Una plataforma practica, con IA integrada y pensada para que mejores desarrollando. Se adapta a tu ritmo, te corrige al instante y te muestra tu progreso real.
Correccion magica
Feedback inteligente
Aprende de cada acierto y fallo con explicaciones claras
¿A quién va dirigida esta formación en SonarQube Cloud?
Pensado para quienes deben dominar SonarQube Cloud en su día a día
Equipos de desarrollo backend, frontend y full stack
Este curso encaja con desarrolladores que quieren recibir feedback rápido sobre calidad, seguridad, mantenibilidad, duplicación, cobertura y deuda técnica sin esperar a revisiones tardías. Aprenderán a interpretar issues, corregir problemas en el IDE, mejorar pull requests, trabajar con quality gates y adoptar Clean as You Code sin convertir SonarQube Cloud en una herramienta punitiva.
QA Engineers y responsables de calidad de software
Los perfiles de QA podrán ampliar su visión de calidad más allá de pruebas funcionales, incorporando métricas de código, cobertura, duplicación, fiabilidad, mantenibilidad, seguridad y criterios objetivos de release. La formación les permite conectar testing, análisis estático, defectos, deuda técnica y evidencia de calidad en un mismo flujo.
Equipos DevOps, CloudOps y plataforma
Los equipos DevOps aprenderán a integrar SonarQube Cloud en GitHub Actions, GitLab CI/CD, Azure Pipelines, Bitbucket Pipelines, Jenkins u otros sistemas CI. El curso les ayuda a configurar tokens, análisis por ramas, pull request decoration, quality gate checks, monorepos, permisos y pipelines robustos sin bloquear innecesariamente la entrega.
Arquitectos de software y tech leads
Los perfiles de arquitectura podrán definir estándares por lenguaje, calidad mínima, cobertura razonable, políticas de deuda técnica, reglas críticas, exclusiones justificadas y criterios de escalado. El curso les aporta una forma práctica de usar SonarQube Cloud como apoyo a decisiones técnicas, no solo como listado de advertencias.
Equipos AppSec, ciberseguridad y compliance técnico
Los perfiles de seguridad podrán trabajar vulnerabilidades, security hotspots, secretos, SAST, análisis de dependencias con Advanced Security, SBOM, reporting de seguridad, priorización y gobierno de riesgos. La formación conecta SonarQube Cloud con un modelo DevSecOps donde los problemas se corrigen cerca del código.
Responsables de ingeniería y dirección técnica
Los responsables técnicos podrán usar SonarQube Cloud para obtener visibilidad agregada sobre proyectos, calidad, deuda, cobertura, riesgos y evolución. El curso ayuda a definir dashboards, portfolios, reporting, criterios de adopción y métricas útiles para mejorar ingeniería sin reducir la calidad a un semáforo mal interpretado.
Proveedor con 16 años de experiencia en formación empresarial
Sobre
En Imagina Formación llevamos más de 16 años ayudando a profesionales y empresas a mejorar sus habilidades con formación práctica y totalmente adaptada a sus necesidades. Durante este tiempo, hemos formado a más de 480.000 personas y colaborado con más de 3.500 empresas, convirtiéndonos en un referente en el sector.
16
Años de liderazgo
+480.000
Alumnos formados en Imagina
¿Tienes dudas?
Resolvemos todas tus dudas sobre nuestra formación en SonarQube Cloud
Explora las respuestas a las preguntas que guian a nuestra comunidad. Aqui encontraras claridad sobre como funciona todo, desde el acceso hasta los detalles de los cursos. Si buscas respuestas, este es el lugar para comenzar.
SonarQube Cloud es la solución SaaS de Sonar para análisis continuo de calidad y seguridad de código. Se integra con plataformas DevOps, pipelines e IDEs para detectar issues, evaluar quality gates y ayudar a mantener código seguro, fiable y mantenible.
No. SonarQube Cloud es la versión SaaS gestionada por Sonar, mientras que SonarQube Server es la opción self-managed. En Cloud no administras servidores, base de datos ni upgrades de la plataforma, pero sí debes gobernar proyectos, análisis, permisos, quality gates y pipelines.
SonarQube Cloud se integra con GitHub, Bitbucket Cloud, GitLab y Azure DevOps. La integración permite importar organizaciones y repositorios, mostrar quality gate status en pipelines y pull requests, y bloquear merges cuando no se cumple la política.
Sí. Es una parte central del curso. Se trabaja análisis de pull requests, decoración en la plataforma DevOps, quality gate en el PR, bloqueo de merge, corrección antes del merge y relación con code review humano.
Sí. Se incluye instalación, modo conectado, sincronización con reglas del proyecto y uso diario para detectar problemas mientras se programa. La idea es corregir issues antes de que lleguen al pull request o al pipeline.
Sí. El curso cubre AI CodeFix, AI Code Assurance y autodetección de código generado con GitHub Copilot en proyectos GitHub. Las funciones de IA deben tratarse según el plan contratado y siempre con revisión humana.
Sí. El temario incluye Advanced Security, SCA, dependencias, CVEs, licencias, paquetes maliciosos, SBOM e importación de SBOM para analizar contenedores. Estas capacidades dependen de disponibilidad y plan contratado.
Sí. El curso contempla Java, .NET, JavaScript, TypeScript, Python, Go, PHP, C/C++ y otros stacks habituales. Se trabaja configuración por scanner, cobertura, exclusiones, monorepos, quality profiles y errores frecuentes por lenguaje.
Depende del alcance. Team suele ser adecuado para equipos que necesitan capacidades avanzadas, mientras Enterprise aporta jerarquía enterprise, SSO, SCIM, portfolios y reportes agregados. Free y OSS tienen limitaciones o usos específicos.
Sí. Al tratarse de una formación corporativa en calidad de software, DevOps, DevSecOps, análisis estático, seguridad, IA aplicada al desarrollo y competencias digitales, puede plantearse como formación bonificable hasta el 100% a través de FUNDAE, según el crédito disponible y cumpliendo los requisitos administrativos aplicables.
SonarQube Cloud es la solución SaaS de Sonar para análisis continuo de calidad y seguridad de código. Se integra con plataformas DevOps, pipelines e IDEs para detectar issues, evaluar quality gates y ayudar a mantener código seguro, fiable y mantenible.
No. SonarQube Cloud es la versión SaaS gestionada por Sonar, mientras que SonarQube Server es la opción self-managed. En Cloud no administras servidores, base de datos ni upgrades de la plataforma, pero sí debes gobernar proyectos, análisis, permisos, quality gates y pipelines.
SonarQube Cloud se integra con GitHub, Bitbucket Cloud, GitLab y Azure DevOps. La integración permite importar organizaciones y repositorios, mostrar quality gate status en pipelines y pull requests, y bloquear merges cuando no se cumple la política.
Sí. Es una parte central del curso. Se trabaja análisis de pull requests, decoración en la plataforma DevOps, quality gate en el PR, bloqueo de merge, corrección antes del merge y relación con code review humano.
Sí. Se incluye instalación, modo conectado, sincronización con reglas del proyecto y uso diario para detectar problemas mientras se programa. La idea es corregir issues antes de que lleguen al pull request o al pipeline.
Sí. El curso cubre AI CodeFix, AI Code Assurance y autodetección de código generado con GitHub Copilot en proyectos GitHub. Las funciones de IA deben tratarse según el plan contratado y siempre con revisión humana.
Sí. El temario incluye Advanced Security, SCA, dependencias, CVEs, licencias, paquetes maliciosos, SBOM e importación de SBOM para analizar contenedores. Estas capacidades dependen de disponibilidad y plan contratado.
Sí. El curso contempla Java, .NET, JavaScript, TypeScript, Python, Go, PHP, C/C++ y otros stacks habituales. Se trabaja configuración por scanner, cobertura, exclusiones, monorepos, quality profiles y errores frecuentes por lenguaje.
Depende del alcance. Team suele ser adecuado para equipos que necesitan capacidades avanzadas, mientras Enterprise aporta jerarquía enterprise, SSO, SCIM, portfolios y reportes agregados. Free y OSS tienen limitaciones o usos específicos.
Sí. Al tratarse de una formación corporativa en calidad de software, DevOps, DevSecOps, análisis estático, seguridad, IA aplicada al desarrollo y competencias digitales, puede plantearse como formación bonificable hasta el 100% a través de FUNDAE, según el crédito disponible y cumpliendo los requisitos administrativos aplicables.
Comprensión de SonarQube Cloud como solución SaaS para análisis continuo de calidad, seguridad, fiabilidad, mantenibilidad, cobertura, duplicación y deuda técnica.
Diferenciación entre SonarQube Cloud, SonarQube Server, SonarQube Community Build y SonarQube for IDE para elegir correctamente según necesidad corporativa.
Revisión del valor de SonarQube Cloud frente a revisiones manuales aisladas, linters locales sin gobierno o análisis de código ejecutados sin trazabilidad.
Identificación de casos empresariales donde aporta más valor: pull requests, release gates, auditoría técnica, reducción de deuda, control AppSec y DevSecOps.
Análisis de problemas habituales que la herramienta ayuda a detectar: bugs, code smells, vulnerabilidades, security hotspots, duplicados y cobertura insuficiente.
Comprensión de la diferencia entre medir calidad y mejorar calidad, evitando que los dashboards se conviertan en un elemento decorativo.
Revisión del papel de SonarQube Cloud en el ciclo de vida: IDE, pull request, CI/CD, ramas principales, release y seguimiento por portfolio.
Identificación de riesgos de adopción: quality gates mal diseñados, reglas no consensuadas, falsos positivos mal gestionados o métricas usadas para culpar.
Definición de un modelo de adopción progresivo: piloto, estándares iniciales, integración CI, formación, gobierno, reporting y mejora continua.
Creación de una visión común para desarrollo, QA, DevOps, seguridad y dirección técnica sobre qué debe resolver SonarQube Cloud.
Comprensión de SonarQube Cloud como solución SaaS para análisis continuo de calidad, seguridad, fiabilidad, mantenibilidad, cobertura, duplicación y deuda técnica.
Diferenciación entre SonarQube Cloud, SonarQube Server, SonarQube Community Build y SonarQube for IDE para elegir correctamente según necesidad corporativa.
Revisión del valor de SonarQube Cloud frente a revisiones manuales aisladas, linters locales sin gobierno o análisis de código ejecutados sin trazabilidad.
Identificación de casos empresariales donde aporta más valor: pull requests, release gates, auditoría técnica, reducción de deuda, control AppSec y DevSecOps.
Análisis de problemas habituales que la herramienta ayuda a detectar: bugs, code smells, vulnerabilidades, security hotspots, duplicados y cobertura insuficiente.
Comprensión de la diferencia entre medir calidad y mejorar calidad, evitando que los dashboards se conviertan en un elemento decorativo.
Revisión del papel de SonarQube Cloud en el ciclo de vida: IDE, pull request, CI/CD, ramas principales, release y seguimiento por portfolio.
Identificación de riesgos de adopción: quality gates mal diseñados, reglas no consensuadas, falsos positivos mal gestionados o métricas usadas para culpar.
Definición de un modelo de adopción progresivo: piloto, estándares iniciales, integración CI, formación, gobierno, reporting y mejora continua.
Creación de una visión común para desarrollo, QA, DevOps, seguridad y dirección técnica sobre qué debe resolver SonarQube Cloud.
Tema 1: SonarQube Cloud como plataforma SaaS de calidad y seguridad de código
Comprensión de SonarQube Cloud como solución SaaS para análisis continuo de calidad, seguridad, fiabilidad, mantenibilidad, cobertura, duplicación y deuda técnica.
Diferenciación entre SonarQube Cloud, SonarQube Server, SonarQube Community Build y SonarQube for IDE para elegir correctamente según necesidad corporativa.
Revisión del valor de SonarQube Cloud frente a revisiones manuales aisladas, linters locales sin gobierno o análisis de código ejecutados sin trazabilidad.
Identificación de casos empresariales donde aporta más valor: pull requests, release gates, auditoría técnica, reducción de deuda, control AppSec y DevSecOps.
Análisis de problemas habituales que la herramienta ayuda a detectar: bugs, code smells, vulnerabilidades, security hotspots, duplicados y cobertura insuficiente.
Comprensión de la diferencia entre medir calidad y mejorar calidad, evitando que los dashboards se conviertan en un elemento decorativo.
Revisión del papel de SonarQube Cloud en el ciclo de vida: IDE, pull request, CI/CD, ramas principales, release y seguimiento por portfolio.
Identificación de riesgos de adopción: quality gates mal diseñados, reglas no consensuadas, falsos positivos mal gestionados o métricas usadas para culpar.
Definición de un modelo de adopción progresivo: piloto, estándares iniciales, integración CI, formación, gobierno, reporting y mejora continua.
