SonarQube
Análisis estático de código para detectar bugs, vulnerabilidades y deuda técnica
¿Qué es SonarQube?
SonarQube es una plataforma de análisis estático de código desarrollada por Sonar. Revisa el código fuente sin ejecutarlo y detecta errores, vulnerabilidades de seguridad, code smells y duplicidades, presentando los resultados en un panel con métricas de calidad. Se integra en el pipeline de CI/CD y soporta decenas de lenguajes, por lo que es un estándar habitual en equipos de desarrollo que quieren controlar la deuda técnica.
¿Para qué sirve SonarQube?
- Detectar bugs y vulnerabilidades antes de desplegar a producción
- Bloquear pull requests que no cumplen el quality gate
- Medir y controlar la deuda técnica de un proyecto
- Comprobar la cobertura de tests y el código duplicado
- Auditar la calidad de un código heredado
Características principales
- Análisis estático para decenas de lenguajes de programación
- Quality gates configurables que bloquean código de baja calidad
- Detección de vulnerabilidades de seguridad y hotspots
- Integración con GitHub, GitLab, Jenkins y otros CI/CD
- Panel con métricas históricas de calidad y deuda técnica
Ventajas
- Edición Community Build open source y gratuita, autoalojable
- Cobertura de lenguajes muy amplia
- Estándar de facto: mucha documentación y comunidad
Inconvenientes
- La edición Community Build deja fuera lenguajes y análisis avanzados
- Autoalojarlo implica mantener servidor y base de datos
- Puede generar mucho ruido si no se ajustan bien las reglas
Precio de SonarQube
SonarQube tiene una edición gratuita y open source, Community Build, que se puede autoalojar. SonarQube Server, también autoalojado, tiene ediciones de pago (Developer, Enterprise y Data Center) con precio anual según las líneas de código analizadas. SonarQube Cloud, la versión gestionada que antes se llamaba SonarCloud, tiene un plan gratuito que no caduca y planes de pago para equipos.
No hemos verificado tarifas concretas de SonarQube. Consulta su web oficial para conocer los precios vigentes.
Alternativas a SonarQube
Otras herramientas de Análisis estático que puedes comparar con SonarQube:
Artículos sobre SonarQube
Preguntas frecuentes sobre SonarQube
¿Qué es SonarQube y para qué sirve?
SonarQube es una plataforma de análisis estático de código. Sirve para revisar el código fuente sin ejecutarlo y detectar bugs, vulnerabilidades de seguridad, código duplicado y code smells, ofreciendo métricas de calidad y deuda técnica sobre las que actuar.
¿SonarQube es gratis?
Sí, tiene una edición Community Build open source y gratuita que puedes instalar en tu propio servidor, y SonarQube Cloud tiene un plan gratuito. Las ediciones de pago añaden más lenguajes, análisis de ramas y funciones avanzadas de seguridad.
¿Qué diferencia hay entre SonarQube Server y SonarQube Cloud?
SonarQube Server se instala y se gestiona en tu propia infraestructura, mientras que SonarQube Cloud es la versión alojada por Sonar, sin mantenimiento por tu parte. SonarQube Cloud es el antiguo SonarCloud: Sonar lo renombró en octubre de 2024 al reunir todas sus ediciones bajo la marca SonarQube.
¿Buscas algo parecido? Explora todas las herramientas de DevTools.