Análise código estática: 13 ferramentas para testar

Análise código estática é a inspeção do código-fonte sem executá-lo, para encontrar bugs, vulnerabilidades e más práticas antes da execução. Na prática, é o que evita que um erro simples de digitação chegue à produção. Já usei desde linters gratuitos até plataformas SAST caras, e a diferença entre elas não está no preço, mas no que cada uma resolve no seu dia a dia. Abaixo, 13 ferramentas que testei ou acompanhei de perto, com o que funcionou e o que me fez desistir.

1. SonarQube

O SonarQube é a ferramenta que mais vejo em times médios e grandes. Ele analisa várias linguagens e aponta desde code smells até vulnerabilidades, com um painel que qualquer gestor entende. A versão Community é gratuita e roda local, o que ajuda quem não pode enviar código para a nuvem. Em um projeto Java de 80 mil linhas, ele flagrou um vazamento de recurso que passou por três revisões manuais. O ponto fraco é o consumo de memória: em máquinas modestas, a análise demora mais do que o aceitável. Para quem quer um padrão único no time, vale a pena.

2. ESLint

Se você trabalha com JavaScript ou TypeScript, o ESLint é quase obrigatório. Ele é configurável ao extremo, com regras que você liga ou desliga conforme o estilo do projeto. A comunidade mantém plugins para praticamente todo framework. Em um app React, ajustei as regras para pegar imports não usados e promessas sem tratamento, e o número de erros em produção caiu de forma perceptível. O defeito é a própria flexibilidade: sem um guia, cada dev configura de um jeito e o time perde tempo discutindo estilo. Para projetos pequenos, é a porta de entrada mais barata.

3. Pylint

Para Python, o Pylint é o veterano. Ele checa erros de sintaxe, convenções e até complexidade de funções. A saída é detalhada, com notas que ajudam a priorizar. Usei em um script de automação de 2 mil linhas e ele apontou uma variável global que causava efeito colateral. O problema é o excesso de avisos: sem um arquivo de configuração, ele reclama de tudo, inclusive de linhas longas. Ajuste as regras antes de rodar no CI, ou ninguém vai olhar o relatório.

4. Checkstyle

Checkstyle é focado em convenções de código Java. Ele não encontra bugs complexos, mas garante que o time siga o mesmo padrão de nomes, imports e tamanho de métodos. Em um projeto com 12 desenvolvedores, foi o que acabou com as discussões de formatação em pull requests. A limitação é clara: não substitui um analisador de segurança. Use como complemento, não como única ferramenta.

5. PMD

O PMD faz análise estática para Java e outras linguagens, com foco em código morto, variáveis não usadas e construções problemáticas. Ele é mais rápido que o SonarQube em projetos grandes, o que ajuda no feedback rápido. Em um módulo legado, encontrou um bloco catch vazio que escondia falhas de rede. A ressalva é a documentação, que às vezes fica atrás das versões novas. Vale testar antes de adotar em larga escala.

6. Bandit

Bandit é específico para segurança em Python. Ele varre o código em busca de padrões perigosos, como uso de eval, senhas hardcoded e chamadas inseguras. Em um serviço que lidava com dados de usuários, ele sinalizou uma função de hash desatualizada que passou despercebida. A ferramenta é leve e fácil de integrar ao CI. O ponto fraco é o escopo: só Python, e não cobre falhas de lógica. Para quem precisa de segurança básica, é um começo honesto.

7. Brakeman

Brakeman é a opção para Ruby on Rails. Ele analisa o código e aponta vulnerabilidades comuns do framework, como SQL injection e mass assignment. A instalação é simples e o relatório é direto. Em uma aplicação Rails que auditei, ele pegou uma rota sem autenticação que expunha dados. A limitação é que só serve para Rails. Se seu stack é outro, não perca tempo.

8. Coverity

Coverity é uma plataforma comercial de análise estática usada em projetos críticos, como sistemas embarcados e softwares de saúde. Ela encontra defeitos profundos, como condições de corrida e vazamentos de memória, que ferramentas gratuitas não pegam. O custo é alto e a configuração exige especialista. Para uma equipe com orçamento e necessidade de certificação, faz sentido. Para o dev solo, é exagero.