Creación de una visión común para desarrollo, QA, DevOps, seguridad y dirección técnica sobre qué debe resolver SonarQube Cloud.
Tema 2: Planes, licencias, regiones y decisiones iniciales de implantación
Revisión de los planes actuales de SonarQube Cloud, incluyendo Free, Team, Enterprise y OSS, entendiendo que las capacidades varían por plan y tipo de organización.
Análisis de qué funcionalidades pueden condicionar el plan: repositorios privados, branch analysis, pull request analysis, SSO, SCIM, portfolios, reportes e IA.
Comprensión del modelo por organización, donde cada organización de SonarQube Cloud se asocia a una suscripción y a una estructura DevOps concreta.
Evaluación de cuándo Team es suficiente y cuándo Enterprise aporta valor por SSO, SCIM, jerarquía enterprise, portfolios y reporting agregado.
Revisión de la existencia de instancias EU y US, teniendo en cuenta que los datos no se pueden mover ni compartir entre ambas regiones según la documentación actual.
Selección de región según residencia de datos, compliance, plataformas DevOps, disponibilidad de funcionalidades y política interna de seguridad.
Definición de responsables de suscripción, billing, administración, permisos, integración DevOps y gobierno técnico.
Preparación de un checklist previo a la implantación: plan, región, organizaciones, repositorios, permisos, SSO, naming y política de calidad.
Evaluación de limitaciones del plan Free para empresas que requieren control avanzado sobre pull requests, ramas, usuarios o repositorios privados.
Documentación de decisiones iniciales para evitar cambios costosos cuando ya existen proyectos, repositorios, usuarios y pipelines conectados.
Tema 3: Estructura de organizaciones, proyectos y vinculación con DevOps platforms
Configuración de organizaciones en SonarQube Cloud alineadas con GitHub, GitLab, Bitbucket Cloud o Azure DevOps.
Comprensión de la vinculación entre organización/proyecto de SonarQube Cloud y organización/repositorio en la plataforma DevOps.
Importación de repositorios desde la plataforma DevOps para crear proyectos de análisis con relación uno a uno cuando aplique.
Diferenciación entre proyectos importados y proyectos manuales, especialmente cuando se usan parámetros como `sonar.projectKey` y `sonar.organization`.
Diseño de convenciones de nombres para organizaciones, proyectos, monorepos, ramas, componentes y portfolios.
Gestión de repositorios activos, archivados, experimentales, legacy, críticos y externos dentro de la estructura de SonarQube Cloud.
Preparación de permisos para que los equipos puedan ver, administrar o analizar solo los proyectos que les corresponden.
Identificación de problemas típicos: repositorios no vinculados, proyectos duplicados, claves inconsistentes o análisis enviados al proyecto equivocado.
Creación de una estrategia de onboarding de nuevos repositorios que incluya configuración CI, quality gate, permisos, IDE y documentación mínima.
Documentación de la estructura organizativa para que plataforma, seguridad y equipos de desarrollo trabajen con un mapa claro.
Tema 4: Análisis automático frente a análisis basado en CI/CD
Diferenciación entre automatic analysis y CI-based analysis para seleccionar el método adecuado por repositorio, lenguaje, plataforma y complejidad del build.
Comprensión de que el análisis en CI ejecuta el SonarScanner en el host de build y envía resultados a SonarQube Cloud para cálculo del quality gate.
Evaluación de automatic analysis para escenarios sencillos donde la plataforma puede acceder al repositorio y ejecutar el análisis sin pipeline complejo.
Identificación de casos donde CI-based analysis es obligatorio o recomendable: builds compilados, cobertura, monorepos, lenguajes específicos o pipelines corporativos.
Configuración de parámetros básicos de análisis: project key, organization, sources, tests, exclusions, coverage reports, branch y pull request metadata.
Preparación de tokens y secretos en CI/CD sin exponerlos en logs, commits, variables no protegidas o entornos no autorizados.
Revisión de cómo el análisis debe ejecutarse en el momento correcto del pipeline, después de compilar y generar reportes necesarios.
Diagnóstico de fallos de análisis: token inválido, proyecto mal configurado, lenguaje no detectado, cobertura ausente o scanner desactualizado.
Definición de una política de análisis por repositorio: push, pull request, ramas principales, nightly, release o monorepo selectivo.
Creación de una matriz para decidir método de análisis según tecnología, plataforma DevOps, criticidad y madurez del pipeline.
Tema 5: Integración con GitHub, pull requests y GitHub Actions
Conexión de SonarQube Cloud con organizaciones y repositorios GitHub mediante importación y vinculación controlada.
Configuración de análisis en GitHub Actions con secretos, tokens, permisos mínimos, checkout correcto y ejecución en ramas relevantes.
Activación de pull request analysis para que cada cambio sea evaluado antes del merge y se muestre en el contexto del PR.
Uso de pull request decoration para mostrar quality gate, issues y resumen de análisis dentro de GitHub, reduciendo cambios de contexto.
Configuración de branch protection rules para impedir merges cuando el quality gate falla, aplicando control sin depender de revisión manual.
Revisión de análisis de forks, repositorios privados, monorepos, matrices de build y escenarios con varios lenguajes.
Incorporación de cobertura, tests y build previo al análisis para evitar resultados incompletos o engañosos.
Diagnóstico de fallos habituales: permisos de GitHub App, secreto ausente, token sin acceso, rama no detectada o quality gate no reportado.
Integración con SonarQube for IDE para que el desarrollador vea problemas antes de abrir el pull request.
Documentación de una plantilla corporativa de workflow GitHub Actions con análisis, quality gate y buenas prácticas de seguridad.
Tema 6: Integración con GitLab CI/CD
Configuración de proyectos vinculados con GitLab para analizar ramas, merge requests y main branches con SonarQube Cloud.
Preparación de `.gitlab-ci.yml` con stages adecuados, cache, variables protegidas, token de análisis y ejecución del scanner correspondiente.
Uso de merge request decoration para que los resultados de calidad y seguridad sean visibles durante la revisión de código.
Ajuste de pipelines para no analizar innecesariamente cada job cuando basta un análisis consolidado tras build y tests.
Configuración de análisis para proyectos monorepo o multi-módulo donde varias aplicaciones conviven en el mismo repositorio.
Incorporación de coverage reports generados por el framework de pruebas antes de lanzar el análisis Sonar.
Protección de variables CI/CD, ramas protegidas y tokens para evitar que forks o ramas no confiables accedan a secretos.
Revisión de errores típicos: variable no disponible en merge request, rama protegida, scanner sin caché o proyecto key incorrecto.
Definición de un patrón de integración GitLab reutilizable por equipos con lenguajes y stacks distintos.
Documentación del flujo de calidad en GitLab: commit, pipeline, análisis, merge request, quality gate, aprobación y merge.
Tema 7: Integración con Azure DevOps y Azure Pipelines
Creación de service connection entre Azure DevOps y SonarQube Cloud usando el token correspondiente y seleccionando región cuando proceda.
Configuración de análisis en Azure Pipelines para proyectos .NET, Maven, Gradle, C/C++ y otros stacks mediante tareas o scanner adecuado.
Uso de las tareas de preparación, análisis y publicación del quality gate para que el pipeline muestre el resultado de forma visible.
Integración de pull request analysis y pull request decoration para que el equipo revise issues antes de completar el PR.
Preparación de pipelines YAML reutilizables con templates, variables, stages y condiciones de ejecución por rama o pull request.
Incorporación de cobertura .NET, JavaScript, Java u otros lenguajes mediante reportes compatibles con el scanner.
Configuración de quality gate check en release pipeline cuando la empresa necesita bloquear promoción de artefactos.
Diagnóstico de errores: service connection incorrecta, región mal configurada, extensión desactualizada, cobertura no encontrada o build incompleto.
Revisión de permisos entre organización Azure DevOps, proyecto, repositorio, pipeline y proyecto SonarQube Cloud.
Creación de un estándar corporativo para integrar SonarQube Cloud en Azure DevOps sin depender de configuraciones manuales por equipo.
Tema 8: Integración con Bitbucket Cloud, Jenkins y otros sistemas CI
Configuración de análisis en Bitbucket Pipelines usando pipes oficiales cuando el tipo de proyecto lo permite y scanner específico cuando no.
Revisión de límites de las pipes de Bitbucket para proyectos Maven, Gradle, .NET o C/C++, que pueden requerir integración específica.
Preparación de análisis en Jenkins mediante credenciales protegidas, stages de build, tests, scanner y quality gate check.
Integración con CircleCI, Amazon CodeCatalyst, Codemagic u otros CIs mediante SonarScanner CLI o herramientas específicas.
Diseño de pipelines que generen artefactos, cobertura y análisis en el orden correcto para evitar resultados incompletos.
Gestión de tokens por plataforma CI, evitando reutilizar credenciales personales o exponer secretos a ramas no confiables.
Configuración de entornos con runners autoalojados, agentes corporativos, proxies o restricciones de red.
Diagnóstico de problemas de conectividad hacia SonarQube Cloud desde CI, incluyendo proxy, firewall, DNS, región o TLS.
Creación de patrones genéricos para stacks no cubiertos por integraciones directas mediante SonarScanner CLI.
Documentación de integraciones por plataforma con variables, secretos, comandos, condiciones, calidad esperada y owner.
Tema 9: SonarScanners, parámetros de análisis y configuración por lenguaje
Revisión de los SonarScanners disponibles para Maven, Gradle, .NET, NPM, Python y SonarScanner CLI, seleccionando el adecuado por proyecto.
Configuración de `sonar-project.properties` cuando se requiere control explícito sobre sources, tests, exclusions, coverage y parámetros avanzados.
Ajuste de análisis para proyectos Java, .NET, JavaScript, TypeScript, Python, Go, PHP, C/C++ y otros lenguajes utilizados en la empresa.
Comprensión de que SonarQube Cloud soporta reporte de cobertura, pero normalmente necesita herramientas externas que generen esos informes.
Configuración de reportes de cobertura como JaCoCo, lcov, coverage.py, OpenCover, cobertura .NET u otros formatos admitidos.
Exclusión razonada de código generado, carpetas vendor, dist, build, test fixtures o archivos no relevantes para calidad del producto.
Análisis de monorepos con varios proyectos Sonar, varios scanners, claves diferenciadas y rutas de inclusión/exclusión controladas.
Gestión de builds compilados donde el análisis necesita información del compilador, dependencias y contexto del proyecto.
Diagnóstico de errores de scanner: memoria, versión incompatible, paths incorrectos, reportes no encontrados o encoding problemático.
Creación de una guía interna por stack tecnológico con comandos, parámetros, reportes, cobertura y errores frecuentes.
Tema 10: Quality gates: criterios de liberación y control de merges
Comprensión del quality gate como conjunto de condiciones sobre métricas de calidad que determinan si el proyecto supera la política definida.
Diseño de quality gates orientados al código nuevo para evitar bloquear equipos por deuda histórica inabordable desde el primer día.
Definición de condiciones sobre reliability, security, maintainability, coverage, duplications y security review con criterios realistas.
Diferenciación entre quality gate para pull request, branch principal, release branch y portfolio de proyectos.
Configuración de quality gates por organización o proyecto, evitando reglas demasiado laxas o demasiado duras para la madurez del equipo.
Integración del estado del quality gate en CI/CD para bloquear merge, despliegue o promoción de artefactos cuando proceda.
Revisión de excepciones justificadas cuando un quality gate falla por un motivo aceptado y documentado por arquitectura o negocio.
Análisis de falsos incentivos: subir cobertura sin pruebas útiles, ocultar issues mediante exclusiones o cerrar problemas sin corregir.
Seguimiento de evolución de quality gates para medir si la política ayuda a mejorar calidad o solo genera fricción.
Creación de un quality gate corporativo inicial y una hoja de ruta para endurecerlo progresivamente.
Tema 11: Quality profiles, reglas y estándares por lenguaje
Comprensión del quality profile como conjunto de reglas aplicadas durante el análisis para un lenguaje concreto.
Revisión de reglas por lenguaje, severidad, tipo de issue, impacto, deuda estimada y relación con prácticas de desarrollo.
Decisión entre usar perfiles recomendados por Sonar o crear perfiles corporativos adaptados a tecnología, criticidad y madurez.
Activación, desactivación o ajuste de reglas con criterio técnico, evitando modificar perfiles solo para “pasar el semáforo”.
Gestión de perfiles distintos para stacks diferentes, como backend Java, .NET, frontend TypeScript, Python, mobile o legacy.
Revisión de reglas que generan ruido en contextos concretos y documentación de excepciones con motivo y owner.
Alineación de quality profiles con estándares internos de arquitectura, seguridad, clean code y revisiones de código.
