SonarQube : prix, limites et alternatives pour l'analyse
de code

"On a SonarQube, donc on fait du SAST." Beaucoup d'équipes le disent en toute bonne foi, et c'est faux la plupart du temps. La Community Edition gratuite, celle que presque tout le monde branche en premier, excelle sur la qualité de code et laisse passer l'essentiel des injections. La détection de sécurité par flux de données, celle qui remonte vraiment une injection SQL, vit dans les éditions payantes. De là vient la question qui finit toujours par tomber en réunion : le SonarQube prix, et juste derrière, celle d'une alternative SonarQube mieux calibrée pour la sécurité.

On va faire le tri sans parti pris : ce que l'outil fait vraiment bien, ce que la version gratuite ne couvre pas, et comment la facture se construit. Pas de dénigrement, et pas de prix inventés non plus : les montants cités viennent des pages tarifs des éditeurs, relevées et archivées le 7 octobre 2026. Et on parle aussi de modèles de tarification, parce que ce sont eux qui font varier la facture.

SonarQube, c'est quoi au juste

SonarQube (édité par SonarSource) est une plateforme d'analyse statique de code. Elle lit vos sources sans exécuter l'application et remonte trois grandes familles de constats : des bugs (code qui va casser), des code smells (dette technique, code difficile à maintenir) et des vulnérabilités et hotspots de sécurité. Elle mesure aussi la couverture de tests, la duplication, et applique une logique de Clean as You Code qui concentre l'attention sur le code récemment modifié plutôt que sur l'océan de dette héritée.

Un point de vocabulaire utile : SonarQube appartient à la famille du SAST (Static Application Security Testing), au même titre que d'autres outils qu'on compare plus bas. Si la distinction entre analyse statique, dynamique et interactive n'est pas claire, le pilier SAST, DAST, IAST et ce que l'IA change pose les fondations avant de revenir ici. Sa particularité historique, c'est d'avoir construit sa réputation d'abord sur la qualité du code, la sécurité étant venue se greffer ensuite.

Les éditions et le SonarQube pricing

SonarQube est une gamme, et la ligne de partage entre gratuit et payant tombe pile là où beaucoup d'équipes ont le plus besoin de l'outil. On distingue le SonarQube auto-hébergé (SonarQube Server) et l'offre en ligne (SonarQube Cloud, l' ancien SonarCloud). Côté serveur, quatre éditions :

• Community Edition (gratuite, open source). Elle couvre les bugs, les code smells, une vingtaine de langages et l'essentiel de l'analyse de qualité. C'est celle que 90 % des gens ont testée. Elle n'a ni l'analyse de sécurité par flux ni l'analyse de branches.
• Developer Edition (payante). Elle débloque l'analyse de branches et la décoration des pull requests, davantage de langages, et surtout l'analyse de sécurité par flux (le suivi de données non fiables de la source jusqu'au point sensible, ce qui permet de détecter injections SQL, XSS et consorts). C'est le premier palier orienté AppSec.
• Enterprise Edition (payante). Pensée pour le passage à l'échelle : agrégation de portefeuilles de projets, rapports exécutifs, gouvernance, parallélisation, langages supplémentaires.
• Data Center Edition (payante). La déclinaison haute disponibilité pour les très grandes organisations, avec résilience et montée en charge horizontale.

Le modèle de tarification des éditions payantes repose principalement sur le nombre de lignes de code analysées, pas sur le nombre de développeurs. Mais les deux offres ne publient pas la même chose, et c'est là que les guides d'achat se trompent souvent. On a relevé la page tarifs de SonarQube Cloud et celle de SonarQube Server le 7 octobre 2026, HTML archivé, sans compte ni formulaire.

SonarQube Cloud affiche un prix, et il est mensuel. Le plan Team, pour moins de 50 développeurs, "starts at $34 monthly" pour l'analyse de 100 000 lignes de code privées au plus, payé chaque mois par carte, sans appel commercial. L'offre gratuite ne se limite pas aux projets publics : elle couvre aussi les projets privés jusqu'à 50 000 lignes, sans carte et sans date d'expiration. Détail révélateur : la FAQ de la même page annonce un plan Team "à partir de 32 $ par mois (précédemment 65 $)". Deux prix pour la même offre, sur la même page : on retient les 34 $ de la carte, et on vous conseille de vérifier au moment d'acheter. L'Enterprise, au-delà de 50 développeurs, est sur devis.

