SonarQube vs ReposLens : quel outil de qualité de code pour votre workflow ?

Si vous évaluez des outils de qualité de code pour votre équipe, vous avez certainement rencontré SonarQube. C'est le standard de l'industrie — éprouvé au combat, largement déployé, et profondément intégré dans les workflows d'entreprise. Mais le paysage de l'analyse de code s'est élargi. Des outils comme ReposLens abordent la qualité du code sous un angle fondamentalement différent.

Cet article n'est pas un « SonarQube mauvais, ReposLens bon ». Les deux outils résolvent de vrais problèmes. Ils résolvent simplement des problèmes différents. Comprendre où chacun excelle vous aidera à faire le bon choix — ou à décider d'utiliser les deux.

Ce que SonarQube fait bien

SonarQube est le pilier de l'analyse statique de code depuis 2007. Il a mérité sa réputation, et pour de bonnes raisons.

Analyse statique au niveau fichier

SonarQube scanne chaque fichier de votre codebase et applique des centaines de règles pour détecter :

• Code smells : Méthodes trop longues, imbrications profondes, paramètres excessifs, blocs dupliqués
• Bugs : Déréférencements null, ressources non fermées, code inatteignable
• Vulnérabilités : Patterns d'injection SQL, identifiants codés en dur, algorithmes cryptographiques non sécurisés
• Lacunes de couverture : Lignes et branches non exercées par les tests

Il fait cela sur plus de 30 langages de programmation, de Java et C# à Python, JavaScript et Go. La base de règles est étendue, bien documentée et maintenue par la communauté.

Quality Gates

L'une des fonctionnalités les plus puissantes de SonarQube est le quality gate — un ensemble de conditions que le code doit remplir avant d'être mergé ou déployé. Vous pouvez définir des règles comme :

• Zéro nouveau bug
• La couverture sur le nouveau code doit dépasser 80 %
• Aucune nouvelle vulnérabilité de sévérité « Critique » ou supérieure
• Les lignes dupliquées sur le nouveau code doivent rester sous 3 %

Cela transforme la qualité du code d'une discussion subjective en une vérification binaire réussite/échec. Les équipes apprécient car ça supprime l'ambiguïté des revues de code.

Maturité entreprise

SonarQube est en production dans des milliers d'entreprises depuis plus d'une décennie. Il supporte les déploiements auto-hébergés (crucial pour les industries réglementées), s'intègre avec pratiquement tous les systèmes de CI, et propose des rapports de conformité détaillés. Si vous devez prouver à un auditeur que votre code respecte certains standards, SonarQube a des rapports pour ça.

Là où SonarQube s'arrête

SonarQube analyse des fichiers. Il examine chaque fichier (et parfois des paires de fichiers) pour détecter des patterns qui indiquent des problèmes. Ce qu'il ne fait pas, c'est analyser les relations entre les fichiers et les modules à un niveau architectural.

Considérez ce scénario : vous avez 200 fichiers TypeScript, chacun avec zéro problème SonarQube. Code propre, bonne couverture, aucune vulnérabilité. Mais ces 200 fichiers forment un graphe de dépendances avec 15 dépendances circulaires, un « god module » que 80 % de la codebase importe, et trois couches architecturales qui sont complètement contournées.

SonarQube ne signalera rien de tout cela. Il n'est pas conçu pour. Le modèle d'analyse est centré sur le fichier, pas sur le graphe.

Ce que ReposLens fait différemment

ReposLens aborde la qualité du code du point de vue de l'architecture. Au lieu de scanner les fichiers individuels pour trouver des code smells, il analyse la structure de votre codebase entière — comment les modules sont reliés entre eux, où les dépendances circulent, et comment l'architecture évolue dans le temps.

Analyse du graphe de dépendances

Le cœur de ReposLens est un moteur de graphe de dépendances. Il parse votre codebase et construit une carte complète de chaque relation d'import entre les modules. À partir de ce graphe, il calcule :

• Dépendances circulaires : Cycles directs et indirects, avec la chaîne complète visualisée
• Couplage des modules : À quel point chaque module est connecté au reste de la codebase
• Profondeur des dépendances : Jusqu'où la chaîne d'imports descend avant d'atteindre un module feuille
• Indice d'instabilité : Un ratio de dépendances sortantes sur le total, indiquant la sensibilité d'un module au changement

Ce sont des informations qu'aucun outil d'analyse au niveau fichier ne peut fournir, car elles n'émergent que quand on regarde la codebase comme un système connecté.

Visualisation interactive

ReposLens génère des cartes interactives de l'architecture de votre codebase. Vous pouvez explorer le graphe de dépendances visuellement — zoomer sur les clusters, tracer les chaînes d'import, et identifier les goulots d'étranglement structurels. Pour les équipes qui ont hérité d'une grosse codebase ou qui intègrent de nouveaux ingénieurs, cette carte visuelle vaut plus que n'importe quel rapport statique.

