# Análise código: 11 ferramentas estáticas recomendadas

> A análise estática de código examina o código-fonte sem executá-lo, identificando falhas de segurança, bugs e padrões inadequados antes da execução. Ferramentas como SonarQube, ESLint, Pylint, Checkmarx e Snyk automatizam essa verificação em diferentes linguagens, integrando-se a pipelines de CI/CD para detectar vulnerabilidades precocemente e reduzir custos de correção.

*TNT Web · Apps e Software · 14 de setembro de 2026 · Jonas Ribaldo*

Análise estática de código examina o código-fonte sem executá-lo, apontando falhas de segurança, bugs e padrões ruins. Veja 11 ferramentas recomendadas para diferentes linguagens e contextos.

Análise estática de código é a inspeção do código-fonte sem executá-lo, com o objetivo de encontrar vulnerabilidades, bugs e más práticas antes que cheguem à produção. As 11 ferramentas abaixo cobrem desde linters gratuitos até plataformas SAST corporativas, ordenadas por relevância prática para equipes brasileiras.

## 1. SonarQube

Plataforma de código aberto que combina análise estática com métricas de qualidade (duplicação, complexidade, cobertura). Roda em servidor próprio ou na nuvem. O critério que a coloca no topo: cobre mais de 25 linguagens no mesmo painel, o que resolve o problema de times poliglotas que não querem manter cinco ferramentas separadas.

## 2. Snyk

Focada em segurança de dependências e código próprio. Integra-se a repositórios Git e pipelines CI/CD, apontando vulnerabilidades conhecidas em bibliotecas de terceiros. Para projetos Node, Python ou Java, o alerta sobre pacotes desatualizados costuma ser o achado mais acionável no primeiro scan.

## 3. Checkmarx

Suíte SAST corporativa com forte presença em setores regulados. A análise cobre fluxo de dados entre entrada e saída, o que reduz falsos positivos em aplicações grandes. O custo de licenciamento é proporcional ao tamanho do time, então faz sentido para organizações com exigência de compliance.

## 4. ESLint

Linter específico para JavaScript e TypeScript. Configurável por regras, permite padronizar estilo e capturar erros comuns antes do commit. É gratuito e praticamente onipresente em projetos front-end modernos. A ressalva: não substitui uma ferramenta SAST, pois não rastreia fluxo de dados entre arquivos.

## 5. Pylint

Equivalente ao ESLint no ecossistema Python. Verifica convenções, erros lógicos e complexidade. A pontuação que gera (de 0 a 10) é usada por muitas equipes como termômetro rápido de saúde do código, ainda que a nota não deva ser tratada como meta absoluta.

## 6. Bandit

Ferramenta de segurança voltada a Python, mantida pela comunidade. Detecta uso de funções perigosas, senhas em código e padrões de criptografia fraca. Leve e fácil de plugar em pre-commit hooks.

## 7. Semgrep

Analisador que usa padrões sintáticos para encontrar bugs e falhas. A curva de aprendizado é baixa e a velocidade de scan é alta, o que a torna útil em pipelines que precisam rodar a cada push sem travar o desenvolvedor.

## 8. Coverity

Solução SAST tradicional, com foco em C, C++ e Java. Bastante usada em sistemas embarcados e software crítico, onde um bug em produção tem custo alto. A análise é profunda, mas o tempo de scan é maior.

## 9. CodeQL

Mecanismo de análise do GitHub. Permite escrever consultas próprias em uma linguagem dedicada, o que dá flexibilidade para regras específicas do domínio. Integra-se nativamente a repositórios hospedados na plataforma.

## 10. PMD

Linter para Java, Apex e outras linguagens da JVM. Detecta código morto, variáveis não usadas e construções problemáticas. Leve, gratuito e útil como primeira camada de verificação.

## 11. Flawfinder

Ferramenta simples para C e C++. Faz varredura por padrões conhecidos de risco, como uso de strcpy sem verificação de tamanho. Não é abrangente, mas serve como triagem rápida em bases legadas.

## Qual escolher

Se o time é pequeno e usa uma linguagem só, comece por linter gratuito (ESLint, Pylint, PMD) mais uma ferramenta de segurança leve (Bandit, Semgrep). Para múltiplas linguagens e necessidade de painel único, SonarQube resolve. Em ambientes regulados, com exigência de auditoria, as suítes SAST corporativas (Checkmarx, Coverity) entram na conversa. A regra prática: nenhuma ferramenta substitui revisão humana, e o valor real aparece quando os alertas são triados e corrigidos, não apenas listados.

## FAQ

### O que é análise estática de código?

É a inspeção do código-fonte sem executá-lo, buscando vulnerabilidades, bugs e más práticas. Também é chamada de SAST (Static Application Security Testing) quando o foco é segurança. Roda antes da execução, o que permite corrigir problemas mais cedo e com custo menor.

### Qual a diferença entre análise estática e dinâmica?

A estática examina o código parado; a dinâmica observa o software em execução. As duas se complementam: a estática pega falhas em trechos não exercitados, e a dinâmica captura problemas que só aparecem em tempo real, como condições de corrida.

### Ferramentas de análise estática são gratuitas?

Algumas sim, como ESLint, Pylint, Bandit, PMD e Flawfinder. Outras têm versões comunitárias e planos pagos (SonarQube, Snyk). Suítes corporativas como Checkmarx e Coverity costumam ser licenciadas por número de desenvolvedores ou linhas de código.

### Qual ferramenta escolher para iniciantes?

Comece por um linter da sua linguagem principal: ESLint para JavaScript, Pylint para Python, PMD para Java. Depois adicione uma ferramenta de segurança leve, como Bandit ou Semgrep. A curva de aprendizado é baixa e o retorno aparece rápido.

### Análise estática substitui testes automatizados?

Não. Ela encontra padrões problemáticos, mas não valida comportamento. Testes automatizados verificam se o software faz o que deveria; a análise estática aponta riscos no código. As duas práticas convivem em pipelines maduros.

### Com que frequência devo rodar a análise?

O ideal é a cada commit ou push, via integração contínua, para que os alertas cheguem antes do merge. Scans completos, mais demorados, podem rodar em horários programados. O importante é que os achados sejam triados com regularidade, não apenas gerados.

---

Fonte (canonical): https://tntweb.com.br/apps-e-software/analise-codigo-11-ferramentas-estaticas-recomendadas/