Qualidade de código com prova — grátis e open source
CodeHero
Detecta como os pares. Fecha o ciclo que os outros deixam aberto.
Um motor que decide o merge sempre do mesmo jeito — sem IA no quality gate, sem assinatura. Junta o sinal das ferramentas que você já usa e leva o achado até a correção verificável.
Apache-2.0 · portal e Action grátis · você só usa a infraestrutura que já tem (CI, GitHub, agentes).
Cinco ferramentas. Três mil alertas. Ninguém abre.
Cada scanner encontra o mesmo problema e chama por um nome diferente. A lista cresce, a confiança cai, e o time passa a ignorar tudo. Inclusive o que era grave de verdade.
Depois a gente olha esse relatório.
E tem o batch que roda às duas da manhã.
COBOL conversando com DB2. Funciona há vinte anos. Quase ninguém sabe explicar. E nenhuma ferramenta do seu contrato olha para ele.
Quando esse job quebra, não é um alerta no painel. É o fechamento do dia que não saiu.
Nisso aí a gente não mexe.
O CodeHero olha justamente a junta.
Ferramenta de COBOL lê o programa. Ferramenta de SQL lê a consulta. O defeito mora entre os dois, e é ali que o batch quebra. O CodeHero lê os dois lados ao mesmo tempo.
- Um número que não cabe no campo e é cortado em silêncio, sem erro nenhum.
- Um cursor aberto que ninguém fechou, segurando trava até o fim do processo.
- Uma consulta dentro do laço, uma ida ao banco por linha. No mainframe isso vai direto para a fatura.
- Um COMMIT que fecha o cursor e derruba a volta seguinte do laço.
O último só aparece quando o volume passa de um certo ponto. Ou seja, aparece em produção.
A resposta é sempre a mesma.
Nenhum modelo de linguagem decide nada durante a análise. O mesmo código entra, o mesmo resultado sai. Isso significa que você pode versionar a política, repetir o resultado de seis meses atrás e defender a decisão numa auditoria.
Por que reprovou? Por esta regra, nesta linha, com este trecho.
Do push ao merge, sem etapa escondida.
Cada fase só consome o que a anterior publicou. Nada acontece fora do caminho que você vê aqui.
- ScanGateos achados
- GateCorreçãosó o que passou
- CorreçãoEsteirao que deu certo
- EsteiraScanregra melhor
Cada seta é uma promessa: a etapa seguinte só usa o que a anterior entregou. E o que o time aprende volta para o começo, então o próximo scan já chega mais afiado.
Falso positivo vira número, não discussão.
Quando alguém marca um apontamento como falso, isso entra na estatística daquela regra. O time deixa de reexplicar a mesma exceção toda semana, e a regra que erra demais perde espaço sozinha.
Onde estamos no mercado — com número, não slogan.
Para o CTO e o líder técnico: em detecção de vulnerabilidades o CodeHero já joga no mesmo patamar dos peers. Em amplitude de catálogo de smells enterprise, ainda não — e não vendemos essa troca. O posicionamento é peer-competitive na segurança, líder no ciclo depois do finding (contrato, agente, prova).
- OWASP BenchmarkJava
- F1 75,1% · precisão 75,6% · score 48,9
- Leitura de mercado
- Peers públicos (CodeQL/Semgrep) têm F1 parecido — e FPR bem mais alto. Aqui o score OWASP (acerto menos falso) sai calibrado: menos ruído no gate que o time contorna.
- Catálogo Sonar way
- ~19% semântica (core) · VULN live ~69% — smells ainda via Presence/SARIF, não substituição 1:1.
- Tempo de scan
- L0 em microssegundos/arquivo · árvore (~25 KB) em ~13 ms · sem LLM no PR
Baseline medido no repositório (benchmarks/owasp-baseline.json, ago/2026). Presence Pack importa Semgrep/CodeQL quando você quiser a amplitude deles no mesmo gate. Briefing: documentação para liderança.
Onde ela se destaca e onde ainda não vai.
Se destaca
- Loop fechado: finding → contrato de correção (SDD) → agente MCP → scanner prova que sumiu
- Regras que evoluem offline com portão F1 — auditável, sem GenAI no merge
- COBOL e DB2 lidos como uma coisa só, que é como eles quebram
- Orquestra CodeQL/Semgrep/Trivy no mesmo gate; remove eco entre ferramentas
- Decisão que não muda de humor entre uma execução e outra
Ainda não vai
- Substituir Sonar/suite enterprise só por amplitude de code smells (live smells ~7%)
- Rastreamento profundo de fluxo de dados (taint interprocedural) hoje maduro sobretudo em JavaScript e TypeScript
- Para as demais linguagens, traga o relatório do seu SAST e o gate unifica tudo num resultado só
Preferimos dizer isso agora a você descobrir depois de criar a conta — e a conta é sem custo.
Rode no seu pior repositório.
Aquele que ninguém quer abrir. É onde a diferença aparece mais rápido, e é o único teste que vale alguma coisa. Conta gratuita — sem cartão.
Começar no CodeHero — grátis
Grátis. Sem cartão. Open source (Apache-2.0). Google SSO disponível.