Vérifications architecturales sur les PR

Chaque pull request reçoit une analyse architecturale automatique. ReposLens vérifie si la PR :

• Introduit de nouvelles dépendances circulaires
• Augmente le couplage entre des modules qui devraient être indépendants
• Viole les frontières architecturales existantes
• Modifie le score de santé global de la codebase

Cela s'exécute dans votre workflow GitHub et poste les résultats directement sur la PR. La boucle de feedback est immédiate : un développeur voit « cette PR crée une nouvelle dépendance circulaire entre auth et billing » avant que le code ne soit mergé.

Natif GitHub, mise en place en 60 secondes

ReposLens se connecte directement à vos dépôts GitHub. Pas d'infrastructure auto-hébergée à gérer, pas de pipeline de build à configurer, pas d'analyseurs spécifiques au langage à installer. Vous autorisez l'application GitHub, sélectionnez vos dépôts, et obtenez votre première analyse en moins d'une minute.

Score de santé de la codebase

ReposLens calcule un score de santé unique pour votre codebase — un nombre de 0 à 100 qui capture la qualité architecturale globale. Le score prend en compte les dépendances circulaires, les ratios de couplage, l'isolation des modules et la profondeur des dépendances. C'est une métrique que vous pouvez suivre dans le temps et communiquer aux parties prenantes sans exiger qu'elles comprennent les détails techniques.

Tableau comparatif

| Fonctionnalité | SonarQube | ReposLens | |----------------|-----------|-----------| | Périmètre d'analyse | Niveau fichier | Niveau architecture | | Détection des code smells | Centaines de règles par langage | Pas l'objectif | | Scan de vulnérabilités | Oui (OWASP, CWE) | Non | | Détection des dépendances circulaires | Non | Oui, avec visualisation complète | | Visualisation du graphe de dépendances | Non | Oui, interactif | | Métriques de couplage | Limité (niveau fichier) | Oui (niveau module, système entier) | | Vérifications sur les PR | Oui (nouveaux problèmes, couverture) | Oui (impact architectural) | | Quality gate | Oui (configurable) | Score de santé + vérifications PR | | Langages supportés | 30+ | JavaScript, TypeScript (autres à venir) | | Temps de mise en place | Heures à jours (auto-hébergé) | ~60 secondes (natif GitHub) | | Hébergement | Auto-hébergé ou SonarCloud | Cloud (SaaS) | | Intégration CI | Tous les principaux systèmes CI | Natif GitHub | | Rapports de conformité | Oui (SOC2, ISO) | Non | | Suivi de couverture de tests | Oui | Non | | Score de santé / tableau de bord | Oui (complexe) | Oui (métrique unique) | | Tarification | Gratuit (Community) / Payant (Enterprise) | Offre gratuite / Plans payants |

Quand utiliser SonarQube

SonarQube est le bon outil quand :

• Vous avez besoin d'imposer la qualité au niveau fichier. Si votre objectif est d'éliminer les code smells, d'imposer des conventions de nommage, de réduire la complexité cyclomatique et d'assurer la couverture de tests sur chaque fichier, SonarQube est conçu pour ça.

• Le scan de sécurité est une priorité. Les règles de sécurité de SonarQube couvrent le OWASP Top 10, CWE et SANS Top 25. Si vous devez détecter des injections SQL, du XSS ou des patterns de désérialisation non sécurisés, c'est là que SonarQube excelle.

• Vous travaillez dans une industrie réglementée. Les banques, les entreprises de santé et les agences gouvernementales exigent souvent des rapports d'analyse statique dans le cadre de la conformité. SonarQube génère ces rapports et possède un historique que les auditeurs reconnaissent.

• Vous avez besoin d'un support multi-langages. Si votre codebase couvre Java, Python, C++, Go et Kotlin, la large couverture linguistique de SonarQube est un avantage significatif.

• Vous préférez une infrastructure auto-hébergée. Certaines organisations ne peuvent pas envoyer du code vers des services externes. L'option auto-hébergée de SonarQube signifie que l'analyse se fait entièrement au sein de votre réseau.

Quand utiliser ReposLens

ReposLens est le bon outil quand :

• Votre problème est architectural, pas syntaxique. Si les fichiers individuels semblent corrects mais que la codebase est difficile à modifier, le problème est probablement au niveau structurel — dépendances circulaires, couplage excessif, ou frontières de modules érodées. ReposLens est conçu pour détecter exactement ces problèmes.

• Vous voulez détecter les régressions architecturales dans les PR. Les revues de code détectent les problèmes au niveau des lignes. ReposLens détecte la PR qui semble propre fichier par fichier mais qui introduit une dépendance circulaire qui vous hantera pendant des mois.

• Vous intégrez des ingénieurs sur une grosse codebase. Une carte interactive des dépendances en dit plus sur l'architecture du système en cinq minutes que la lecture de documentation pendant une journée.

