Subdirección de las Tecnologías de la Información y Comunicaciones

Área de Gobernanza y Calidad

Cumplimiento normativo

Histórico de cambios

Los cambios en la normativa vendrán acompañados de un registro de las modificaciones. De este modo se podrá realizar un seguimiento y consultar su evolución, ordenándose de más recientes a menos recientes.

Mejoras destacadas

SonarQube 9.9 LTS  incorpora nuevas características como puntos de acceso de seguridad, muchas reglas nuevas e idiomas compatibles. Entre las mejoras más destacadas en la versión 9.9 LTS con respecto a versiones anteriores se incluyen:

• Procesos de ejecución mas rápidos un 35% .
• Detección de movimientos de archivos en solicitudes de extracción. SonarQube ahora reconoce cuando los archivos se han movido como parte de una solicitud de extracción, evitando tratar los archivos renombrados como nuevos y enfocándose en el código realmente modificado.
• Cifrado de los secretos de la plataforma DevOps. Los secretos como los tokens de acceso personal ahora pueden cifrarse, asegurándolos contra posibles incidentes de seguridad.
• Soporte para Nuevas Versiones de Lenguajes de Programación. SonarQube 9.9 LTS agrega soporte para las versiones más recientes de los lenguajes de programación, garantizando que el análisis no falle con las nuevas funciones del lenguaje y que las reglas sigan siendo relevantes incluso en un contexto nuevo.
• Detección de Proyectos Inactivos. En SonarQube 9.9 LTS, al eliminar proyectos de forma masiva en función de su fecha de análisis, se consideran todas las ramas y solicitudes de extracción, reduciendo el riesgo de eliminar proyectos activos por error.
• Inclusión de análisis de "pull request". A partir de esta versión de Sonarqube descartan los conceptos de rama corta y rama larga que estábamos utilizando hasta ahora. En su lugar se utiliza el pull request/merge request como mecanismo de comparación de código. Nos va a permitir definir el incremento de código a analizar tanto a nivel de HU como a la hora de la comparación entre versiones.
  • Se ha automatizado tanto la generación del pullrequest, que se hace tras el "push" del código, como su validación en los proceso CI de la STIC. Esto significa que nada cambia en relación a la subida del código. La rama no se cerrará y el flujo seguirá siendo el habitual.

    UI Expand
    title Análisis de ramas Sonarqube

Enlace de interés: https://docs.sonarsource.com/sonarqube/9.9/analyzing-source-code/pull-request-analysis/

El perfil de Sonar

El perfil que se utiliza para el análisis es SonarWay, que es el que Sonarqube ofrece por defecto. No obstante, para el caso de php, se ha definido un perfil extra llamado phpDrupal, que hereda del perfil Drupal.

La lista de los lenguajes que se revisan queda como sigue:  

• Java
  
• JavaScript
• Web: el plugin de SonarWeb permite analizar código estático para HTML, JSF / JSP y CSS buscando código smell, bugs y vulnerabilidades de seguridad.
  
• XML
  
• TypeScript
  
• .NET
  
• Python
  
• C#
  
• PHP
  
• Go
• Swift
• Kotlin

Características técnicas de la plataforma

Ficheros disponibles para el proveedor

Con el objeto de facilitar la adopción interna tanto a proveedores de desarrollo como a personal de la STIC, y minimizar las desviaciones durante las revisiones de calidad realizadas por la OCA, se pone a disposición de los proveedores la  imagen Sonarqube 9.9.2 utilizada en el entorno STIC.

No obstante, ante cualquier diferencia que pueda surgir entre los datos ofrecidos por el mencionado archivo docker  y la herramienta SonarQube instalada en los servidores de la STIC, siempre se considerará como resultado válido y prevalecerá de cara a las revisiones de calidad realizada por la OCA los datos ofrecidos por el SonarQube desplegado en la STIC.

Plugins incluidos en el Sonar

Siguiendo el principio de mejora continua, la Oficina de Calidad hace una revisión constante tanto de los nuevos plugins que pudieran aparecer en el mercado, como de la actualización de los ya instalados, de cara a su mantenimiento.