Control de cambios en perfiles para evitar que una modificación global afecte inesperadamente a decenas de proyectos.
Seguimiento de impacto al cambiar reglas: issues nuevos, deuda estimada, quality gate, aceptación del equipo y falsos positivos.
Creación de un proceso de gobierno de reglas con revisión periódica, pilotos, comunicación y documentación.
Tema 12: Clean as You Code y gestión de new code
Comprensión de Clean as You Code como estrategia para asegurar que el código nuevo cumple estándares aunque exista deuda histórica.
Configuración de new code definition según rama de referencia, número de días, versión anterior o estrategia de release.
Aplicación de criterios de calidad sobre código nuevo para que cada pull request mejore o al menos no degrade el producto.
Separación entre deuda heredada, issues nuevos, issues modificados y problemas reintroducidos para priorizar el trabajo realista.
Revisión de cómo el enfoque de new code evita bloqueos por legacy y centra la conversación en responsabilidad sobre cambios actuales.
Integración de Clean as You Code en Definition of Done, pull requests, quality gate y revisiones técnicas.
Identificación de situaciones donde la new code definition mal configurada distorsiona resultados o crea falsas expectativas.
Diseño de una estrategia para productos legacy: baseline inicial, no empeorar, corregir lo tocado y planificar deuda crítica por riesgo.
Comunicación a equipos de que SonarQube Cloud no exige arreglar todo el pasado, sino proteger cada cambio nuevo.
Creación de un plan de adopción Clean as You Code por repositorio, rama, equipo y release.
Tema 13: Pull request analysis, decoration y revisión colaborativa
Configuración de pull request analysis para revisar cambios cuando se abre el PR y cada vez que se empuja código nuevo.
Uso de pull request decoration para mostrar issues, quality gate y resumen directamente en GitHub, GitLab, Bitbucket Cloud o Azure DevOps.
Configuración del bloqueo de merge cuando el quality gate falla, aplicándolo con criterios acordados y no como sorpresa al final del sprint.
Revisión de issues en el contexto del diff, diferenciando problemas nuevos, problemas existentes y cambios que no pertenecen al PR.
Integración de SonarQube Cloud en la dinámica de code review, evitando que la herramienta sustituya la revisión humana de arquitectura o negocio.
Gestión de comentarios de PR para que el equipo no ignore avisos relevantes ni discuta cada issue sin criterio.
Identificación de problemas que no siempre se detectan en IDE y aparecen al analizar el contexto completo del pull request.
Uso de quality gate como criterio de merge junto a tests, revisión de código, aprobación funcional y cumplimiento de Definition of Done.
Diagnóstico de PRs sin decoración: proyecto no vinculado, token incorrecto, permisos de app, metadatos ausentes o pipeline no ejecutado.
Creación de una política de pull request quality que incluya quién corrige, quién aprueba excepciones y cómo se documentan desviaciones.
Tema 14: Issues, severidad, tipos de problema y flujo de corrección
Interpretación de issues por tipo: bug, vulnerability, code smell, security hotspot y otros indicadores según configuración y lenguaje.
Revisión de severidades y prioridades para decidir qué debe corregirse de inmediato, qué puede planificarse y qué necesita análisis contextual.
Comprensión de deuda técnica estimada como ayuda para dimensionar esfuerzo, no como métrica exacta de coste real.
Uso de filtros por proyecto, rama, autor, regla, severidad, fecha, código nuevo o estado para priorizar trabajo.
Gestión del ciclo de vida de issues: open, accepted, false positive, fixed, reopened y decisiones justificadas.
Documentación de falsos positivos y accepted issues con criterio, evitando que se conviertan en vía rápida para ignorar problemas.
Asignación de issues a responsables técnicos cuando se requiere corrección, análisis de arquitectura o decisión de equipo.
Revisión de reglas con alto volumen de issues para decidir si hay problema de código, regla mal ajustada o necesidad de formación.
Uso de etiquetas internas o conventions para agrupar remediaciones por sprint, área, riesgo o iniciativa técnica.
Creación de un proceso de triage de issues que reduzca ruido y aumente foco en problemas con impacto real.
Tema 15: Seguridad: vulnerabilidades, security hotspots y DevSecOps
Diferenciación entre vulnerabilities y security hotspots, entendiendo que algunos hallazgos requieren revisión manual de contexto antes de decidir.
Interpretación de flujos de datos, fuentes, sinks, sanitización, validación y patrones típicos de vulnerabilidad detectados por análisis estático.
Revisión de categorías de seguridad relevantes: inyección, control de acceso, criptografía, exposición de datos, SSRF, XSS o manejo inseguro.
Priorización de problemas de seguridad según severidad, explotabilidad, criticidad del componente, exposición externa y datos tratados.
Integración del análisis de seguridad en pull requests para corregir antes de que el código llegue a ramas principales.
Gestión de accepted security issues con justificación, owner, revisión periódica y vinculación a riesgo aceptado.
Uso de reportes de seguridad en planes Enterprise para entregar visibilidad a AppSec, compliance y dirección técnica.
Coordinación entre desarrollo y seguridad para evitar que SonarQube Cloud sea visto como auditoría tardía en lugar de feedback temprano.
Preparación de playbooks de remediación para vulnerabilidades recurrentes por lenguaje, framework o patrón arquitectónico.
Creación de un flujo DevSecOps donde quality gate, revisión AppSec, ticketing y priorización trabajen de forma coordinada.
Tema 16: Secrets detection y prevención de fugas de credenciales
Comprensión del riesgo de exponer tokens, passwords, API keys, claves privadas, credenciales cloud o connection strings dentro del repositorio.
Revisión de cómo SonarQube Cloud puede ayudar a detectar secretos en código y cómo integrarlo en un flujo de corrección rápido.
Priorización de secretos por impacto: credenciales productivas, claves cloud, tokens de CI, credenciales de base de datos o claves de terceros.
Diseño de respuesta ante secreto detectado: revocación, rotación, análisis de exposición, limpieza de historial y comunicación a seguridad.
Evitación de falsos hábitos peligrosos como “solo es un entorno de prueba” o “el repositorio es privado”.
Integración con políticas de gestión de secretos, vaults, variables CI/CD protegidas y revisión de pull requests.
Configuración de exclusiones con mucho cuidado para no ocultar patrones reales de fuga de credenciales.
Formación a desarrolladores sobre cómo sustituir secretos hardcodeados por variables, gestores de secretos o configuración segura.
Seguimiento de métricas de secretos detectados para identificar equipos o repositorios con prácticas de configuración débiles.
Creación de un protocolo corporativo de secret scanning conectado con SonarQube Cloud, DevOps, seguridad y respuesta a incidentes.
Tema 17: Cobertura, tests, duplicación y métricas de mantenibilidad
Configuración de reportes de cobertura generados por herramientas externas y enviados al análisis para que SonarQube Cloud los muestre en el dashboard.
Interpretación de cobertura en código nuevo, cobertura global, líneas no cubiertas y condiciones no cubiertas con criterio técnico.
Evitación de políticas de cobertura que incentivan tests superficiales sin validar comportamiento relevante.
Revisión de duplicación de código como indicador de riesgo de mantenimiento, divergencias futuras y defectos repetidos.
Análisis de complejidad cognitiva, mantenibilidad, code smells y deuda técnica para priorizar refactorizaciones con impacto.
Diferenciación entre baja cobertura aceptable en prototipos y baja cobertura peligrosa en módulos críticos o regulados.
Integración de cobertura en quality gate sin exigir porcentajes idénticos para todos los tipos de proyecto.
Revisión de gaps de test en pull requests antes de merge para evitar deuda de pruebas acumulada.
Preparación de dashboards que combinen cobertura, duplicación, bugs, vulnerabilities y evolución de calidad por sprint o release.
Creación de una política de cobertura gradual por repositorio, lenguaje, criticidad y madurez del equipo.
Tema 18: SonarQube for IDE y feedback temprano al desarrollador
Instalación y configuración de SonarQube for IDE en VS Code, IntelliJ IDEA, Visual Studio, Eclipse u otros entornos soportados.
Uso del modo conectado para sincronizar reglas del proyecto, quality profiles y contexto de SonarQube Cloud en el IDE.
Corrección de problemas mientras se escribe código, reduciendo issues que llegarían tarde al pull request o al pipeline.
Explicación de por qué el análisis en IDE no sustituye el análisis en CI, ya que cada capa cubre momentos y contextos distintos.
Formación de desarrolladores para interpretar mensajes, ejemplos de código, severidad, regla asociada y recomendación de solución.
Integración del IDE en flujos de pair programming, revisión local y aprendizaje de reglas recurrentes.
Gestión de adopción por equipos que usan distintos IDEs, sistemas operativos y lenguajes.
Identificación de falsos positivos o reglas molestas desde el IDE para alimentar revisión de quality profiles.
Configuración de conexión a instancias EU o US cuando la organización trabaja con región específica.
Creación de una guía interna de instalación, conexión y uso diario para reducir fricción en el equipo.
Tema 19: IA en SonarQube Cloud: AI CodeFix, AI Code Assurance y código generado
Comprensión de AI CodeFix como capacidad para sugerir correcciones de algunos issues, teniendo en cuenta que las funciones de IA requieren planes Team o Enterprise.
Activación controlada de AI CodeFix, selección del proveedor LLM cuando proceda y definición de qué proyectos pueden utilizarlo.
Revisión humana de sugerencias generadas por IA para evitar aceptar cambios que arreglan una regla pero rompen comportamiento, estilo o arquitectura.
Uso de AI Code Assurance para marcar proyectos de IA como revisados por SonarQube Cloud y reforzar confianza sobre código asistido por IA.
Comprensión de la autodetección de código generado con GitHub Copilot en proyectos GitHub, donde SonarQube Cloud puede alertar a administradores del proyecto.
Definición de políticas internas sobre código generado por IA: revisión obligatoria, tests mínimos, seguridad, ownership y trazabilidad.
Integración de SonarQube Cloud en flujos donde se usa GitHub Copilot, ChatGPT, Claude, Gemini, Cursor, Windsurf u otros asistentes de desarrollo.
Identificación de riesgos de “AI slop”: código aparentemente correcto, duplicado, inseguro, poco mantenible o desalineado con arquitectura.
Medición de calidad de código asistido por IA frente a código humano usando los mismos estándares de seguridad y mantenibilidad.
Creación de un protocolo de revisión de código generado por IA que combine IDE, PR, quality gate, tests y criterio del equipo.
Tema 20: SonarQube Advanced Security, SCA, SBOM y dependencias
Comprensión de SonarQube Advanced Security como capacidad adicional orientada a cubrir código propio, código generado por IA y dependencias open source.
Revisión de Software Composition Analysis para identificar dependencias, vulnerabilidades asociadas, riesgos de licencias y paquetes maliciosos.
Uso de la vista de dependencias para analizar riesgos de librerías directas y transitivas dentro de proyectos empresariales.
Exportación de SBOM cuando la organización necesita inventario de componentes para compliance, auditoría o gestión de supply chain.
Análisis de contenedores mediante importación de SBOM cuando el flujo requiere revisar composición de imágenes además del código fuente.
Priorización de CVEs según severidad, explotabilidad, alcance del componente, exposición de la aplicación y disponibilidad de actualización.
Gestión de riesgos cuando una dependencia vulnerable no puede actualizarse de inmediato por compatibilidad o impacto funcional.
Integración de SCA con quality gates, tickets, dependabot, renovate, revisión de arquitectura y política de licencias open source.
Revisión de diferencias entre SAST, Advanced SAST, SCA, SBOM y secret scanning para evitar solapar herramientas sin estrategia.
Creación de un flujo de gobierno de dependencias que conecte SonarQube Cloud, AppSec, arquitectura, desarrollo y compliance.
Tema 21: Portfolios, reporting Enterprise y visibilidad ejecutiva
Uso de portfolios en Enterprise para agrupar proyectos y obtener una vista agregada de métricas, riesgos y estado por conjunto de aplicaciones.
Diseño de portfolios por producto, dominio, tribu, área de negocio, criticidad, tecnología o responsable de ingeniería.
Configuración de permisos de portfolio para que dirección, arquitectura, seguridad y equipos técnicos vean la información adecuada.
Revisión de informes Enterprise, incluyendo reportes de seguridad, informes PDF de proyecto o portfolio y vistas agregadas de riesgo.
Análisis de releasability, security, reliability, maintainability, coverage y duplication como lentes de decisión ejecutiva.
Evitación de comparaciones injustas entre equipos con contextos muy distintos, legacy diferente o niveles de criticidad no equivalentes.
Uso de tendencias para medir mejora real, no solo fotografía puntual del estado de calidad.
Preparación de reportes para comités técnicos, auditoría, CISO, CTO, dirección de ingeniería y responsables de producto.