SonarQube Server n'affiche aucun montant. La page dit "priced per instance, per year, based on your lines of code", recommande la Developer Edition à partir de 100 000 lignes et l'Enterprise à partir d'un million, puis renvoie vers l'éditeur. L'abonnement annuel vaut pour le Server, pas pour le Cloud.

Pour situer ce ticket d'entrée, voici les montants d'entrée affichés le même jour par six autres éditeurs AppSec, own2pwn compris. Ils ne se comparent pas terme à terme : SonarQube facture un volume de code, Semgrep et GitHub une personne, Aikido et notre SecAI un forfait, Snyk ne dit pas. C'est précisément ce que le graphique montre.

Le bon réflexe reste d'aller lire la page au moment d'acheter, et de raisonner sur la croissance attendue de votre base plutôt que sur sa taille du jour.

Ce que SonarQube fait très bien

La popularité de l'outil tient à trois forces solides :

• Une couverture de langages large. Du Java au Python en passant par C#, JavaScript, TypeScript, Go, PHP et bien d'autres, avec des règles maintenues. Rares sont les stacks où Sonar n'a rien à dire.
• Une intégration CI/CD mûre. Scanner en ligne de commande, plugins GitHub, GitLab, Azure DevOps, Jenkins, Bitbucket, et le mécanisme de Quality Gate qui bloque une pull request qui régresse. C'est le genre de câblage qu'on détaille dans intégrer SAST et DAST dans sa CI/CD, et Sonar y est un citoyen de première classe.
• La gestion de la dette technique. C'est son terrain d'origine et ça se sent. Chiffrer la dette, la rendre visible, forcer l'équipe à ne pas empirer le code neuf : sur le volet qualité, peu d'outils font aussi bien pour aussi peu d'efforts.

Les limites de SonarQube

Deux limites méritent d'être nommées.

La première est structurelle : la Community Edition est bridée sur la sécurité. Sans l'analyse par flux de données réservée aux éditions payantes, une bonne partie des vulnérabilités d'injection passe sous le radar. Beaucoup d'équipes croient "faire du SAST" avec la version gratuite alors qu'elles font surtout de la qualité de code. Ce n'est pas un mensonge de l'éditeur, c'est un malentendu très répandu : le mot SonarQube évoque la sécurité, la version qu'on a installée ne la couvre pas pleinement.

La seconde est commune à tout le SAST classique : le bruit. L'analyse statique raisonne sur des motifs et des flux hors contexte d'exécution, donc elle signale des chemins qui, en pratique, ne sont pas atteignables ou sont déjà neutralisés par une couche qu'elle ne modélise pas. Sur la partie sécurité, il faut trier, statuer sur des hotspots, écarter des faux positifs. Sonar a beaucoup progressé sur la précision, mais le problème de fond, la hiérarchisation par exploitabilité réelle, reste le talon d'Achille du SAST à motifs en général. Beaucoup de ces alertes touchent d'ailleurs des catégories de l'OWASP Top 10 (injection, contrôle d'accès), où il faut distinguer l'exploitable du théorique.

SonarQube Community sur 2 740 cas : rien dans six catégories sur onze

Le malentendu sur la Community Edition se mesure. Le 7 octobre 2026, j'ai passé SonarQube Community Build 26.9, profil Sonar way, sur l'OWASP Benchmark for Java v1.2, un corpus public de 2 740 servlets de test dont 1 415 réellement vulnérables, avec la vérité terrain officielle. Six autres configurations tournaient dans le même banc, avec la même règle de comptage.