El conjunto de plugins de los que hace uso la herramienta Sonarqube están informados en el Readme.md de la imagen alojada en el repositorio de la STIC y se detallan en las siguientes tablas: 

Umbrales de calidad

Las métricas de calidad indicadas en el apartado "Métricas sujetas a revisión por la OCA" serán aplicables a todos los proyectos en curso, tanto en fase de desarrollo como en fase de mantenimiento (ya sea correctivo o evolutivo).

Sin embargo sus umbrales se determinarán en función del estado en el que se encuentre el proyecto.

Es prioridad de la STIC mantener los niveles de deuda técnica contenidos, mediante la resolución de incidencias detectadas durante las revisiones estáticas de los aplicativos, por lo que tomando como punto de partida los umbrales de calidad indicados en la anterior normativa de Integración continua v02r00, se actualizan con los siguientes valores:

En función del umbral establecido para cada proyecto, y de los valores obtenidos en cada métrica, Sonarqube marcará la ejecución con una etiqueta de calidad (Quality Gate):

Impacto de calidad estática durante el servicio de verificación (SVE) previo a la Petición de Lanzamiento (PL) 

Para el proceso de revisión de calidad que se ejecuta durante el Servicio de Verificación de Entregas en JIRA, se tendrá en cuenta lo siguiente:

• En el caso de que el valor de la etiqueta Quality gate sea Failed, el resultado del proceso de revisión de la SVE será NO FAVORABLE.

• En el caso de que el valor de la etiqueta Quality gate sea Passed, se continuará con el proceso normal de revisión del resto de los aspectos de la SVE.

En el caso de rechazo de la entrega como NO FAVORABLE, la OCA podrá adjuntar un informe en la SVE con las evidencias que deben ser subsanadas.

Métricas sujetas a revisión por la OCA

Las revisiones ponen el foco sobre los valores que ofrecen las métricas en el código nuevo que pertenece a la versión en curso, considerando código nuevo la diferencia del código entregado con respecto a la última entrega en producción, por lo que el periodo de fuga que se utiliza es sobre la anterior versión en la que se modifica alguno de los 3 primeros dígitos del versionado de la aplicación.

En nuevos desarrollos, en la primera entrega para el paso a producción, se revisará el cumplimiento de los umbrales de las métricas sobre el código completo.

Para ello se tomarán en consideración las siguientes métricas:

Clean as You Code 

Esta nueva versión de Sonarqube pretende que el desarrollador siga la metodología Clean as You Code (https://docs.sonarsource.com/sonarqube/9.9/user-guide/clean-as-you-code/) 

Se trata de un enfoque relacionado con la calidad de código, que establece unos estándares bastante exigentes, y proporciona las herramientas necesarias para que llegues a alcanzarlos.

La métrica que Sonarqube añade a las ya definidas en anteriores versiones es "Security Hotspots Reviewed" y la condición para que no cumpla con el umbral es que sea menor que 100%.

Enlace de interés: https://www.sonarsource.com/solutions/our-unique-approach/ 

SonarLint

SonarLint es un plugin para el entorno de desarrollo, ofrecido por Sonar. Está disponible para IntelliJ, Visual Studio, VS Code y Eclipse, y se pueden instalar directamente desde el marketplace de plugin del IDE.

La Oficina de Calidad recomienda su uso ya que permite a los desarrolladores identificar y corregir problemas de calidad y seguridad en tiempo real, durante el proceso de desarrollo, asegurando que el código cumpla con los estándares establecidos desde las primeras fases del desarrollo.

Carácterísticas de SonarLint:

• Detección Temprana de Errores:

  • Identificación de errores y problemas de calidad en el código a medida que se escribe, facilitando correcciones inmediatas.

• Integración con Sonarqube:

  • Sincronización con Sonarqube para utilizar las mismas reglas y configuraciones de calidad, asegurando consistencia en el análisis.

• Soporte para Múltiples Lenguajes:

  • Análisis de código para una amplia gama de lenguajes de programación soportados.

• Análisis Instantáneo y Sugerencias de Corrección:

  • Proporciona sugerencias de corrección y análisis instantáneo directamente dentro del IDE.

Enlaces de interés

• https://www.sonarsource.com/products/sonarlint/features/connected-mode/

• https://docs.sonarsource.com/sonarlint/intellij/