Identificación de proyectos críticos con quality gate fallido, deuda creciente, baja cobertura, vulnerabilidades o ausencia de análisis reciente.
Creación de una política de reporting que convierta métricas en decisiones de inversión, refactorización, formación o revisión de arquitectura.
Tema 22: SSO, SCIM, permisos, grupos y gobierno de acceso
Configuración de SSO en Enterprise con proveedores de identidad compatibles con SAML, aplicando una única fuente de autenticación.
Uso de SCIM y sincronización de grupos cuando la empresa necesita automatizar altas, bajas y pertenencias desde el IdP.
Diseño de grupos por rol: administradores de organización, administradores de proyecto, desarrolladores, seguridad, auditores y viewers.
Aplicación de mínimos privilegios para evitar que usuarios puedan administrar proyectos, quality gates o perfiles sin responsabilidad clara.
Gestión de permisos en organizaciones importadas desde GitHub, GitLab, Bitbucket Cloud o Azure DevOps, alineando identidad y repositorios.
Definición de templates de permisos para nuevos proyectos y organizaciones dentro de una enterprise.
Revisión periódica de usuarios, grupos, permisos heredados y administradores con acceso excesivo.
Control de acceso a portfolios, reportes de seguridad, proyectos privados y datos sensibles de análisis.
Preparación de procedimientos de alta, baja, cambio de equipo y respuesta ante pérdida de acceso o permisos incorrectos.
Documentación del modelo de identidad y permisos para IT, seguridad, desarrollo, auditoría y administradores de SonarQube Cloud.
Tema 23: Administración global, configuración corporativa y onboarding de proyectos
Definición de configuración global de análisis para reducir variaciones innecesarias entre proyectos y equipos.
Creación de plantillas de onboarding que incluyan organización, proyecto, key, quality gate, profile, scanner, coverage, IDE y pipeline.
Configuración de parámetros por organización para aplicar convenciones y reducir trabajo manual en cada repositorio.
Revisión de límites entre configuración global, configuración de proyecto y parámetros definidos en el pipeline.
Preparación de documentación mínima para cada proyecto: stack, scanner, coverage, quality gate, owner, pipeline y excepciones.
Uso de tags, naming y convenciones para facilitar búsquedas, portfolios, reportes y gobierno.
Gestión de proyectos archivados, obsoletos, duplicados o sin análisis reciente para mantener la plataforma limpia.
Incorporación de nuevos equipos mediante sesiones de habilitación, guías rápidas, ejemplos de pipeline y soporte inicial.
Creación de un backlog de adopción por oleadas, priorizando proyectos críticos, equipos maduros o repositorios con riesgo técnico alto.
Medición de onboarding efectivo: repositorios analizados, PRs decorados, IDE conectado, quality gate usado y issues corregidos.
Tema 24: Monorepos, proyectos multi-módulo y arquitecturas complejas
Diseño de análisis para monorepos donde varios servicios, librerías, frontends o aplicaciones comparten un único repositorio.
Decisión entre un único proyecto SonarQube Cloud con análisis agregado o varios proyectos con claves separadas por componente.
Configuración de paths de sources, tests, inclusions, exclusions y reportes de cobertura por módulo.
Gestión de pipelines que solo analizan componentes afectados para optimizar tiempo y coste de ejecución.
Revisión de monorepos con varios lenguajes, build tools, dependencias, test reports y reglas específicas.
Preparación de naming de proyectos que permita ver cada componente con claridad en portfolios y reportes.
Gestión de quality gates diferenciados cuando no todos los componentes tienen la misma criticidad o madurez.
Diagnóstico de errores en monorepos: cobertura mezclada, rutas duplicadas, análisis incompleto o project key reutilizado.
Integración con matrices de CI para analizar servicios en paralelo sin enviar resultados al proyecto equivocado.
Creación de un patrón corporativo de análisis para monorepos que pueda replicarse por equipos de plataforma.
Tema 25: Importación de analizadores externos, linters y ecosistema de calidad
Integración de resultados de analizadores externos cuando la empresa ya usa linters o herramientas especializadas por lenguaje.
Revisión de formatos soportados para importar issues externos y mostrarlos junto a métricas de SonarQube Cloud.
Decisión de cuándo mantener linters independientes, cuándo integrarlos y cuándo eliminar duplicidades que no aportan valor.
Incorporación de herramientas como ESLint, Stylelint, Pylint, Checkstyle u otras según stack y necesidades reales.
Gestión de reglas duplicadas entre SonarQube Cloud y linters externos para evitar ruido y mensajes contradictorios.
Configuración de pipelines donde lint, tests, coverage y Sonar analysis se ejecutan en un orden lógico.
Uso de resultados externos para enriquecer quality gate cuando la política interna requiere reglas no cubiertas nativamente.
Revisión de limitaciones de importación y necesidad de generar reportes en rutas accesibles para el scanner.
Documentación de cada herramienta externa integrada con owner, motivo, reglas, formato, pipeline y relación con Sonar.
Creación de una estrategia de calidad que combine herramientas sin convertir el pipeline en una acumulación de checks sin gobierno.
Tema 26: Gestión de deuda técnica, legacy y estrategia de remediación
Diferenciación entre deuda técnica histórica, deuda nueva, deuda crítica de seguridad, problemas de mantenibilidad y defectos funcionales.
Evaluación de deuda por severidad, criticidad del sistema, frecuencia de cambio, impacto en negocio y esfuerzo de remediación.
Aplicación de Clean as You Code para detener la generación de deuda nueva mientras se planifican remediaciones selectivas del legacy.
Creación de campañas de corrección por regla, módulo, equipo, lenguaje, dominio o riesgo de seguridad.
Priorización de issues en código tocado recientemente, rutas críticas, componentes expuestos y módulos con alta complejidad.
Gestión de accepted issues con fecha de revisión, justificación, responsable y vínculo a decisión técnica o ticket de deuda.
Medición de evolución de deuda para detectar si la calidad mejora, se estanca o empeora pese a los quality gates.
Comunicación de deuda a negocio en términos de riesgo, velocidad de cambio, coste de mantenimiento y exposición a fallos.
Evitación de proyectos “de limpieza” sin criterio, donde se corrige mucho volumen de issues de baja relevancia y se ignoran riesgos graves.
Creación de un plan trimestral de remediación basado en datos de SonarQube Cloud y objetivos técnicos realistas.
Tema 27: Métricas, KPIs y gobierno de calidad por equipos
Definición de métricas útiles para desarrollo: quality gate status, issues nuevos, cobertura en código nuevo, duplicación y vulnerabilidades.
Definición de métricas para dirección técnica: evolución por portfolios, proyectos críticos, deuda, riesgos abiertos y adopción por equipos.
Separación entre métricas accionables y vanity metrics que pueden generar presión sin orientar mejoras concretas.
Diseño de cuadros de mando por equipo, producto, dominio, repositorio y tecnología.
Análisis de tendencias en lugar de evaluar equipos solo por una captura puntual de un dashboard.
Uso de métricas para detectar necesidades de formación, refactorización, revisión de arquitectura, automatización de tests o soporte AppSec.
Definición de objetivos de calidad incrementales que el equipo pueda asumir sin paralizar entregas.
Revisión de comportamientos no deseados: ocultar código con exclusiones, aceptar issues sin análisis o escribir tests de baja calidad solo por cobertura.
Preparación de informes ejecutivos con lectura clara: situación, riesgo, evolución, bloqueos, acciones y responsables.
Creación de un modelo de gobierno donde SonarQube Cloud informa decisiones, pero no sustituye criterio técnico.
Tema 28: Seguridad, privacidad, cumplimiento y gestión de datos en SonarQube Cloud
Revisión de qué datos se envían durante el análisis y qué información queda visible en issues, snippets, reportes, dashboards y comentarios de PR.
Definición de políticas para analizar repositorios sensibles, código propietario, proyectos regulados, datos de cliente o componentes estratégicos.
Selección de región EU o US cuando la organización tiene requisitos de residencia de datos o políticas corporativas específicas.
Control de tokens de análisis, permisos de CI/CD, secretos de organización, service connections y credenciales de plataformas DevOps.
Aplicación de mínimos privilegios en administradores de organización, administradores de proyecto y usuarios de solo lectura.
Revisión de logs, auditoría, accesos y eventos relevantes cuando se trabaja con Enterprise y gobierno corporativo.
Preparación de criterios para uso de IA, SCA, SBOM, análisis de dependencias y datos de terceros dentro del marco de compliance.
Coordinación con DPO, CISO, AppSec, arquitectura e IT cuando SonarQube Cloud se incorpora a procesos críticos de entrega.
Documentación de riesgos: repositorios no autorizados, tokens expuestos, proyectos sin owner, datos mal clasificados y permisos heredados.
Creación de una checklist de seguridad y privacidad previa al onboarding masivo de repositorios.
Tema 29: Operación diaria, troubleshooting y soporte de SonarQube Cloud
Diagnóstico de análisis fallidos revisando scanner logs, pipeline logs, project key, organization, token, región, red y configuración de paths.
Resolución de problemas de cobertura ausente, normalmente relacionados con reportes no generados, rutas incorrectas o ejecución fuera de orden.
Investigación de quality gate inesperadamente fallido, separando issues nuevos, cobertura, duplicación, security review y cambios de perfil.
Revisión de PRs sin decoración por falta de vinculación, permisos, app DevOps, metadata del pipeline o configuración de integración.
Diagnóstico de análisis lentos por tamaño del proyecto, memoria del scanner, monorepo, dependencias o reportes demasiado grandes.
Gestión de incidencias de permisos: usuarios sin acceso, administradores incorrectos, proyectos privados invisibles o grupos no sincronizados.
Preparación de runbooks para fallos habituales por plataforma: GitHub, GitLab, Azure DevOps, Bitbucket, Jenkins u otros CIs.
Revisión de cambios recientes antes de investigar: quality profile, quality gate, scanner version, pipeline, plan, región o permisos DevOps.
Documentación de incidencias con síntoma, causa, logs, corrección, impacto y prevención.
Creación de un proceso de soporte interno para resolver problemas de análisis sin escalar cada incidencia a SonarSource.
Tema 30: Adopción cultural: de herramienta de control a mejora continua
Diseño de una estrategia de adopción que explique a los equipos que SonarQube Cloud ayuda a mejorar calidad, no a castigar desarrolladores.
Preparación de sesiones por perfil: desarrolladores, QA, tech leads, DevOps, AppSec, product owners y dirección técnica.
Creación de guías rápidas sobre cómo interpretar issues, usar el IDE, revisar PRs, corregir problemas y solicitar excepciones.
Identificación de resistencias: miedo a métricas, ruido de reglas, deuda histórica, quality gates demasiado estrictos o falta de tiempo para corregir.
Implantación gradual por equipos piloto antes de aplicar políticas corporativas a todos los repositorios.
Comunicación de quick wins: menos vulnerabilidades, mejor cobertura en código nuevo, menos duplicación y pull requests más limpios.
Revisión periódica de feedback para ajustar perfiles, gates, documentación y soporte interno.
Creación de champions técnicos por equipo que ayuden a resolver dudas y mejorar adopción desde dentro.
Medición de adopción real: IDE conectado, PRs analizados, issues corregidos, quality gates usados y deuda nueva controlada.
Construcción de una cultura donde calidad, seguridad y mantenibilidad forman parte del desarrollo normal y no de una auditoría final.
Tema 31: Proyecto final integrador: implantación empresarial de SonarQube Cloud
Definición de una empresa ficticia o real autorizada con varias aplicaciones, plataformas DevOps, lenguajes, equipos, criticidad y política de calidad.
Creación de una organización SonarQube Cloud y vinculación con GitHub, GitLab, Bitbucket Cloud o Azure DevOps según el escenario elegido.
Importación de proyectos, definición de project keys, permisos, responsables, tags, quality gate inicial y quality profiles por lenguaje.
Configuración de análisis CI/CD para al menos dos stacks distintos, incorporando build, tests, cobertura y envío de resultados.
Activación de pull request analysis, decoration y bloqueo de merge cuando el quality gate no se cumple.
Configuración de SonarQube for IDE en modo conectado para detectar issues antes de abrir el pull request.
Ajuste de new code definition, exclusiones justificadas, reportes de cobertura, duplicación y reglas relevantes por proyecto.
Revisión de issues, vulnerabilities, security hotspots, secretos y deuda técnica para crear un plan de remediación priorizado.
Diseño de reporting para equipo técnico y dirección: proyectos críticos, quality gates, tendencias, portfolios, riesgos y próximos pasos.
Presentación final con arquitectura de integración, decisiones, riesgos, política de calidad, gobierno, adopción, métricas y hoja de ruta.
