AI Code Reviews

Qu’est-ce que la sorcellerie ?

Sourcery est une plateforme d’analyse de code et de sécurité du code basée sur l’IA, destinée aux équipes de développement. Elle peut générer automatiquement des résumés des modifications, des commentaires ligne par ligne et des suggestions d’amélioration dans les demandes de pull, tout en effectuant une surveillance continue des problèmes de sécurité dans les dépôts de code.

Le produit peut se connecter à GitHub, GitLab ainsi qu’à des plateformes de code hébergées en interne par les entreprises, et s’intégrer via des extensions d’IDE dans le flux de travail quotidien des développeurs. Les équipes peuvent également écrire leurs propres règles de revue pour que les retours automatisés soient plus en adéquation avec les normes techniques internes.

Une phrase pour présenter

Sourcery utilise l’IA pour examiner automatiquement les demandes de pull et scanner les risques de sécurité du dépôt, permettant aux équipes de détecter plus rapidement les défauts, d’unifier les normes de codage et de réduire la charge liée à l’examen manuel.

Fonctionnalités clés

• Résumé de la demande de pull : résume l’objectif de ce changement, son portée d’impact et les documents clés.
• Commentaires ligne par ligne du code : indiquer à côté des lignes de code concernées les défauts potentiels, les problèmes de lisibilité ou les pistes d’amélioration.
• Avis d’analyse de haut niveau : fournir un retour global du point de vue de la conception, de la logique, de la maintenabilité et des risques.
• Solutions de réparation en un clic : propose des modifications que l’on peut appliquer directement ou à ajuster davantage pour certains problèmes.
• Vérification de l’état de la révision : les résultats de la révision automatique sont affichés dans le processus de fusion, ce qui facilite l’établissement de seuils de qualité.
• Analyse au niveau du stockage : aide l’équipe à observer la qualité du code, à examiner les activités et la répartition des problèmes.
• Règles personnalisées : révision automatique conforme à la structure de l’équipe, aux politiques de sécurité et aux normes de codage.
• Aide IDE : interpréter le code dans l’éditeur, ajouter des tests, générer de la documentation ou optimiser la mise en œuvre.

Vérification automatique des demandes de pull

Une fois installé dans le dépôt de code, Sourcery déclenchera une revue pour toute nouvelle demande de pull ou tout nouveau commit. Les résultats comprennent généralement un résumé, des retours globaux, des suggestions ligne par ligne et une vérification de l’état, que les développeurs peuvent traiter depuis l’interface de collaboration existante.

• Comprendre rapidement de grandes modifications, sans avoir à ouvrir tous les fichiers un par un.
• Des erreurs évidentes, des omissions de limites et des implémentations incohérentes ont été détectées avant l’évaluation manuelle.
• Faites en sorte que les examinateurs se concentrent sur l’architecture, la logique du produit et les risques complexes.
• Vérifiez à nouveau après la soumission de la mise à jour pour voir si le problème a été résolu.

Vérification de sécurité du code

Les capacités de sécurité de Sourcery permettent non seulement de vérifier les différences actuelles, mais aussi de scanner les dépôts connectés. La documentation officielle classe le champ de scan en catégories telles que les clés, la sécurité des applications statiques, l’infrastructure en code, les dépendances et les licences.

• Vérification des clés : recherche de tokens, de mots de passe et de identifiants qui pourraient être soumis au dépôt.
• Sécurité des applications statiques : identification des faiblesses de sécurité courantes dans le code et des flux de données dangereux.
• Infrastructure as code : Vérifier les ressources cloud et les risques de déploiement dans les fichiers de configuration.
• Vérification des dépendances : détection de vulnérabilités connues, de composants obsolètes ou de problèmes dans la chaîne d’approvisionnement.
• Vérification des licences : Aide l’équipe à identifier les risques liés aux licences des dépendances tierces.

Règles de censure personnalisées

Les recommandations de l’IA générale ne correspondent pas nécessairement à l’écosystème technique et aux contraintes métier de chaque équipe. Sourcery permet aux équipes de configurer des règles personnalisées pour exprimer, en langage naturel ou via des paramètres de projet, les normes qu’elles souhaitent vérifier en continu.

• Il est demandé d’ajouter de nouvelles interfaces tout en complétant par une authentification, des droits d’accès ou une vérification des paramètres.
• Restreindre les bibliothèques, modèles ou interfaces anciennes que l’équipe ne souhaite plus utiliser.
• Vérifier que les journaux d’audit, le traitement des exceptions, les tests et la documentation respectent les conventions internes.
• Ajouter des suggestions d’audit pour les domaines de la finance, de la santé ou du logiciel d’entreprise.
• Transformer les avis d’évaluation manuelle récurrents en règles réutilisables.

Résumé du code et visualisation

Les forfaits Pro et supérieurs incluent des résumés et des représentations visuelles des demandes de récupération, ce qui permet aux reviewers d’obtenir rapidement une vue d’ensemble des modifications. Pour les systèmes transmodulaires, les collaborations multiples ou les systèmes hérités, lire d’abord un résumé structuré est généralement plus efficace que de se plonger directement dans les détails.

Aide à la programmation par IA dans l’IDE

Sourcery peut être utilisé dans VS Code, Cursor, Windsurf et les IDE de la série JetBrains. Les développeurs peuvent comprendre le code existant pendant l’étape de codage, générer des tests et de la documentation, améliorer la lisibilité, et réduire le nombre de problèmes découverts seulement après l’envoi d’une demande de pull request.

