SonarQube

O SonarQube é a plataforma de verificação algorítmica para qualidade e segurança de código. Sua análise estática aplica técnicas como execução simbólica e análise de fluxo de dados e de controle para inspecionar seu código, encontrar bugs, vulnerabilidades e problemas estruturais, e informar exatamente o que corrigir e por quê, na sua IDE, nos seus pull requests e no seu pipeline de CI.

Este repositório contém o código-fonte do SonarQube Community Build, a edição gratuita e de código aberto da plataforma SonarQube. Ele compartilha a mesma análise usada em toda a linha de produtos SonarQube.

Feito para a era da IA

A IA escreve código mais rápido do que as equipes conseguem revisá-lo, criando uma dívida de verificação: código chegando à produção antes que alguém tenha confirmado o que ele faz. O SonarQube aplica a mesma análise consistente e explicável a cada linha, seja escrita por um desenvolvedor ou por um agente. Vibe, depois verifique: gere rápido, depois verifique o que chega à produção. É o estágio de verificação do Agent Centric Development Cycle, executado no loop externo de verificação de CI para verificar o código antes que ele seja mesclado.

O que o SonarQube encontra

• Bugs e problemas de confiabilidade que quebram o comportamento em tempo de execução.
• Vulnerabilidades de segurança e security hotspots, com orientações claras sobre o risco e a correção.
• Problemas de manutenibilidade e estruturais que tornam o código mais difícil de alterar ao longo do tempo.
• Cobertura em código novo, para que a qualidade melhore a cada commit em vez de ficar parada atrás de um backlog.

A plataforma SonarQube analisa mais de 40 linguagens de programação e frameworks; o Community Build oferece suporte a um subconjunto deles. A análise é repetível, auditável e explicável: o mesmo código sempre produz os mesmos resultados, cada resultado é rastreável e cada um informa qual é o problema e por que ele importa.

Edições comerciais

O SonarQube Server e o SonarQube Cloud incluem tudo do Community Build e adicionam:

Detecte mais

• Mais bugs, vulnerabilidades, problemas de qualidade de código e problemas de arquitetura, por meio de cobertura mais ampla e análise mais profunda.
• Mais linguagens e frameworks do que o Community Build.
• Análise de composição de software (SCA) para dependências de código aberto vulneráveis e de risco.
• Segurança avançada com análise profunda de taint (SAST) que rastreia vulnerabilidades ao longo dos fluxos de dados.
• Detecção de segredos para credenciais, tokens e chaves vazados.
• Análise de infraestrutura como código (IaC) para Terraform, Kubernetes, Docker e CloudFormation.
• Gerenciamento de arquitetura para definir restrições arquiteturais e detectar violações estruturais.

Analise todo o seu fluxo de trabalho

• Análise de branch e decoração de pull request, para que cada alteração seja verificada antes de ser mesclada.

Governança, relatórios e visão entre equipes

• Portfólios e aplicações que consolidam qualidade e segurança em vários projetos.
• Painéis executivos e relatórios de tendências.
• Relatórios de segurança e conformidade, incluindo OWASP Top 10, CWE e PCI DSS.
• Governança empresarial: aplique Quality Gates e permissões em todas as equipes, com trilhas de auditoria completas.

Corrija

• SonarQube Remediation Agent para reduzir a dívida técnica corrigindo os problemas do SonarQube para você, abrindo pull requests de correção verificadas que você pode revisar e mesclar.

Alguns recursos fazem parte do add-on SonarQube Advanced Security. Consulte a linha de produtos para obter detalhes.

Quality gates

Um Quality Gate é uma verificação de aprovação ou reprovação no seu código novo. Defina o padrão uma vez, e o SonarQube o aplica automaticamente em cada pull request e pipeline, para que os problemas sejam detectados antes da mesclagem em vez de encontrados em produção.

A linha de produtos SonarQube

O Community Build é gratuito e de código aberto. A linha mais ampla do SonarQube aplica a mesma análise em todo o seu fluxo de trabalho:

• SonarQube Server, autogerenciado, com mais linguagens, análise de segurança mais profunda e análise de branch e pull request.
• SonarQube Cloud, hospedado, com os mesmos recursos como serviço gerenciado.
• SonarQube for IDE, análise em tempo real enquanto você escreve ou gera código.
• SonarQube MCP Server, trazendo a análise do SonarQube para o contexto do seu agente de IA.
• SonarQube CLI, executando a análise pela linha de comando.

Compare planos e preços do SonarQube para escolher o produto e o modelo de implantação apropriados.

Links do produto

• Site
• Download
• Documentação
• X
• SonarSource, autora do SonarQube

Perguntas frequentes

O Community Build é gratuito? Sim. Ele é gratuito e de código aberto, e este repositório é o seu código-fonte.

Qual é a diferença entre o Community Build e o SonarQube Server? O Community Build é o mecanismo gratuito e autogerenciado. O SonarQube Server e o SonarQube Cloud são as edições comerciais. Eles cobrem mais linguagens e adicionam análise de branch e pull request, análise de composição de software (SCA), gerenciamento de arquitetura, segurança avançada com análise de taint (SAST), detecção de segredos, análise de infraestrutura como código (IaC), o SonarQube Remediation Agent para pull requests de correção verificadas e relatórios empresariais. Alguns recursos fazem parte do add-on SonarQube Advanced Security. Consulte a linha de produtos para obter detalhes.