Una plataforma practica, con IA integrada y pensada para que mejores desarrollando. Se adapta a tu ritmo, te corrige al instante y te muestra tu progreso real.
Correccion magica
Feedback inteligente
Aprende de cada acierto y fallo con explicaciones claras
Comprensión de SonarQube Cloud como solución SaaS para análisis continuo de calidad, seguridad, fiabilidad, mantenibilidad, cobertura, duplicación y deuda técnica.
Diferenciación entre SonarQube Cloud, SonarQube Server, SonarQube Community Build y SonarQube for IDE para elegir correctamente según necesidad corporativa.
Revisión del valor de SonarQube Cloud frente a revisiones manuales aisladas, linters locales sin gobierno o análisis de código ejecutados sin trazabilidad.
Identificación de casos empresariales donde aporta más valor: pull requests, release gates, auditoría técnica, reducción de deuda, control AppSec y DevSecOps.
Análisis de problemas habituales que la herramienta ayuda a detectar: bugs, code smells, vulnerabilidades, security hotspots, duplicados y cobertura insuficiente.
Comprensión de la diferencia entre medir calidad y mejorar calidad, evitando que los dashboards se conviertan en un elemento decorativo.
Revisión del papel de SonarQube Cloud en el ciclo de vida: IDE, pull request, CI/CD, ramas principales, release y seguimiento por portfolio.
Identificación de riesgos de adopción: quality gates mal diseñados, reglas no consensuadas, falsos positivos mal gestionados o métricas usadas para culpar.
Definición de un modelo de adopción progresivo: piloto, estándares iniciales, integración CI, formación, gobierno, reporting y mejora continua.
Creación de una visión común para desarrollo, QA, DevOps, seguridad y dirección técnica sobre qué debe resolver SonarQube Cloud.
Comprensión de SonarQube Cloud como solución SaaS para análisis continuo de calidad, seguridad, fiabilidad, mantenibilidad, cobertura, duplicación y deuda técnica.
Diferenciación entre SonarQube Cloud, SonarQube Server, SonarQube Community Build y SonarQube for IDE para elegir correctamente según necesidad corporativa.
Revisión del valor de SonarQube Cloud frente a revisiones manuales aisladas, linters locales sin gobierno o análisis de código ejecutados sin trazabilidad.
Identificación de casos empresariales donde aporta más valor: pull requests, release gates, auditoría técnica, reducción de deuda, control AppSec y DevSecOps.
Análisis de problemas habituales que la herramienta ayuda a detectar: bugs, code smells, vulnerabilidades, security hotspots, duplicados y cobertura insuficiente.
Comprensión de la diferencia entre medir calidad y mejorar calidad, evitando que los dashboards se conviertan en un elemento decorativo.
Revisión del papel de SonarQube Cloud en el ciclo de vida: IDE, pull request, CI/CD, ramas principales, release y seguimiento por portfolio.
Identificación de riesgos de adopción: quality gates mal diseñados, reglas no consensuadas, falsos positivos mal gestionados o métricas usadas para culpar.
Definición de un modelo de adopción progresivo: piloto, estándares iniciales, integración CI, formación, gobierno, reporting y mejora continua.
Creación de una visión común para desarrollo, QA, DevOps, seguridad y dirección técnica sobre qué debe resolver SonarQube Cloud.
Tema 1: SonarQube Cloud como plataforma SaaS de calidad y seguridad de código
Comprensión de SonarQube Cloud como solución SaaS para análisis continuo de calidad, seguridad, fiabilidad, mantenibilidad, cobertura, duplicación y deuda técnica.
Diferenciación entre SonarQube Cloud, SonarQube Server, SonarQube Community Build y SonarQube for IDE para elegir correctamente según necesidad corporativa.
Revisión del valor de SonarQube Cloud frente a revisiones manuales aisladas, linters locales sin gobierno o análisis de código ejecutados sin trazabilidad.
Identificación de casos empresariales donde aporta más valor: pull requests, release gates, auditoría técnica, reducción de deuda, control AppSec y DevSecOps.
Análisis de problemas habituales que la herramienta ayuda a detectar: bugs, code smells, vulnerabilidades, security hotspots, duplicados y cobertura insuficiente.
Comprensión de la diferencia entre medir calidad y mejorar calidad, evitando que los dashboards se conviertan en un elemento decorativo.
Revisión del papel de SonarQube Cloud en el ciclo de vida: IDE, pull request, CI/CD, ramas principales, release y seguimiento por portfolio.
Identificación de riesgos de adopción: quality gates mal diseñados, reglas no consensuadas, falsos positivos mal gestionados o métricas usadas para culpar.
Definición de un modelo de adopción progresivo: piloto, estándares iniciales, integración CI, formación, gobierno, reporting y mejora continua.
Creación de una visión común para desarrollo, QA, DevOps, seguridad y dirección técnica sobre qué debe resolver SonarQube Cloud.
Tema 2: Planes, licencias, regiones y decisiones iniciales de implantación
Revisión de los planes actuales de SonarQube Cloud, incluyendo Free, Team, Enterprise y OSS, entendiendo que las capacidades varían por plan y tipo de organización.
Análisis de qué funcionalidades pueden condicionar el plan: repositorios privados, branch analysis, pull request analysis, SSO, SCIM, portfolios, reportes e IA.
Comprensión del modelo por organización, donde cada organización de SonarQube Cloud se asocia a una suscripción y a una estructura DevOps concreta.
Evaluación de cuándo Team es suficiente y cuándo Enterprise aporta valor por SSO, SCIM, jerarquía enterprise, portfolios y reporting agregado.
Revisión de la existencia de instancias EU y US, teniendo en cuenta que los datos no se pueden mover ni compartir entre ambas regiones según la documentación actual.
Selección de región según residencia de datos, compliance, plataformas DevOps, disponibilidad de funcionalidades y política interna de seguridad.
Definición de responsables de suscripción, billing, administración, permisos, integración DevOps y gobierno técnico.
Preparación de un checklist previo a la implantación: plan, región, organizaciones, repositorios, permisos, SSO, naming y política de calidad.
Evaluación de limitaciones del plan Free para empresas que requieren control avanzado sobre pull requests, ramas, usuarios o repositorios privados.
Documentación de decisiones iniciales para evitar cambios costosos cuando ya existen proyectos, repositorios, usuarios y pipelines conectados.
Tema 3: Estructura de organizaciones, proyectos y vinculación con DevOps platforms
Configuración de organizaciones en SonarQube Cloud alineadas con GitHub, GitLab, Bitbucket Cloud o Azure DevOps.
Comprensión de la vinculación entre organización/proyecto de SonarQube Cloud y organización/repositorio en la plataforma DevOps.
Importación de repositorios desde la plataforma DevOps para crear proyectos de análisis con relación uno a uno cuando aplique.
Diferenciación entre proyectos importados y proyectos manuales, especialmente cuando se usan parámetros como `sonar.projectKey` y `sonar.organization`.
Diseño de convenciones de nombres para organizaciones, proyectos, monorepos, ramas, componentes y portfolios.
Gestión de repositorios activos, archivados, experimentales, legacy, críticos y externos dentro de la estructura de SonarQube Cloud.
Preparación de permisos para que los equipos puedan ver, administrar o analizar solo los proyectos que les corresponden.
Identificación de problemas típicos: repositorios no vinculados, proyectos duplicados, claves inconsistentes o análisis enviados al proyecto equivocado.
Creación de una estrategia de onboarding de nuevos repositorios que incluya configuración CI, quality gate, permisos, IDE y documentación mínima.
Documentación de la estructura organizativa para que plataforma, seguridad y equipos de desarrollo trabajen con un mapa claro.
Tema 4: Análisis automático frente a análisis basado en CI/CD
Diferenciación entre automatic analysis y CI-based analysis para seleccionar el método adecuado por repositorio, lenguaje, plataforma y complejidad del build.
Comprensión de que el análisis en CI ejecuta el SonarScanner en el host de build y envía resultados a SonarQube Cloud para cálculo del quality gate.
Evaluación de automatic analysis para escenarios sencillos donde la plataforma puede acceder al repositorio y ejecutar el análisis sin pipeline complejo.
Identificación de casos donde CI-based analysis es obligatorio o recomendable: builds compilados, cobertura, monorepos, lenguajes específicos o pipelines corporativos.
Configuración de parámetros básicos de análisis: project key, organization, sources, tests, exclusions, coverage reports, branch y pull request metadata.
Preparación de tokens y secretos en CI/CD sin exponerlos en logs, commits, variables no protegidas o entornos no autorizados.
Revisión de cómo el análisis debe ejecutarse en el momento correcto del pipeline, después de compilar y generar reportes necesarios.
Diagnóstico de fallos de análisis: token inválido, proyecto mal configurado, lenguaje no detectado, cobertura ausente o scanner desactualizado.
Definición de una política de análisis por repositorio: push, pull request, ramas principales, nightly, release o monorepo selectivo.
Creación de una matriz para decidir método de análisis según tecnología, plataforma DevOps, criticidad y madurez del pipeline.
Tema 5: Integración con GitHub, pull requests y GitHub Actions
Conexión de SonarQube Cloud con organizaciones y repositorios GitHub mediante importación y vinculación controlada.
Configuración de análisis en GitHub Actions con secretos, tokens, permisos mínimos, checkout correcto y ejecución en ramas relevantes.
Activación de pull request analysis para que cada cambio sea evaluado antes del merge y se muestre en el contexto del PR.
Uso de pull request decoration para mostrar quality gate, issues y resumen de análisis dentro de GitHub, reduciendo cambios de contexto.
Configuración de branch protection rules para impedir merges cuando el quality gate falla, aplicando control sin depender de revisión manual.
Revisión de análisis de forks, repositorios privados, monorepos, matrices de build y escenarios con varios lenguajes.
Incorporación de cobertura, tests y build previo al análisis para evitar resultados incompletos o engañosos.
Diagnóstico de fallos habituales: permisos de GitHub App, secreto ausente, token sin acceso, rama no detectada o quality gate no reportado.
Integración con SonarQube for IDE para que el desarrollador vea problemas antes de abrir el pull request.
Documentación de una plantilla corporativa de workflow GitHub Actions con análisis, quality gate y buenas prácticas de seguridad.
Tema 6: Integración con GitLab CI/CD
Configuración de proyectos vinculados con GitLab para analizar ramas, merge requests y main branches con SonarQube Cloud.
Preparación de `.gitlab-ci.yml` con stages adecuados, cache, variables protegidas, token de análisis y ejecución del scanner correspondiente.
Uso de merge request decoration para que los resultados de calidad y seguridad sean visibles durante la revisión de código.
Ajuste de pipelines para no analizar innecesariamente cada job cuando basta un análisis consolidado tras build y tests.
Configuración de análisis para proyectos monorepo o multi-módulo donde varias aplicaciones conviven en el mismo repositorio.
Incorporación de coverage reports generados por el framework de pruebas antes de lanzar el análisis Sonar.
Protección de variables CI/CD, ramas protegidas y tokens para evitar que forks o ramas no confiables accedan a secretos.
Revisión de errores típicos: variable no disponible en merge request, rama protegida, scanner sin caché o proyecto key incorrecto.
Definición de un patrón de integración GitLab reutilizable por equipos con lenguajes y stacks distintos.
Documentación del flujo de calidad en GitLab: commit, pipeline, análisis, merge request, quality gate, aprobación y merge.
Tema 7: Integración con Azure DevOps y Azure Pipelines
Creación de service connection entre Azure DevOps y SonarQube Cloud usando el token correspondiente y seleccionando región cuando proceda.
Configuración de análisis en Azure Pipelines para proyectos .NET, Maven, Gradle, C/C++ y otros stacks mediante tareas o scanner adecuado.
Uso de las tareas de preparación, análisis y publicación del quality gate para que el pipeline muestre el resultado de forma visible.
Integración de pull request analysis y pull request decoration para que el equipo revise issues antes de completar el PR.
Preparación de pipelines YAML reutilizables con templates, variables, stages y condiciones de ejecución por rama o pull request.
Incorporación de cobertura .NET, JavaScript, Java u otros lenguajes mediante reportes compatibles con el scanner.
Configuración de quality gate check en release pipeline cuando la empresa necesita bloquear promoción de artefactos.
Diagnóstico de errores: service connection incorrecta, región mal configurada, extensión desactualizada, cobertura no encontrada o build incompleto.
Revisión de permisos entre organización Azure DevOps, proyecto, repositorio, pipeline y proyecto SonarQube Cloud.
Creación de un estándar corporativo para integrar SonarQube Cloud en Azure DevOps sin depender de configuraciones manuales por equipo.
Tema 8: Integración con Bitbucket Cloud, Jenkins y otros sistemas CI
Configuración de análisis en Bitbucket Pipelines usando pipes oficiales cuando el tipo de proyecto lo permite y scanner específico cuando no.
