Quality Gate

Définition

Un Quality Gate est un ensemble de conditions configurables dans les outils d'analyse de qualité et de sécurité du code (principalement SonarQube/SonarCloud) qui définissent le seuil minimal de qualité qu'un projet doit atteindre pour qu'un build soit considéré comme "passant". Dans le contexte DevSecOps, les Quality Gates combinent des métriques de qualité de code (couverture de tests, code smell, duplication) avec des métriques de sécurité (vulnérabilités, security hotspots, injection issues). SonarQube, l'outil de référence pour les Quality Gates, propose un Quality Gate par défaut ("Sonar way") qui définit des conditions sur le nouveau code (code introduit depuis la dernière analyse) : zéro nouveau bug critique, zéro nouvelle vulnérabilité, zéro nouveau security hotspot non reviewé, couverture de tests ≥80% sur le nouveau code, moins de 3% de duplication de code, zéro nouveau code smell bloquant. La distinction entre "overall code" et "new code" est fondamentale pour l'adoption du Quality Gate. Appliquer des conditions strictes à l'ensemble du code historique d'un projet legacy génère immédiatement des milliers d'échecs, paralysant les équipes. L'approche "new code definition" permet de définir une période de référence (depuis la version précédente, depuis X jours, depuis le merge de la PR) et d'appliquer les conditions de Quality Gate uniquement sur le code ajouté ou modifié dans cette période. Cette approche progressive permet l'amélioration incrémentale sans bloquer le développement sur la dette technique historique. Les Quality Gates peuvent être personnalisés par type de projet, par équipe, ou par niveau de maturité. Une organisation peut définir des gates différents pour ses projets critiques (gate strict avec zéro tolérance sur les vulnérabilités) et ses projets internes moins exposés (gate plus permissif). Cette différenciation permet d'allouer les efforts de sécurité là où le risque est le plus élevé. L'intégration des Quality Gates dans les Pull Requests (via l'API SonarQube et des webhooks configurés dans GitHub/GitLab) affiche le statut pass/fail directement dans l'interface de PR avec un lien vers les détails des analyses, facilitant le triage et la correction par les développeurs sans quitter leur contexte de travail.