Le graphique se lit en deux blocs. Sur ce qui tient dans un appel de fonction (aléa faible, cookie sans attribut Secure, chiffrement faible), la Community fait son travail. Sur tout ce qui exige de suivre une donnée, elle ne trouve rien : aucun cas d'injection de commande, de XSS, de traversée de chemin, d'injection LDAP ou XPath, ni de violation de frontière de confiance. L'injection SQL est le cas le plus instructif. La Community signale toutes les requêtes construites dynamiquement, les 272 vulnérables et les 232 sûres : 100 % de vrais positifs, 100 % de faux positifs, un indice de Youden de zéro. Elle ne distingue pas une requête dangereuse d'une requête sûre, elle dit seulement qu'elle est construite à partir de variables.

En score moyen (taux de vrais positifs moins taux de faux positifs, moyenne des onze catégories), SonarQube Community obtient 31,4. CodeQL avec la suite security-extended fait 62,0, Semgrep CE 45,0 avec le pack p/security-audit, SpotBugs et FindSecBugs 43,8. Deux précisions d'équité. Le chiffre de SonarQube dépend de la CWE retenue pour sa règle de hachage faible : avec la correspondance de l'outil officiel du Benchmark (CWE-328), il fait 31,4, avec la CWE que SonarQube déclare lui-même (CWE-1240), il tomberait à 25,2. Et le banc comptait aussi la pré-passe sans IA de SecAI, notre produit, à 29,2, mesurée sans son vérificateur LLM et réglée sur ce même corpus : selon la règle CWE, elle passe devant ou derrière SonarQube, donc je ne classe pas ces deux-là l'un par rapport à l'autre.

Limites du banc : un corpus synthétique en Java, public depuis 2015 et connu de tous les outils, une exécution par configuration, et seulement les éditions gratuites. La Developer Edition, qui apporte l'analyse de flux, n'a pas été mesurée : ces chiffres ne disent rien d'elle. La méthode complète est dans l'article sur la revue de code sécurité.

Les alternatives à SonarQube, sans dénigrement

Si le déclencheur, c'est la sécurité (et non la qualité), plusieurs outils méritent le comparatif. Aucun n'est "meilleur" dans l'absolu, chacun a une logique et un modèle économique propres. Une alternative SonarQube se choisit sur votre besoin dominant.

Semgrep

Semgrep a séduit les équipes qui veulent écrire leurs propres règles. La syntaxe de règle ressemble au code qu'elle inspecte, le registre de règles est ouvert, et le moteur open source tourne en local sans friction. Côté modèle, un cœur open source gratuit cohabite avec une offre commerciale (analyse gérée, supply chain, secrets) tarifée par contributeur. Là où Sonar mise sur le clé en main, Semgrep mise sur le contrôle et la transparence des règles.

Snyk Code

Snyk Code est le volet SAST d'une plateforme developer-first qui couvre aussi les dépendances, les conteneurs et l'IaC. L'angle est l'intégration dans l'IDE et le retour rapide au développeur. Au 7 octobre 2026, la page affiche un palier gratuit, un plan Team "starting at $25 / month" pour 10 développeurs au plus, sans préciser si le montant est par développeur, et un Enterprise vendu en crédits ; on a détaillé à part les paliers de prix de Snyk. Pertinent si vous voulez une suite unifiée code + dépendances plutôt qu'un outil dédié.

Checkmarx

Checkmarx joue dans la cour du SAST entreprise, avec une profondeur d'analyse reconnue et un ancrage dans les grands programmes AppSec réglementés. Le tarif est sur devis, avec un positionnement haut de gamme, et la facture ne s'arrête pas à la licence : ce que coûte réellement Checkmarx, tuning compris mérite d'être chiffré avant de signer. C'est l'option des organisations qui ont une équipe sécurité dédiée et des exigences de conformité lourdes, moins celle d'une petite équipe qui veut démarrer vite.

CodeQL et GitHub Advanced Security

CodeQL traite le code comme une base de données qu'on interroge : on écrit des requêtes qui remontent des schémas de vulnérabilité, avec une vraie analyse sémantique. C'est puissant et gratuit sur les dépôts publics ; sur le privé, il s'active via GitHub Advanced Security, facturé par committer actif : 30 $ par mois pour Code Security au 7 octobre 2026, en plus de l'abonnement GitHub Team (4 $ par utilisateur). Le choix naturel si votre monde est déjà entièrement sur GitHub.