Revisión de límites de las pipes de Bitbucket para proyectos Maven, Gradle, .NET o C/C++, que pueden requerir integración específica.
Preparación de análisis en Jenkins mediante credenciales protegidas, stages de build, tests, scanner y quality gate check.
Integración con CircleCI, Amazon CodeCatalyst, Codemagic u otros CIs mediante SonarScanner CLI o herramientas específicas.
Diseño de pipelines que generen artefactos, cobertura y análisis en el orden correcto para evitar resultados incompletos.
Gestión de tokens por plataforma CI, evitando reutilizar credenciales personales o exponer secretos a ramas no confiables.
Configuración de entornos con runners autoalojados, agentes corporativos, proxies o restricciones de red.
Diagnóstico de problemas de conectividad hacia SonarQube Cloud desde CI, incluyendo proxy, firewall, DNS, región o TLS.
Creación de patrones genéricos para stacks no cubiertos por integraciones directas mediante SonarScanner CLI.
Documentación de integraciones por plataforma con variables, secretos, comandos, condiciones, calidad esperada y owner.
Tema 9: SonarScanners, parámetros de análisis y configuración por lenguaje
Revisión de los SonarScanners disponibles para Maven, Gradle, .NET, NPM, Python y SonarScanner CLI, seleccionando el adecuado por proyecto.
Configuración de `sonar-project.properties` cuando se requiere control explícito sobre sources, tests, exclusions, coverage y parámetros avanzados.
Ajuste de análisis para proyectos Java, .NET, JavaScript, TypeScript, Python, Go, PHP, C/C++ y otros lenguajes utilizados en la empresa.
Comprensión de que SonarQube Cloud soporta reporte de cobertura, pero normalmente necesita herramientas externas que generen esos informes.
Configuración de reportes de cobertura como JaCoCo, lcov, coverage.py, OpenCover, cobertura .NET u otros formatos admitidos.
Exclusión razonada de código generado, carpetas vendor, dist, build, test fixtures o archivos no relevantes para calidad del producto.
Análisis de monorepos con varios proyectos Sonar, varios scanners, claves diferenciadas y rutas de inclusión/exclusión controladas.
Gestión de builds compilados donde el análisis necesita información del compilador, dependencias y contexto del proyecto.
Diagnóstico de errores de scanner: memoria, versión incompatible, paths incorrectos, reportes no encontrados o encoding problemático.
Creación de una guía interna por stack tecnológico con comandos, parámetros, reportes, cobertura y errores frecuentes.
Tema 10: Quality gates: criterios de liberación y control de merges
Comprensión del quality gate como conjunto de condiciones sobre métricas de calidad que determinan si el proyecto supera la política definida.
Diseño de quality gates orientados al código nuevo para evitar bloquear equipos por deuda histórica inabordable desde el primer día.
Definición de condiciones sobre reliability, security, maintainability, coverage, duplications y security review con criterios realistas.
Diferenciación entre quality gate para pull request, branch principal, release branch y portfolio de proyectos.
Configuración de quality gates por organización o proyecto, evitando reglas demasiado laxas o demasiado duras para la madurez del equipo.
Integración del estado del quality gate en CI/CD para bloquear merge, despliegue o promoción de artefactos cuando proceda.
Revisión de excepciones justificadas cuando un quality gate falla por un motivo aceptado y documentado por arquitectura o negocio.
Análisis de falsos incentivos: subir cobertura sin pruebas útiles, ocultar issues mediante exclusiones o cerrar problemas sin corregir.
Seguimiento de evolución de quality gates para medir si la política ayuda a mejorar calidad o solo genera fricción.
Creación de un quality gate corporativo inicial y una hoja de ruta para endurecerlo progresivamente.
Tema 11: Quality profiles, reglas y estándares por lenguaje
Comprensión del quality profile como conjunto de reglas aplicadas durante el análisis para un lenguaje concreto.
Revisión de reglas por lenguaje, severidad, tipo de issue, impacto, deuda estimada y relación con prácticas de desarrollo.
Decisión entre usar perfiles recomendados por Sonar o crear perfiles corporativos adaptados a tecnología, criticidad y madurez.
Activación, desactivación o ajuste de reglas con criterio técnico, evitando modificar perfiles solo para “pasar el semáforo”.
Gestión de perfiles distintos para stacks diferentes, como backend Java, .NET, frontend TypeScript, Python, mobile o legacy.
Revisión de reglas que generan ruido en contextos concretos y documentación de excepciones con motivo y owner.
Alineación de quality profiles con estándares internos de arquitectura, seguridad, clean code y revisiones de código.
Control de cambios en perfiles para evitar que una modificación global afecte inesperadamente a decenas de proyectos.
Seguimiento de impacto al cambiar reglas: issues nuevos, deuda estimada, quality gate, aceptación del equipo y falsos positivos.
Creación de un proceso de gobierno de reglas con revisión periódica, pilotos, comunicación y documentación.
Tema 12: Clean as You Code y gestión de new code
Comprensión de Clean as You Code como estrategia para asegurar que el código nuevo cumple estándares aunque exista deuda histórica.
Configuración de new code definition según rama de referencia, número de días, versión anterior o estrategia de release.
Aplicación de criterios de calidad sobre código nuevo para que cada pull request mejore o al menos no degrade el producto.
Separación entre deuda heredada, issues nuevos, issues modificados y problemas reintroducidos para priorizar el trabajo realista.
Revisión de cómo el enfoque de new code evita bloqueos por legacy y centra la conversación en responsabilidad sobre cambios actuales.
Integración de Clean as You Code en Definition of Done, pull requests, quality gate y revisiones técnicas.
Identificación de situaciones donde la new code definition mal configurada distorsiona resultados o crea falsas expectativas.
Diseño de una estrategia para productos legacy: baseline inicial, no empeorar, corregir lo tocado y planificar deuda crítica por riesgo.
Comunicación a equipos de que SonarQube Cloud no exige arreglar todo el pasado, sino proteger cada cambio nuevo.
Creación de un plan de adopción Clean as You Code por repositorio, rama, equipo y release.
Tema 13: Pull request analysis, decoration y revisión colaborativa
Configuración de pull request analysis para revisar cambios cuando se abre el PR y cada vez que se empuja código nuevo.
Uso de pull request decoration para mostrar issues, quality gate y resumen directamente en GitHub, GitLab, Bitbucket Cloud o Azure DevOps.
Configuración del bloqueo de merge cuando el quality gate falla, aplicándolo con criterios acordados y no como sorpresa al final del sprint.
Revisión de issues en el contexto del diff, diferenciando problemas nuevos, problemas existentes y cambios que no pertenecen al PR.
Integración de SonarQube Cloud en la dinámica de code review, evitando que la herramienta sustituya la revisión humana de arquitectura o negocio.
Gestión de comentarios de PR para que el equipo no ignore avisos relevantes ni discuta cada issue sin criterio.
Identificación de problemas que no siempre se detectan en IDE y aparecen al analizar el contexto completo del pull request.
Uso de quality gate como criterio de merge junto a tests, revisión de código, aprobación funcional y cumplimiento de Definition of Done.
Diagnóstico de PRs sin decoración: proyecto no vinculado, token incorrecto, permisos de app, metadatos ausentes o pipeline no ejecutado.
Creación de una política de pull request quality que incluya quién corrige, quién aprueba excepciones y cómo se documentan desviaciones.
Tema 14: Issues, severidad, tipos de problema y flujo de corrección
Interpretación de issues por tipo: bug, vulnerability, code smell, security hotspot y otros indicadores según configuración y lenguaje.
Revisión de severidades y prioridades para decidir qué debe corregirse de inmediato, qué puede planificarse y qué necesita análisis contextual.
Comprensión de deuda técnica estimada como ayuda para dimensionar esfuerzo, no como métrica exacta de coste real.
Uso de filtros por proyecto, rama, autor, regla, severidad, fecha, código nuevo o estado para priorizar trabajo.
Gestión del ciclo de vida de issues: open, accepted, false positive, fixed, reopened y decisiones justificadas.
Documentación de falsos positivos y accepted issues con criterio, evitando que se conviertan en vía rápida para ignorar problemas.
Asignación de issues a responsables técnicos cuando se requiere corrección, análisis de arquitectura o decisión de equipo.
Revisión de reglas con alto volumen de issues para decidir si hay problema de código, regla mal ajustada o necesidad de formación.
Uso de etiquetas internas o conventions para agrupar remediaciones por sprint, área, riesgo o iniciativa técnica.
Creación de un proceso de triage de issues que reduzca ruido y aumente foco en problemas con impacto real.
Tema 15: Seguridad: vulnerabilidades, security hotspots y DevSecOps
Diferenciación entre vulnerabilities y security hotspots, entendiendo que algunos hallazgos requieren revisión manual de contexto antes de decidir.
Interpretación de flujos de datos, fuentes, sinks, sanitización, validación y patrones típicos de vulnerabilidad detectados por análisis estático.
Revisión de categorías de seguridad relevantes: inyección, control de acceso, criptografía, exposición de datos, SSRF, XSS o manejo inseguro.
Priorización de problemas de seguridad según severidad, explotabilidad, criticidad del componente, exposición externa y datos tratados.
Integración del análisis de seguridad en pull requests para corregir antes de que el código llegue a ramas principales.
Gestión de accepted security issues con justificación, owner, revisión periódica y vinculación a riesgo aceptado.
Uso de reportes de seguridad en planes Enterprise para entregar visibilidad a AppSec, compliance y dirección técnica.
Coordinación entre desarrollo y seguridad para evitar que SonarQube Cloud sea visto como auditoría tardía en lugar de feedback temprano.
Preparación de playbooks de remediación para vulnerabilidades recurrentes por lenguaje, framework o patrón arquitectónico.
Creación de un flujo DevSecOps donde quality gate, revisión AppSec, ticketing y priorización trabajen de forma coordinada.
Tema 16: Secrets detection y prevención de fugas de credenciales
Comprensión del riesgo de exponer tokens, passwords, API keys, claves privadas, credenciales cloud o connection strings dentro del repositorio.
Revisión de cómo SonarQube Cloud puede ayudar a detectar secretos en código y cómo integrarlo en un flujo de corrección rápido.
Priorización de secretos por impacto: credenciales productivas, claves cloud, tokens de CI, credenciales de base de datos o claves de terceros.
Diseño de respuesta ante secreto detectado: revocación, rotación, análisis de exposición, limpieza de historial y comunicación a seguridad.
Evitación de falsos hábitos peligrosos como “solo es un entorno de prueba” o “el repositorio es privado”.
Integración con políticas de gestión de secretos, vaults, variables CI/CD protegidas y revisión de pull requests.
Configuración de exclusiones con mucho cuidado para no ocultar patrones reales de fuga de credenciales.
Formación a desarrolladores sobre cómo sustituir secretos hardcodeados por variables, gestores de secretos o configuración segura.
Seguimiento de métricas de secretos detectados para identificar equipos o repositorios con prácticas de configuración débiles.
Creación de un protocolo corporativo de secret scanning conectado con SonarQube Cloud, DevOps, seguridad y respuesta a incidentes.
Tema 17: Cobertura, tests, duplicación y métricas de mantenibilidad
Configuración de reportes de cobertura generados por herramientas externas y enviados al análisis para que SonarQube Cloud los muestre en el dashboard.
Interpretación de cobertura en código nuevo, cobertura global, líneas no cubiertas y condiciones no cubiertas con criterio técnico.
Evitación de políticas de cobertura que incentivan tests superficiales sin validar comportamiento relevante.
Revisión de duplicación de código como indicador de riesgo de mantenimiento, divergencias futuras y defectos repetidos.
Análisis de complejidad cognitiva, mantenibilidad, code smells y deuda técnica para priorizar refactorizaciones con impacto.
Diferenciación entre baja cobertura aceptable en prototipos y baja cobertura peligrosa en módulos críticos o regulados.
Integración de cobertura en quality gate sin exigir porcentajes idénticos para todos los tipos de proyecto.
Revisión de gaps de test en pull requests antes de merge para evitar deuda de pruebas acumulada.
Preparación de dashboards que combinen cobertura, duplicación, bugs, vulnerabilities y evolución de calidad por sprint o release.
Creación de una política de cobertura gradual por repositorio, lenguaje, criticidad y madurez del equipo.
Tema 18: SonarQube for IDE y feedback temprano al desarrollador
Instalación y configuración de SonarQube for IDE en VS Code, IntelliJ IDEA, Visual Studio, Eclipse u otros entornos soportados.
Uso del modo conectado para sincronizar reglas del proyecto, quality profiles y contexto de SonarQube Cloud en el IDE.
Corrección de problemas mientras se escribe código, reduciendo issues que llegarían tarde al pull request o al pipeline.
