SAST con SonarQube

Analizar código y dependencias para detectar vulnerabilidades, bugs y deuda técnica antes de integrar cambios.

Qué cubre

SAST inspecciona el código sin ejecutarlo: calidad, vulnerabilidades conocidas, duplicación, complejidad y hotspots de seguridad.

SonarQube puede publicar un Quality Gate que convierta la política en una señal objetiva para el PR.

Ejecutarlo en cada PR con análisis incremental y de forma completa en la rama principal.

Los umbrales deben priorizar problemas nuevos para no bloquear el equipo por deuda histórica de golpe.

SAST produce falsos positivos y no observa comportamiento en ejecución; requiere triage y complementariedad con DAST.

Un Quality Gate es útil solo si el equipo acuerda excepciones, responsables y fechas de remediación.