• Vous avez besoin d'une métrique simple pour les parties prenantes. Expliquer la complexité cyclomatique à un VP Engineering est difficile. Lui montrer un score de santé passé de 72 à 68 ce trimestre — et un graphe visuel qui explique pourquoi — c'est facile.

• Vous voulez une mise en place sans friction. Si vous n'avez pas d'équipe plateforme pour maintenir l'infrastructure SonarQube, l'approche native GitHub de ReposLens vous donne l'analyse architecturale sans aucune charge opérationnelle.

Quand utiliser les deux

Voici la réponse honnête : pour beaucoup d'équipes, la meilleure approche est d'utiliser les deux outils ensemble. Ils ne se chevauchent pas — ils se complètent.

SonarQube détecte les problèmes micro : une fonction trop longue, une variable qui en masque une autre, un check null manquant, une requête SQL construite par concaténation de chaînes. Ce sont de vrais problèmes qui causent de vrais bugs.

ReposLens détecte les problèmes macro : un cycle de dépendances qui rend le refactoring impossible, un module devenu un god object important de partout, une frontière architecturale silencieusement érodée au fil de cinquante PR. Ce sont de vrais problèmes qui causent de vrais ralentissements.

Une codebase peut avoir zéro problème SonarQube et être architecturalement cassée. Inversement, une codebase bien structurée peut avoir plein de code smells dans ses fichiers individuels. Les deux dimensions de la qualité comptent.

Un workflow combiné en pratique

1. SonarQube en CI : S'exécute à chaque push. Impose les quality gates sur la couverture, la duplication et la sécurité. Bloque les merges qui introduisent des problèmes critiques.

2. ReposLens sur les PR : S'exécute sur chaque pull request. Rapporte l'impact architectural — nouvelles dépendances, changements de couplage, introduction de dépendances circulaires. Donne aux reviewers un contexte structurel.

3. Revue hebdomadaire : Les tech leads vérifient le tableau de bord du score de santé ReposLens en parallèle du tracker de dette technique SonarQube. Les deux métriques alimentent la planification des sprints et les priorités de refactoring.

Cette combinaison vous donne une couverture sur les deux dimensions de la qualité du code : la correction au niveau des lignes dans laquelle SonarQube excelle, et la structure au niveau du système que ReposLens rend visible.

Et les autres alternatives ?

L'espace de la qualité du code est plus large que ces deux outils. Voici comment d'autres outils courants se positionnent :

• ESLint / Biome : Les linters détectent les problèmes de syntaxe et les violations de style. Ils sont essentiels mais ne font pas d'analyse en profondeur. Considérez-les comme la fondation — la première couche d'imposition de qualité.

• CodeClimate : Périmètre similaire à SonarQube (analyse au niveau fichier, scores de maintenabilité) mais hébergé en cloud. Bon si vous voulez une analyse type SonarQube sans auto-hébergement.

• Nx / Turborepo : Outils monorepo qui imposent les frontières de modules via la configuration. Ils gèrent la question « qui peut importer depuis qui » mais ne visualisent pas le graphe de dépendances complet ni ne calculent de métriques de santé.

• Madge / dependency-cruiser : Outils CLI pour l'analyse de dépendances. Ils détectent les dépendances circulaires et peuvent imposer des règles, mais ne fournissent pas de visualisation, d'intégration PR, ni de suivi historique.

ReposLens occupe un créneau spécifique : l'analyse au niveau architecture avec visualisation et intégration PR. SonarQube occupe un créneau différent : l'analyse statique au niveau fichier avec des fonctionnalités de sécurité et de conformité. Comprendre le créneau aide à choisir le bon outil — ou la bonne combinaison.

Prendre la décision

Posez-vous ces questions :

1. Qu'est-ce qui ralentit votre équipe ? Si ce sont les bugs et les code smells, commencez par SonarQube. Si c'est « tout est enchevêtré et on ne peut rien changer sans tout casser », commencez par ReposLens.

2. Quel est votre appétit en infrastructure ? Si vous avez une équipe plateforme et préférez les outils auto-hébergés, SonarQube s'intègre naturellement. Si vous voulez analyser l'architecture dans les cinq prochaines minutes sans infrastructure, ReposLens est le chemin le plus rapide.

3. Que devez-vous communiquer ? Si vous rapportez à la conformité, les rapports SonarQube parlent ce langage. Si vous rapportez à la direction engineering sur la dette technique et la santé architecturale, un score de santé et un graphe de dépendances sont plus convaincants.

4. Quel est votre stack ? SonarQube supporte plus de 30 langages. ReposLens se concentre actuellement sur les écosystèmes JavaScript et TypeScript. Si votre codebase est principalement en Java ou C#, SonarQube est le choix pragmatique aujourd'hui.

Il n'y a pas de mauvaise réponse ici. Les deux outils améliorent les codebases. Le bon choix dépend de la dimension de qualité qui représente votre plus grand point de douleur aujourd'hui.