Explicación de por qué el análisis en IDE no sustituye el análisis en CI, ya que cada capa cubre momentos y contextos distintos.
Formación de desarrolladores para interpretar mensajes, ejemplos de código, severidad, regla asociada y recomendación de solución.
Integración del IDE en flujos de pair programming, revisión local y aprendizaje de reglas recurrentes.
Gestión de adopción por equipos que usan distintos IDEs, sistemas operativos y lenguajes.
Identificación de falsos positivos o reglas molestas desde el IDE para alimentar revisión de quality profiles.
Configuración de conexión a instancias EU o US cuando la organización trabaja con región específica.
Creación de una guía interna de instalación, conexión y uso diario para reducir fricción en el equipo.
Tema 19: IA en SonarQube Cloud: AI CodeFix, AI Code Assurance y código generado
Comprensión de AI CodeFix como capacidad para sugerir correcciones de algunos issues, teniendo en cuenta que las funciones de IA requieren planes Team o Enterprise.
Activación controlada de AI CodeFix, selección del proveedor LLM cuando proceda y definición de qué proyectos pueden utilizarlo.
Revisión humana de sugerencias generadas por IA para evitar aceptar cambios que arreglan una regla pero rompen comportamiento, estilo o arquitectura.
Uso de AI Code Assurance para marcar proyectos de IA como revisados por SonarQube Cloud y reforzar confianza sobre código asistido por IA.
Comprensión de la autodetección de código generado con GitHub Copilot en proyectos GitHub, donde SonarQube Cloud puede alertar a administradores del proyecto.
Definición de políticas internas sobre código generado por IA: revisión obligatoria, tests mínimos, seguridad, ownership y trazabilidad.
Integración de SonarQube Cloud en flujos donde se usa GitHub Copilot, ChatGPT, Claude, Gemini, Cursor, Windsurf u otros asistentes de desarrollo.
Identificación de riesgos de “AI slop”: código aparentemente correcto, duplicado, inseguro, poco mantenible o desalineado con arquitectura.
Medición de calidad de código asistido por IA frente a código humano usando los mismos estándares de seguridad y mantenibilidad.
Creación de un protocolo de revisión de código generado por IA que combine IDE, PR, quality gate, tests y criterio del equipo.
Tema 20: SonarQube Advanced Security, SCA, SBOM y dependencias
Comprensión de SonarQube Advanced Security como capacidad adicional orientada a cubrir código propio, código generado por IA y dependencias open source.
Revisión de Software Composition Analysis para identificar dependencias, vulnerabilidades asociadas, riesgos de licencias y paquetes maliciosos.
Uso de la vista de dependencias para analizar riesgos de librerías directas y transitivas dentro de proyectos empresariales.
Exportación de SBOM cuando la organización necesita inventario de componentes para compliance, auditoría o gestión de supply chain.
Análisis de contenedores mediante importación de SBOM cuando el flujo requiere revisar composición de imágenes además del código fuente.
Priorización de CVEs según severidad, explotabilidad, alcance del componente, exposición de la aplicación y disponibilidad de actualización.
Gestión de riesgos cuando una dependencia vulnerable no puede actualizarse de inmediato por compatibilidad o impacto funcional.
Integración de SCA con quality gates, tickets, dependabot, renovate, revisión de arquitectura y política de licencias open source.
Revisión de diferencias entre SAST, Advanced SAST, SCA, SBOM y secret scanning para evitar solapar herramientas sin estrategia.
Creación de un flujo de gobierno de dependencias que conecte SonarQube Cloud, AppSec, arquitectura, desarrollo y compliance.
Tema 21: Portfolios, reporting Enterprise y visibilidad ejecutiva
Uso de portfolios en Enterprise para agrupar proyectos y obtener una vista agregada de métricas, riesgos y estado por conjunto de aplicaciones.
Diseño de portfolios por producto, dominio, tribu, área de negocio, criticidad, tecnología o responsable de ingeniería.
Configuración de permisos de portfolio para que dirección, arquitectura, seguridad y equipos técnicos vean la información adecuada.
Revisión de informes Enterprise, incluyendo reportes de seguridad, informes PDF de proyecto o portfolio y vistas agregadas de riesgo.
Análisis de releasability, security, reliability, maintainability, coverage y duplication como lentes de decisión ejecutiva.
Evitación de comparaciones injustas entre equipos con contextos muy distintos, legacy diferente o niveles de criticidad no equivalentes.
Uso de tendencias para medir mejora real, no solo fotografía puntual del estado de calidad.
Preparación de reportes para comités técnicos, auditoría, CISO, CTO, dirección de ingeniería y responsables de producto.
Identificación de proyectos críticos con quality gate fallido, deuda creciente, baja cobertura, vulnerabilidades o ausencia de análisis reciente.
Creación de una política de reporting que convierta métricas en decisiones de inversión, refactorización, formación o revisión de arquitectura.
Tema 22: SSO, SCIM, permisos, grupos y gobierno de acceso
Configuración de SSO en Enterprise con proveedores de identidad compatibles con SAML, aplicando una única fuente de autenticación.
Uso de SCIM y sincronización de grupos cuando la empresa necesita automatizar altas, bajas y pertenencias desde el IdP.
Diseño de grupos por rol: administradores de organización, administradores de proyecto, desarrolladores, seguridad, auditores y viewers.
Aplicación de mínimos privilegios para evitar que usuarios puedan administrar proyectos, quality gates o perfiles sin responsabilidad clara.
Gestión de permisos en organizaciones importadas desde GitHub, GitLab, Bitbucket Cloud o Azure DevOps, alineando identidad y repositorios.
Definición de templates de permisos para nuevos proyectos y organizaciones dentro de una enterprise.
Revisión periódica de usuarios, grupos, permisos heredados y administradores con acceso excesivo.
Control de acceso a portfolios, reportes de seguridad, proyectos privados y datos sensibles de análisis.
Preparación de procedimientos de alta, baja, cambio de equipo y respuesta ante pérdida de acceso o permisos incorrectos.
Documentación del modelo de identidad y permisos para IT, seguridad, desarrollo, auditoría y administradores de SonarQube Cloud.
Tema 23: Administración global, configuración corporativa y onboarding de proyectos
Definición de configuración global de análisis para reducir variaciones innecesarias entre proyectos y equipos.
Creación de plantillas de onboarding que incluyan organización, proyecto, key, quality gate, profile, scanner, coverage, IDE y pipeline.
Configuración de parámetros por organización para aplicar convenciones y reducir trabajo manual en cada repositorio.
Revisión de límites entre configuración global, configuración de proyecto y parámetros definidos en el pipeline.
Preparación de documentación mínima para cada proyecto: stack, scanner, coverage, quality gate, owner, pipeline y excepciones.
Uso de tags, naming y convenciones para facilitar búsquedas, portfolios, reportes y gobierno.
Gestión de proyectos archivados, obsoletos, duplicados o sin análisis reciente para mantener la plataforma limpia.
Incorporación de nuevos equipos mediante sesiones de habilitación, guías rápidas, ejemplos de pipeline y soporte inicial.
Creación de un backlog de adopción por oleadas, priorizando proyectos críticos, equipos maduros o repositorios con riesgo técnico alto.
Medición de onboarding efectivo: repositorios analizados, PRs decorados, IDE conectado, quality gate usado y issues corregidos.
Tema 24: Monorepos, proyectos multi-módulo y arquitecturas complejas
Diseño de análisis para monorepos donde varios servicios, librerías, frontends o aplicaciones comparten un único repositorio.
Decisión entre un único proyecto SonarQube Cloud con análisis agregado o varios proyectos con claves separadas por componente.
Configuración de paths de sources, tests, inclusions, exclusions y reportes de cobertura por módulo.
Gestión de pipelines que solo analizan componentes afectados para optimizar tiempo y coste de ejecución.
Revisión de monorepos con varios lenguajes, build tools, dependencias, test reports y reglas específicas.
Preparación de naming de proyectos que permita ver cada componente con claridad en portfolios y reportes.
Gestión de quality gates diferenciados cuando no todos los componentes tienen la misma criticidad o madurez.
Diagnóstico de errores en monorepos: cobertura mezclada, rutas duplicadas, análisis incompleto o project key reutilizado.
Integración con matrices de CI para analizar servicios en paralelo sin enviar resultados al proyecto equivocado.
Creación de un patrón corporativo de análisis para monorepos que pueda replicarse por equipos de plataforma.
Tema 25: Importación de analizadores externos, linters y ecosistema de calidad
Integración de resultados de analizadores externos cuando la empresa ya usa linters o herramientas especializadas por lenguaje.
Revisión de formatos soportados para importar issues externos y mostrarlos junto a métricas de SonarQube Cloud.
Decisión de cuándo mantener linters independientes, cuándo integrarlos y cuándo eliminar duplicidades que no aportan valor.
Incorporación de herramientas como ESLint, Stylelint, Pylint, Checkstyle u otras según stack y necesidades reales.
Gestión de reglas duplicadas entre SonarQube Cloud y linters externos para evitar ruido y mensajes contradictorios.
Configuración de pipelines donde lint, tests, coverage y Sonar analysis se ejecutan en un orden lógico.
Uso de resultados externos para enriquecer quality gate cuando la política interna requiere reglas no cubiertas nativamente.
Revisión de limitaciones de importación y necesidad de generar reportes en rutas accesibles para el scanner.
Documentación de cada herramienta externa integrada con owner, motivo, reglas, formato, pipeline y relación con Sonar.
Creación de una estrategia de calidad que combine herramientas sin convertir el pipeline en una acumulación de checks sin gobierno.
Tema 26: Gestión de deuda técnica, legacy y estrategia de remediación
Diferenciación entre deuda técnica histórica, deuda nueva, deuda crítica de seguridad, problemas de mantenibilidad y defectos funcionales.
Evaluación de deuda por severidad, criticidad del sistema, frecuencia de cambio, impacto en negocio y esfuerzo de remediación.
Aplicación de Clean as You Code para detener la generación de deuda nueva mientras se planifican remediaciones selectivas del legacy.
Creación de campañas de corrección por regla, módulo, equipo, lenguaje, dominio o riesgo de seguridad.
Priorización de issues en código tocado recientemente, rutas críticas, componentes expuestos y módulos con alta complejidad.
Gestión de accepted issues con fecha de revisión, justificación, responsable y vínculo a decisión técnica o ticket de deuda.
Medición de evolución de deuda para detectar si la calidad mejora, se estanca o empeora pese a los quality gates.
Comunicación de deuda a negocio en términos de riesgo, velocidad de cambio, coste de mantenimiento y exposición a fallos.
Evitación de proyectos “de limpieza” sin criterio, donde se corrige mucho volumen de issues de baja relevancia y se ignoran riesgos graves.
Creación de un plan trimestral de remediación basado en datos de SonarQube Cloud y objetivos técnicos realistas.
Tema 27: Métricas, KPIs y gobierno de calidad por equipos
Definición de métricas útiles para desarrollo: quality gate status, issues nuevos, cobertura en código nuevo, duplicación y vulnerabilidades.
Definición de métricas para dirección técnica: evolución por portfolios, proyectos críticos, deuda, riesgos abiertos y adopción por equipos.
Separación entre métricas accionables y vanity metrics que pueden generar presión sin orientar mejoras concretas.
Diseño de cuadros de mando por equipo, producto, dominio, repositorio y tecnología.
Análisis de tendencias en lugar de evaluar equipos solo por una captura puntual de un dashboard.
Uso de métricas para detectar necesidades de formación, refactorización, revisión de arquitectura, automatización de tests o soporte AppSec.
Definición de objetivos de calidad incrementales que el equipo pueda asumir sin paralizar entregas.
Revisión de comportamientos no deseados: ocultar código con exclusiones, aceptar issues sin análisis o escribir tests de baja calidad solo por cobertura.
Preparación de informes ejecutivos con lectura clara: situación, riesgo, evolución, bloqueos, acciones y responsables.
Creación de un modelo de gobierno donde SonarQube Cloud informa decisiones, pero no sustituye criterio técnico.
Tema 28: Seguridad, privacidad, cumplimiento y gestión de datos en SonarQube Cloud
Revisión de qué datos se envían durante el análisis y qué información queda visible en issues, snippets, reportes, dashboards y comentarios de PR.
Definición de políticas para analizar repositorios sensibles, código propietario, proyectos regulados, datos de cliente o componentes estratégicos.
Selección de región EU o US cuando la organización tiene requisitos de residencia de datos o políticas corporativas específicas.
Control de tokens de análisis, permisos de CI/CD, secretos de organización, service connections y credenciales de plataformas DevOps.
Aplicación de mínimos privilegios en administradores de organización, administradores de proyecto y usuarios de solo lectura.