L'approche AI-native, l'arrivée récente

La vague la plus récente change la question posée au code. Au lieu de "ce motif ressemble-t-il à une faille connue ?", les approches AI-native demandent "ce chemin est-il réellement atteignable et exploitable, compte tenu du reste du code ?". L'objectif est de trouver juste, en écrasant le bruit qui fait abandonner les autres outils. Attention au vernis : coller un LLM qui rédige un correctif sur un scanner à motifs ne réduit pas vos faux positifs. Le détail de cette bascule, et comment faire la part du vrai raisonnement et du label washing, est traité dans le pilier SAST, DAST, IAST et l'IA.

Une lecture de ce tableau : la colonne qui décide n'est presque jamais le prix affiché, c'est la colonne focus sécurité croisée avec votre maturité. Un outil profond mais bruyant qu'on finit par ignorer ne vaut pas un outil plus modeste dont on traite réellement les alertes.

Où se situe le SAST IA d'own2pwn

own2pwn développe un SAST augmenté par l'IA, disponible en self-service, dont le pari tient en une ligne : ne remonter que ce qu'un attaquant peut atteindre depuis une entrée réelle, en traçant l'atteignabilité et en raisonnant sur plusieurs fichiers au lieu d'empiler des alertes à égalité. Je ne vais pas pour autant vous vendre un taux de réduction des faux positifs chiffré : tant qu'un chiffre n'est pas mesuré sur votre code, il ne vaut rien, et ce serait le genre de promesse creuse que cet article critique. La bonne façon de juger reste l'essai sur votre dépôt le plus laid.

Si votre besoin dominant est la qualité de code et la dette, SonarQube fait le travail, et sa Community Edition est un très bon point de départ. Si c'est la sécurité qui vous amène ici, regardez au minimum une édition Sonar payante ou l'une des alternatives ci-dessus, et jugez chacune sur le seul critère qui compte : le nombre de failles réelles corrigées, pas le nombre d'alertes générées.

Reste la catégorie qu'aucun moteur à règles ne formule vraiment : la logique métier détournée, le contrôle d'accès incohérent d'un endpoint à l'autre, la race condition. Aucun outil de cette liste ne la sort de façon fiable, parce qu'il faudrait comprendre l'intention du code. C'est le terrain d'un pentest whitebox : l'analyse statique sert de filet pour le volume, un humain lit le reste et tranche.

À retenir

• SonarQube est d'abord un outil d'analyse statique de qualité de code, avec une brique sécurité greffée ensuite. Sa Community Edition est gratuite, ses éditions Developer, Enterprise et Data Center sont payantes.
• Le SonarQube prix suit le nombre de lignes de code : au 7 octobre 2026, Cloud est gratuit jusqu'à 50 000 lignes privées et démarre à 34 $ par mois pour 100 000 lignes, payé au mois ; Server n'affiche aucun montant. Raisonnez sur la trajectoire de votre base.
• Limite majeure : la détection de sécurité par flux (les injections) vit dans les éditions payantes, pas en Community. Mesuré sur l'OWASP Benchmark, la Community ne trouve aucun cas dans six catégories sur onze, et son score (31,4 de Youden) est environ la moitié de celui de CodeQL (62,0).
• Les alternatives se choisissent sur le besoin : Semgrep pour les règles ouvertes, Snyk Code pour la suite developer-first, Checkmarx pour l'entreprise, CodeQL / GHAS pour l'écosystème GitHub, et l' AI-native pour attaquer le bruit.
• Le critère qui départage les outils, avant la couverture et le prix affiché, est la proportion de failles exploitables réellement corrigées.

Envie de voir à quoi ressemble une analyse statique qui trie l'exploitable du théorique au lieu de vous noyer ? Jetez un œil au SAST IA d'own2pwn, disponible en self-service et sans promesse chiffrée en l'air, ou parlez de votre contexte avec un humain via la page contact. Et pour situer le SAST dans l'ensemble de l'outillage, le pilier SAST, DAST, IAST et l'IA reste la meilleure porte d'entrée.

Questions fréquentes sur le prix de SonarQube