Comparaison des solutions d'analyse de qualité¶

Cette page alimente un ADR (Architecture Decision Record) pour le choix du service d'analyse de qualité. Pour le format ADR, voir Documenter les decisions d'architecture.

Grille de comparaison¶

Analyse détaillée¶

SonarQube Community — Recommande pour le quality gate centralise¶

Forces :

• Référence de l'industrie pour l'analyse de qualité continue
• Quality gate avec integration CI/CD mature (scanner CLI, plugins Gitea/GitHub/GitLab)
• Quality profiles avec heritage : un seul endroit pour définir les standards
• Suivi des tendances dans le temps (tableaux de bord projet et portfolio)
• SonarLint gratuit pour feedback instantane dans l'IDE du développeur
• API REST complète pour automatisation et reporting
• Mapping OWASP et CWE complet

Faiblesses :

• Empreinte ressources elevee (JVM + Elasticsearch integre)
• PR decoration réservée aux editions payantes (Developer+)
• Regles custom limitees en edition Community (pas de Java custom rules)
• Temps de scan plus long que Semgrep sur de gros projets
• Pas de support de branche en Community (analyse de la branche principale uniquement)

Verdict : choix par defaut pour le quality gate centralise. L'edition Community suffit pour démarrer, l'upgrade vers Developer est recommande pour la PR decoration.

Semgrep CLI — Complement recommande pour le SAST¶

Forces :

• Analyse SAST extremement rapide (10-100x plus rapide que SonarQube sur le SAST)
• Regles custom en YAML, faciles a écrire et a partager
• Registre public de regles communautaires et professionnelles
• Integration native dans les pipelines CI (exit code, SARIF output)
• Pre-commit hook pour feedback avant le push
• Faible empreinte (CLI stateless, pas de serveur persistant)
• Taux de faux positifs tres faible grâce à l'analyse de flux de données

Faiblesses :

• Pas de quality gate au sens SonarQube (pas de dashboard de tendances)
• Pas de mesure de couverture, duplication ou dette technique
• Dashboard (Semgrep App) uniquement en SaaS
• Moins adapte pour l'analyse de maintenabilité et la complexité

Verdict : excellent complement a SonarQube. Utiliser Semgrep pour le SAST rapide dans le pipeline CI et les regles custom spécifiques a l'organisation.

CodeClimate — Alternative SaaS¶

Forces :

• SaaS sans infrastructure a gérer
• UI claire avec tendances et badges
• GPA (Grade Point Average) simple a comprendre
• Bonne couverture des metriques de maintenabilité

Faiblesses :

• SaaS uniquement (pas de self-hosted)
• Couverture SAST limitee comparée a SonarQube et Semgrep
• Pas de regles custom avancees
• Coût eleve pour les grandes équipes
• Dependance a un fournisseur externe pour des données sensibles

Verdict : acceptable si le SaaS est autorise par la politique de sécurité et que le self-hosting n'est pas une option. Non recommande pour les organisations avec des contraintes de confidentialite.

Codacy — Alternative multi-outils¶

Forces :

• Large couverture de langages (40+)
• Agregation de plusieurs outils (ESLint, Pylint, PMD, etc.)
• Option self-hosted disponible
• Integration GitHub/GitLab/Bitbucket native

Faiblesses :

• Taux de faux positifs plus eleve (agregation d'outils hétérogènes)
• Configuration complexe (chaque outil a sa propre config)
• Coût eleve en self-hosted
• Communauté plus restreinte que SonarQube
• Profondeur d'analyse SAST inférieure a Semgrep

Verdict : alternative viable si la couverture de langages est le critère principal. Moins recommande que la combinaison SonarQube + Semgrep.

Matrice de decision¶

graph TD
    A{Self-hosted requis ?} -->|Oui| B{Quality gate centralise ?}
    A -->|SaaS acceptable| C{Budget disponible ?}
    B -->|Oui| D[SonarQube + Semgrep]
    B -->|SAST uniquement| E[Semgrep CLI]
    C -->|Oui| F[CodeClimate ou Codacy]
    C -->|Non| D

Decision recommandee¶

Architecture combinée¶

Developpeur                 Pipeline CI                    SonarQube
     │                           │                              │
     ├── SonarLint (IDE) ────────┤                              │
     │   feedback instantane     │                              │
     │                           ├── Semgrep scan ──────────────┤
     ├── git push ───────────────┤   SAST rapide (< 60s)       │
     │                           │                              │
     │                           ├── SonarQube scan ────────────┤
     │                           │   analyse complete           │
     │                           │                              │
     │                           ├── Quality gate check ────────┤
     │                           │   pass / fail                │
     │                           │                              │
     └── PR status ◄─────────────┘                              │

Critères de reevaluation¶

Cette decision doit etre reevaluee si :

• SonarQube Community ajoute le support multi-branche (elimine le besoin de l'edition Developer)
• Semgrep App propose une offre self-hosted abordable
• Un outil open-source emerge avec la couverture de SonarQube et la rapidite de Semgrep
• Les contraintes de confidentialite evoluent (autorisation du SaaS)
• L'edition Developer de SonarQube change de modèle de tarification