Revisión de logs, auditoría, accesos y eventos relevantes cuando se trabaja con Enterprise y gobierno corporativo.
Preparación de criterios para uso de IA, SCA, SBOM, análisis de dependencias y datos de terceros dentro del marco de compliance.
Coordinación con DPO, CISO, AppSec, arquitectura e IT cuando SonarQube Cloud se incorpora a procesos críticos de entrega.
Documentación de riesgos: repositorios no autorizados, tokens expuestos, proyectos sin owner, datos mal clasificados y permisos heredados.
Creación de una checklist de seguridad y privacidad previa al onboarding masivo de repositorios.
Tema 29: Operación diaria, troubleshooting y soporte de SonarQube Cloud
Diagnóstico de análisis fallidos revisando scanner logs, pipeline logs, project key, organization, token, región, red y configuración de paths.
Resolución de problemas de cobertura ausente, normalmente relacionados con reportes no generados, rutas incorrectas o ejecución fuera de orden.
Investigación de quality gate inesperadamente fallido, separando issues nuevos, cobertura, duplicación, security review y cambios de perfil.
Revisión de PRs sin decoración por falta de vinculación, permisos, app DevOps, metadata del pipeline o configuración de integración.
Diagnóstico de análisis lentos por tamaño del proyecto, memoria del scanner, monorepo, dependencias o reportes demasiado grandes.
Gestión de incidencias de permisos: usuarios sin acceso, administradores incorrectos, proyectos privados invisibles o grupos no sincronizados.
Preparación de runbooks para fallos habituales por plataforma: GitHub, GitLab, Azure DevOps, Bitbucket, Jenkins u otros CIs.
Revisión de cambios recientes antes de investigar: quality profile, quality gate, scanner version, pipeline, plan, región o permisos DevOps.
Documentación de incidencias con síntoma, causa, logs, corrección, impacto y prevención.
Creación de un proceso de soporte interno para resolver problemas de análisis sin escalar cada incidencia a SonarSource.
Tema 30: Adopción cultural: de herramienta de control a mejora continua
Diseño de una estrategia de adopción que explique a los equipos que SonarQube Cloud ayuda a mejorar calidad, no a castigar desarrolladores.
Preparación de sesiones por perfil: desarrolladores, QA, tech leads, DevOps, AppSec, product owners y dirección técnica.
Creación de guías rápidas sobre cómo interpretar issues, usar el IDE, revisar PRs, corregir problemas y solicitar excepciones.
Identificación de resistencias: miedo a métricas, ruido de reglas, deuda histórica, quality gates demasiado estrictos o falta de tiempo para corregir.
Implantación gradual por equipos piloto antes de aplicar políticas corporativas a todos los repositorios.
Comunicación de quick wins: menos vulnerabilidades, mejor cobertura en código nuevo, menos duplicación y pull requests más limpios.
Revisión periódica de feedback para ajustar perfiles, gates, documentación y soporte interno.
Creación de champions técnicos por equipo que ayuden a resolver dudas y mejorar adopción desde dentro.
Medición de adopción real: IDE conectado, PRs analizados, issues corregidos, quality gates usados y deuda nueva controlada.
Construcción de una cultura donde calidad, seguridad y mantenibilidad forman parte del desarrollo normal y no de una auditoría final.
Tema 31: Proyecto final integrador: implantación empresarial de SonarQube Cloud
Definición de una empresa ficticia o real autorizada con varias aplicaciones, plataformas DevOps, lenguajes, equipos, criticidad y política de calidad.
Creación de una organización SonarQube Cloud y vinculación con GitHub, GitLab, Bitbucket Cloud o Azure DevOps según el escenario elegido.
Importación de proyectos, definición de project keys, permisos, responsables, tags, quality gate inicial y quality profiles por lenguaje.
Configuración de análisis CI/CD para al menos dos stacks distintos, incorporando build, tests, cobertura y envío de resultados.
Activación de pull request analysis, decoration y bloqueo de merge cuando el quality gate no se cumple.
Configuración de SonarQube for IDE en modo conectado para detectar issues antes de abrir el pull request.
Ajuste de new code definition, exclusiones justificadas, reportes de cobertura, duplicación y reglas relevantes por proyecto.
Revisión de issues, vulnerabilities, security hotspots, secretos y deuda técnica para crear un plan de remediación priorizado.
Diseño de reporting para equipo técnico y dirección: proyectos críticos, quality gates, tendencias, portfolios, riesgos y próximos pasos.
Presentación final con arquitectura de integración, decisiones, riesgos, política de calidad, gobierno, adopción, métricas y hoja de ruta.
Aulas Virtuales Personalizadas
¿Te imaginas tener un Temario 100% Personalizado para tu Empresa?
¿A quién va dirigida esta formación en SonarQube Cloud?
Pensado para quienes deben dominar SonarQube Cloud en su día a día
Equipos de desarrollo backend, frontend y full stack
Este curso encaja con desarrolladores que quieren recibir feedback rápido sobre calidad, seguridad, mantenibilidad, duplicación, cobertura y deuda técnica sin esperar a revisiones tardías. Aprenderán a interpretar issues, corregir problemas en el IDE, mejorar pull requests, trabajar con quality gates y adoptar Clean as You Code sin convertir SonarQube Cloud en una herramienta punitiva.
QA Engineers y responsables de calidad de software
Los perfiles de QA podrán ampliar su visión de calidad más allá de pruebas funcionales, incorporando métricas de código, cobertura, duplicación, fiabilidad, mantenibilidad, seguridad y criterios objetivos de release. La formación les permite conectar testing, análisis estático, defectos, deuda técnica y evidencia de calidad en un mismo flujo.
Equipos DevOps, CloudOps y plataforma
Los equipos DevOps aprenderán a integrar SonarQube Cloud en GitHub Actions, GitLab CI/CD, Azure Pipelines, Bitbucket Pipelines, Jenkins u otros sistemas CI. El curso les ayuda a configurar tokens, análisis por ramas, pull request decoration, quality gate checks, monorepos, permisos y pipelines robustos sin bloquear innecesariamente la entrega.
Arquitectos de software y tech leads
Los perfiles de arquitectura podrán definir estándares por lenguaje, calidad mínima, cobertura razonable, políticas de deuda técnica, reglas críticas, exclusiones justificadas y criterios de escalado. El curso les aporta una forma práctica de usar SonarQube Cloud como apoyo a decisiones técnicas, no solo como listado de advertencias.
Equipos AppSec, ciberseguridad y compliance técnico
Los perfiles de seguridad podrán trabajar vulnerabilidades, security hotspots, secretos, SAST, análisis de dependencias con Advanced Security, SBOM, reporting de seguridad, priorización y gobierno de riesgos. La formación conecta SonarQube Cloud con un modelo DevSecOps donde los problemas se corrigen cerca del código.
Responsables de ingeniería y dirección técnica
Los responsables técnicos podrán usar SonarQube Cloud para obtener visibilidad agregada sobre proyectos, calidad, deuda, cobertura, riesgos y evolución. El curso ayuda a definir dashboards, portfolios, reporting, criterios de adopción y métricas útiles para mejorar ingeniería sin reducir la calidad a un semáforo mal interpretado.
Proveedor con 16 años de experiencia en formación empresarial
Sobre
En Imagina Formación llevamos más de 16 años ayudando a profesionales y empresas a mejorar sus habilidades con formación práctica y totalmente adaptada a sus necesidades. Durante este tiempo, hemos formado a más de 480.000 personas y colaborado con más de 3.500 empresas, convirtiéndonos en un referente en el sector.
16
Años de liderazgo
+480.000
Alumnos formados en Imagina
¿Tienes dudas?
Resolvemos todas tus dudas sobre nuestra formación en SonarQube Cloud
Explora las respuestas a las preguntas que guian a nuestra comunidad. Aqui encontraras claridad sobre como funciona todo, desde el acceso hasta los detalles de los cursos. Si buscas respuestas, este es el lugar para comenzar.
SonarQube Cloud es la solución SaaS de Sonar para análisis continuo de calidad y seguridad de código. Se integra con plataformas DevOps, pipelines e IDEs para detectar issues, evaluar quality gates y ayudar a mantener código seguro, fiable y mantenible.
No. SonarQube Cloud es la versión SaaS gestionada por Sonar, mientras que SonarQube Server es la opción self-managed. En Cloud no administras servidores, base de datos ni upgrades de la plataforma, pero sí debes gobernar proyectos, análisis, permisos, quality gates y pipelines.
SonarQube Cloud se integra con GitHub, Bitbucket Cloud, GitLab y Azure DevOps. La integración permite importar organizaciones y repositorios, mostrar quality gate status en pipelines y pull requests, y bloquear merges cuando no se cumple la política.
Sí. Es una parte central del curso. Se trabaja análisis de pull requests, decoración en la plataforma DevOps, quality gate en el PR, bloqueo de merge, corrección antes del merge y relación con code review humano.
Sí. Se incluye instalación, modo conectado, sincronización con reglas del proyecto y uso diario para detectar problemas mientras se programa. La idea es corregir issues antes de que lleguen al pull request o al pipeline.
Sí. El curso cubre AI CodeFix, AI Code Assurance y autodetección de código generado con GitHub Copilot en proyectos GitHub. Las funciones de IA deben tratarse según el plan contratado y siempre con revisión humana.
Sí. El temario incluye Advanced Security, SCA, dependencias, CVEs, licencias, paquetes maliciosos, SBOM e importación de SBOM para analizar contenedores. Estas capacidades dependen de disponibilidad y plan contratado.
Sí. El curso contempla Java, .NET, JavaScript, TypeScript, Python, Go, PHP, C/C++ y otros stacks habituales. Se trabaja configuración por scanner, cobertura, exclusiones, monorepos, quality profiles y errores frecuentes por lenguaje.
Depende del alcance. Team suele ser adecuado para equipos que necesitan capacidades avanzadas, mientras Enterprise aporta jerarquía enterprise, SSO, SCIM, portfolios y reportes agregados. Free y OSS tienen limitaciones o usos específicos.
Sí. Al tratarse de una formación corporativa en calidad de software, DevOps, DevSecOps, análisis estático, seguridad, IA aplicada al desarrollo y competencias digitales, puede plantearse como formación bonificable hasta el 100% a través de FUNDAE, según el crédito disponible y cumpliendo los requisitos administrativos aplicables.
SonarQube Cloud es la solución SaaS de Sonar para análisis continuo de calidad y seguridad de código. Se integra con plataformas DevOps, pipelines e IDEs para detectar issues, evaluar quality gates y ayudar a mantener código seguro, fiable y mantenible.
No. SonarQube Cloud es la versión SaaS gestionada por Sonar, mientras que SonarQube Server es la opción self-managed. En Cloud no administras servidores, base de datos ni upgrades de la plataforma, pero sí debes gobernar proyectos, análisis, permisos, quality gates y pipelines.
SonarQube Cloud se integra con GitHub, Bitbucket Cloud, GitLab y Azure DevOps. La integración permite importar organizaciones y repositorios, mostrar quality gate status en pipelines y pull requests, y bloquear merges cuando no se cumple la política.
Sí. Es una parte central del curso. Se trabaja análisis de pull requests, decoración en la plataforma DevOps, quality gate en el PR, bloqueo de merge, corrección antes del merge y relación con code review humano.
Sí. Se incluye instalación, modo conectado, sincronización con reglas del proyecto y uso diario para detectar problemas mientras se programa. La idea es corregir issues antes de que lleguen al pull request o al pipeline.
Sí. El curso cubre AI CodeFix, AI Code Assurance y autodetección de código generado con GitHub Copilot en proyectos GitHub. Las funciones de IA deben tratarse según el plan contratado y siempre con revisión humana.
Sí. El temario incluye Advanced Security, SCA, dependencias, CVEs, licencias, paquetes maliciosos, SBOM e importación de SBOM para analizar contenedores. Estas capacidades dependen de disponibilidad y plan contratado.
Sí. El curso contempla Java, .NET, JavaScript, TypeScript, Python, Go, PHP, C/C++ y otros stacks habituales. Se trabaja configuración por scanner, cobertura, exclusiones, monorepos, quality profiles y errores frecuentes por lenguaje.
Depende del alcance. Team suele ser adecuado para equipos que necesitan capacidades avanzadas, mientras Enterprise aporta jerarquía enterprise, SSO, SCIM, portfolios y reportes agregados. Free y OSS tienen limitaciones o usos específicos.
Sí. Al tratarse de una formación corporativa en calidad de software, DevOps, DevSecOps, análisis estático, seguridad, IA aplicada al desarrollo y competencias digitales, puede plantearse como formación bonificable hasta el 100% a través de FUNDAE, según el crédito disponible y cumpliendo los requisitos administrativos aplicables.