SonarQube

SonarQube è la piattaforma di verifica algoritmica per la qualità e la sicurezza del codice. La sua analisi statica applica tecniche come l'esecuzione simbolica e l'analisi del flusso di dati e di controllo per ispezionare il codice, individuare bug, vulnerabilità e problemi strutturali e indicare esattamente cosa correggere e perché, nel tuo IDE, nelle tue pull request e nella tua pipeline CI.

Questo repository contiene il codice sorgente di SonarQube Community Build, l'edizione gratuita e open source della piattaforma SonarQube. Condivide la stessa analisi utilizzata in tutta la linea di prodotti SonarQube.

Progettato per l'era dell'AI

L'AI scrive codice più velocemente di quanto i team riescano a revisionarlo, creando un debito di verifica: codice che arriva in produzione prima che qualcuno abbia confermato cosa fa. SonarQube applica la stessa analisi coerente e spiegabile a ogni riga, che sia stata scritta da uno sviluppatore o da un agente. Vibe, poi verifica: genera velocemente, poi verifica ciò che arriva in produzione. È la fase di verifica dell'Agent Centric Development Cycle, che opera nel ciclo di verifica CI esterno per verificare il codice prima del merge.

Cosa individua SonarQube

• Bug e problemi di affidabilità che compromettono il comportamento a runtime.
• Vulnerabilità di sicurezza e security hotspot, con indicazioni chiare sul rischio e sulla correzione.
• Problemi di manutenibilità e strutturali che rendono il codice più difficile da modificare nel tempo.
• Copertura sul nuovo codice, così la qualità migliora a ogni commit invece di restare bloccata dietro un backlog.

La piattaforma SonarQube analizza più di 40 linguaggi e framework di programmazione; la Community Build ne supporta un sottoinsieme. L'analisi è ripetibile, verificabile e spiegabile: lo stesso codice produce sempre gli stessi risultati, ogni risultato è tracciabile e ciascuno indica qual è il problema e perché è importante.

Edizioni commerciali

SonarQube Server e SonarQube Cloud includono tutto ciò che è presente nella Community Build e aggiungono:

Rileva di più

• Più bug, vulnerabilità, problemi di qualità del codice e problemi di architettura, grazie a una copertura più ampia e a un'analisi più approfondita.
• Più linguaggi e framework rispetto alla Community Build.
• Analisi della composizione software (SCA) per dipendenze open source vulnerabili e a rischio.
• Sicurezza avanzata con analisi approfondita del taint (SAST) che traccia le vulnerabilità attraverso i flussi di dati.
• Rilevamento dei segreti per credenziali, token e chiavi esposti.
• Analisi dell'infrastructure as code (IaC) per Terraform, Kubernetes, Docker e CloudFormation.
• Gestione dell'architettura per definire vincoli architetturali e individuare violazioni strutturali.

Analizza l'intero flusso di lavoro

• Analisi dei branch e decorazione delle pull request, così ogni modifica viene verificata prima del merge.

Governa, reportizza e osserva tra i team

• Portfolio e applicazioni che aggregano qualità e sicurezza su molti progetti.
• Dashboard executive e report sulle tendenze.
• Report di sicurezza e conformità, inclusi OWASP Top 10, CWE e PCI DSS.
• Governance enterprise: applica Quality Gate e permessi tra i team, con audit trail completi.

Correggi

• SonarQube Remediation Agent per ridurre il debito tecnico correggendo per te i problemi di SonarQube, aprendo pull request di correzione verificate che puoi revisionare e unire.

Alcune funzionalità fanno parte dell'add-on SonarQube Advanced Security. Consulta la linea di prodotti per i dettagli.

Quality gate

Un Quality Gate è un controllo di superamento o fallimento sul nuovo codice. Definisci lo standard una volta e SonarQube lo applica automaticamente in ogni pull request e pipeline, così i problemi vengono individuati prima del merge invece che in produzione.

La linea di prodotti SonarQube

La Community Build è gratuita e open source. La più ampia linea SonarQube applica la stessa analisi in tutto il flusso di lavoro:

• SonarQube Server, self-managed, con più linguaggi, analisi di sicurezza più approfondita e analisi di branch e pull request.
• SonarQube Cloud, hosted, con le stesse funzionalità come servizio gestito.
• SonarQube for IDE, analisi in tempo reale mentre scrivi o generi codice.
• SonarQube MCP Server, che porta l'analisi di SonarQube nel contesto del tuo agente AI.
• SonarQube CLI, che esegue l'analisi dalla riga di comando.

Confronta piani e prezzi di SonarQube per scegliere il prodotto e il modello di deployment appropriati.

Link al prodotto

• Sito web
• Download
• Documentazione
• X
• SonarSource, autore di SonarQube

FAQ

La Community Build è gratuita? Sì. È gratuita e open source, e questo repository ne è il codice sorgente.

Qual è la differenza tra la Community Build e SonarQube Server? La Community Build è il motore gratuito e self-managed. SonarQube Server e SonarQube Cloud sono le edizioni commerciali. Coprono più linguaggi e aggiungono analisi di branch e pull request, analisi della composizione software (SCA), gestione dell'architettura, sicurezza avanzata con analisi del taint (SAST), rilevamento dei segreti, analisi dell'infrastructure as code (IaC), il SonarQube Remediation Agent per pull request di correzione verificate e reportistica enterprise. Alcune funzionalità fanno parte dell'add-on SonarQube Advanced Security. Consulta la linea di prodotti per i dettagli.

Funziona sul codice generato dall'AI? Sì. SonarQube applica la stessa analisi a tutto il codice, che sia stato scritto da uno sviluppatore o da un agente.