9. Fortify

Fortify, da Micro Focus, é outra opção corporativa com foco em segurança. Ele cobre várias linguagens e integra com pipelines de CI/CD. Em um cliente do setor financeiro, vi a ferramenta bloquear um deploy por causa de uma falha de criptografia. O preço e a complexidade são proporcionais ao que entrega. Se você não tem um time de segurança dedicado, provavelmente vai subutilizar.

10. Snyk Code

Snyk Code é uma ferramenta SAST que se integra bem a editores e repositórios. Ela analisa o código em tempo real e sugere correções. Usei a versão gratuita em um projeto pessoal e ela apontou uma dependência vulnerável e um padrão de injeção em Node.js. O plano pago libera mais análises, mas o gratuito já resolve para projetos pequenos. A ressalva é o limite de testes por mês, que pode apertar em times maiores.

11. CodeQL

CodeQL, do GitHub, transforma o código em uma base de dados consultável. Você escreve consultas para encontrar padrões específicos. É poderoso para quem tem tempo de aprender a linguagem de consulta. Em uma auditoria, usei para rastrear fluxos de dados inseguros em um projeto Java. A curva de aprendizado é íngreme, e a ferramenta é gratuita apenas para repositórios públicos. Para projetos privados, o custo entra na conta.

12. Semgrep

Semgrep é rápido e fácil de configurar. Ele usa regras simples, parecidas com grep, mas com noção de sintaxe. Em um monorepo com várias linguagens, rodei a ferramenta em segundos e encontrei um uso de função depreciada. A versão gratuita cobre o essencial; a paga adiciona regras de segurança mais avançadas. O ponto fraco é a profundidade: não substitui uma análise mais pesada. Para feedback rápido no editor, é excelente.

13. DeepSource

DeepSource é uma plataforma que combina análise estática com métricas de qualidade. Ela se integra ao GitHub e GitLab e aponta problemas com sugestões de correção. Em um projeto Python, ela identificou uma função com complexidade alta e sugeriu dividi-la. O plano gratuito é generoso para repositórios abertos. A desvantagem é a dependência da nuvem: se você não pode enviar código para fora, não serve.

Qual escolher na prática

Se você está começando, comece pelo ESLint, Pylint ou Bandit, conforme a linguagem. São gratuitos, leves e resolvem a maior parte dos problemas do dia a dia. Para times médios que querem um painel unificado, o SonarQube Community é o caminho mais equilibrado. Já para segurança em ambientes críticos, Coverity e Fortify justificam o investimento, mas só se houver um time para operá-los. Minha regra é simples: pergunte se a ferramenta resolve sua vida antes de comprar. Ferramenta cara sem processo é só despesa.

FAQ

O que é análise estática de código?

É a inspeção do código-fonte sem executá-lo. O objetivo é encontrar bugs, vulnerabilidades e más práticas antes que o software rode. Ferramentas como ESLint, SonarQube e Bandit fazem esse trabalho em diferentes linguagens e níveis de profundidade.

Qual a diferença entre análise estática e dinâmica?

A estática olha o código parado; a dinâmica testa o software em execução. As duas se complementam. A estática pega erros de lógica e padrões inseguros cedo; a dinâmica encontra falhas que só aparecem rodando, como problemas de integração.

Análise estática substitui testes unitários?

Não. Ela não verifica se a regra de negócio funciona, apenas se o código segue padrões e evita armadilhas conhecidas. Testes unitários continuam necessários para garantir que a funcionalidade está correta. Use as duas abordagens juntas.

Ferramentas gratuitas de análise estática são confiáveis?

Sim, para a maioria dos casos. ESLint, Pylint e Bandit são usados em produção por muitas equipes. Elas não cobrem tudo, mas resolvem o essencial. O limite aparece em projetos que exigem certificações ou análises muito profundas.

Como integrar análise estática ao fluxo de trabalho?

O ideal é rodar no editor, para feedback imediato, e no pipeline de CI, para bloquear merges com problemas graves. Comece com poucas regras e aumente aos poucos. Assim o time não se sobrecarrega de avisos e a ferramenta vira aliada, não obstáculo.

Análise estática atrasa o desenvolvimento?

Pode atrasar se mal configurada. Com regras adequadas e execução em paralelo, o impacto é pequeno. O ganho vem depois: menos bugs em produção e menos tempo corrigindo falhas que poderiam ser evitadas na revisão.