SonarQube Security

Définition

SonarQube Security désigne le volet sécurité de la plateforme d'analyse continue de code SonarQube, éditée par SonarSource, qui inspecte le code source à chaque commit ou pull request pour détecter trois catégories de problèmes : les Vulnerabilities (failles de sécurité confirmées), les Security Hotspots (portions de code nécessitant une revue manuelle car potentiellement risquées selon le contexte, comme l'usage d'une fonction de hachage faible), et plus largement les bugs et code smells qui dégradent la qualité et la maintenabilité. L'analyse couvre une trentaine de langages (Java, C#, JavaScript, TypeScript, Python, C/C++, Go) et s'appuie sur des règles cartographiées avec l'OWASP Top 10, le CWE et le SANS Top 25 pour contextualiser chaque finding. Le mécanisme de Quality Gate permet de bloquer automatiquement la fusion d'une pull request ou le passage en production tant que des seuils définis de vulnérabilités ou de dette technique ne sont pas respectés, intégré nativement dans Jenkins, GitLab CI, Azure DevOps et GitHub Actions. SonarQube Community Edition, gratuite et open source, couvre l'analyse de qualité de base, tandis que les éditions Developer et Enterprise ajoutent l'analyse de sécurité approfondie, le support multi-branches et la conformité réglementaire. L'outil est largement adopté comme brique shift-left dans les pipelines DevSecOps pour instaurer une hygiène de code continue plutôt que des audits ponctuels.