous donner des conseils concrets sur les domaines où vous pouvez vous améliorer.

Similarity Tester — Un outil qui détecte les similitudes entre ou dans les fichiers pour vous aider à repérer les violations du principe DRY.