Análise código: 11 ferramentas estáticas recomendadas

Análise estática de código é a inspeção do código-fonte sem executá-lo, com o objetivo de encontrar vulnerabilidades, bugs e más práticas antes que cheguem à produção. As 11 ferramentas abaixo cobrem desde linters gratuitos até plataformas SAST corporativas, ordenadas por relevância prática para equipes brasileiras.

1. SonarQube

Plataforma de código aberto que combina análise estática com métricas de qualidade (duplicação, complexidade, cobertura). Roda em servidor próprio ou na nuvem. O critério que a coloca no topo: cobre mais de 25 linguagens no mesmo painel, o que resolve o problema de times poliglotas que não querem manter cinco ferramentas separadas.

2. Snyk

Focada em segurança de dependências e código próprio. Integra-se a repositórios Git e pipelines CI/CD, apontando vulnerabilidades conhecidas em bibliotecas de terceiros. Para projetos Node, Python ou Java, o alerta sobre pacotes desatualizados costuma ser o achado mais acionável no primeiro scan.

3. Checkmarx

Suíte SAST corporativa com forte presença em setores regulados. A análise cobre fluxo de dados entre entrada e saída, o que reduz falsos positivos em aplicações grandes. O custo de licenciamento é proporcional ao tamanho do time, então faz sentido para organizações com exigência de compliance.

4. ESLint

Linter específico para JavaScript e TypeScript. Configurável por regras, permite padronizar estilo e capturar erros comuns antes do commit. É gratuito e praticamente onipresente em projetos front-end modernos. A ressalva: não substitui uma ferramenta SAST, pois não rastreia fluxo de dados entre arquivos.

5. Pylint

Equivalente ao ESLint no ecossistema Python. Verifica convenções, erros lógicos e complexidade. A pontuação que gera (de 0 a 10) é usada por muitas equipes como termômetro rápido de saúde do código, ainda que a nota não deva ser tratada como meta absoluta.

6. Bandit

Ferramenta de segurança voltada a Python, mantida pela comunidade. Detecta uso de funções perigosas, senhas em código e padrões de criptografia fraca. Leve e fácil de plugar em pre-commit hooks.

7. Semgrep

Analisador que usa padrões sintáticos para encontrar bugs e falhas. A curva de aprendizado é baixa e a velocidade de scan é alta, o que a torna útil em pipelines que precisam rodar a cada push sem travar o desenvolvedor.

8. Coverity

Solução SAST tradicional, com foco em C, C++ e Java. Bastante usada em sistemas embarcados e software crítico, onde um bug em produção tem custo alto. A análise é profunda, mas o tempo de scan é maior.

9. CodeQL

Mecanismo de análise do GitHub. Permite escrever consultas próprias em uma linguagem dedicada, o que dá flexibilidade para regras específicas do domínio. Integra-se nativamente a repositórios hospedados na plataforma.

10. PMD

Linter para Java, Apex e outras linguagens da JVM. Detecta código morto, variáveis não usadas e construções problemáticas. Leve, gratuito e útil como primeira camada de verificação.

11. Flawfinder

Ferramenta simples para C e C++. Faz varredura por padrões conhecidos de risco, como uso de strcpy sem verificação de tamanho. Não é abrangente, mas serve como triagem rápida em bases legadas.

Qual escolher

Se o time é pequeno e usa uma linguagem só, comece por linter gratuito (ESLint, Pylint, PMD) mais uma ferramenta de segurança leve (Bandit, Semgrep). Para múltiplas linguagens e necessidade de painel único, SonarQube resolve. Em ambientes regulados, com exigência de auditoria, as suítes SAST corporativas (Checkmarx, Coverity) entram na conversa. A regra prática: nenhuma ferramenta substitui revisão humana, e o valor real aparece quando os alertas são triados e corrigidos, não apenas listados.

FAQ

O que é análise estática de código?

É a inspeção do código-fonte sem executá-lo, buscando vulnerabilidades, bugs e más práticas. Também é chamada de SAST (Static Application Security Testing) quando o foco é segurança. Roda antes da execução, o que permite corrigir problemas mais cedo e com custo menor.

Qual a diferença entre análise estática e dinâmica?

A estática examina o código parado; a dinâmica observa o software em execução. As duas se complementam: a estática pega falhas em trechos não exercitados, e a dinâmica captura problemas que só aparecem em tempo real, como condições de corrida.

Ferramentas de análise estática são gratuitas?

Algumas sim, como ESLint, Pylint, Bandit, PMD e Flawfinder. Outras têm versões comunitárias e planos pagos (SonarQube, Snyk). Suítes corporativas como Checkmarx e Coverity costumam ser licenciadas por número de desenvolvedores ou linhas de código.

Qual ferramenta escolher para iniciantes?

Comece por um linter da sua linguagem principal: ESLint para JavaScript, Pylint para Python, PMD para Java. Depois adicione uma ferramenta de segurança leve, como Bandit ou Semgrep. A curva de aprendizado é baixa e o retorno aparece rápido.

Análise estática substitui testes automatizados?

Não. Ela encontra padrões problemáticos, mas não valida comportamento. Testes automatizados verificam se o software faz o que deveria; a análise estática aponta riscos no código. As duas práticas convivem em pipelines maduros.

Com que frequência devo rodar a análise?

O ideal é a cada commit ou push, via integração contínua, para que os alertas cheguem antes do merge. Scans completos, mais demorados, podem rodar em horários programados. O importante é que os achados sejam triados com regularidade, não apenas gerados.