• Expliquer les fonctions inconnues, les relations entre modules et l’intention du code historique.
• Ajouter des tests unitaires, des cas limites et des chaînes de documentation pour compléter la logique existante.
• Rechercher les implémentations qui affectent la lisibilité, les performances ou les coûts de maintenance.
• Traitez d'abord les problèmes de qualité qui peuvent être détectés automatiquement avant de soumettre.

Plateformes prises en charge et intégrations

À qui s’adresse-t-il

• Équipes de développement qui ont besoin de réduire le temps d’attente des demandes de pull.
• Équipe d’ingénierie de plateforme souhaitant unifier les normes de revue de code pour plusieurs entrepôts.
• Équipes de petite et moyenne taille qui manquent de personnel de sécurité à plein temps, mais ont besoin d’un balayage continu de base.
• Organisation d’ingénierie chargée de la maintenance de gros codes hérités, de projets multilingues ou de services complexes.
• Mainteneurs souhaitant obtenir une revue automatique gratuite pour des projets open source.
• Les grandes entreprises ayant besoin d’un déploiement privé, de modèles intégrés ou d’un contrôle strict des données.

Scénarios d’application typiques

• Développement fonctionnel : Vérifier les erreurs logiques, les tests manquants et le traitement des exceptions avant la fusion.
• Réorganisation du code : Vérifier que la réorganisation n’a introduit aucun changement de comportement ni de nouveaux risques de maintenance.
• Collaboration avec les nouveaux membres : utiliser des retours cohérents pour aider les nouveaux membres à comprendre les normes du projet.
• Maintenance open source : première étape d’examen automatique pour les contributions externes au dépôt public.
• Gouvernance de la sécurité : scan régulier des clés, des dépendances et des problèmes de code statique.
• Gestion de plusieurs entrepôts : surveillance centralisée des risques et des activités d’audit pour un grand nombre de projets.
• Développement conforme : renforcer le contrôle du code sensible grâce à des règles et à un déploiement privé.

Guide d’utilisation de Sourcery

1. Créez un compte Sourcery en utilisant votre compte professionnel, et sélectionnez GitHub ou GitLab comme méthode de connexion.
2. Installez l’application correspondante ou terminez l’autorisation, et sélectionnez uniquement les organisations et les entrepôts pour lesquels vous souhaitez activer la censure.
3. Créez une nouvelle demande de pull de test pour vérifier que le résumé, les commentaires et la vérification de l’état s’affichent correctement.
4. Ajustez le nombre de commentaires, les conditions de déclenchement et les paramètres de notification en fonction de la langue du projet et des processus d’équipe.
5. Ajoutez un petit nombre de règles personnalisées à haute valeur et utilisez des modifications réelles pour valider les faux positifs.
6. Inviter les développeurs à participer aux essais afin de mesurer la vitesse d’examen, le taux d’adoption et les problèmes non détectés.
7. Après confirmation de l’efficacité, étendre à davantage de dépôts privés et définir les postes ainsi que les droits d’accès.

Comment configurer des règles personnalisées

1. En prenant en compte les commentaires d’évaluation soulevés à plusieurs reprises par l’équipe, privilégier des règles dont le jugement est clair.
2. Formuler les règles en exigences concrètes, et compléter par un catalogue d’application, la langue ou des conditions exceptionnelles.
3. Tester les règles sur une demande de récupération d’échantillon pour vérifier s’il y a des commentaires ambigus ou redondants.
4. Faire confirmer par l’ingénieur en charge de ce module que la suggestion est exacte et réalisable.
5. Mettre en ligne progressivement les règles et supprimer régulièrement les projets à faible valeur, obsolètes ou présentant de nombreux faux positifs.

Comment utiliser le scan de sécurité

1. Commencez par sélectionner un petit nombre de entrepôts représentatifs pour activer le balayage, sans confier directement tous les problèmes historiques à l’équipe.
2. Voir les découvertes classées par clé, sécurité des applications, infrastructure, dépendances et licences.
3. Traiter en priorité les problèmes à haut risque qui peuvent être exploités, affecter la production ou contenir des preuves réelles.
4. Attribuer un responsable et une date limite aux problèmes à confirmer, et enregistrer les critères de jugement des faux positifs.
5. Réexaminer après la correction, et intégrer des règles de prévention dans les processus de soumission et de fusion.

Recommandations pour la mise en œuvre d’équipe

1. Il est clair que l’IA est responsable du premier tour de vérification, mais la fusion finale reste à la discrétion d’un évaluateur humain ayant le contexte.
2. Établir une ligne de base pour les sites pilotes, et comparer les temps d’attente, le taux de défauts et le taux d’acceptation des commentaires avant et après la mise en œuvre.
3. Limiter la densité des commentaires des robots afin d’éviter que de nombreuses suggestions à faible priorité n’engloutissent les risques réels.
4. Intégrer la détection des menaces aux processus existants de tickets, de réponse aux vulnérabilités et d’approbation des exceptions.
5. Faire un bilan mensuel des règles personnalisées, des faux positifs et des commentaires ignorés, et procéder à des ajustements continus.

Prix du forfait

Sourcery facture selon les places allouées, mois par mois ; un paiement annuel permet d’économiser 20 %. Les entrepôts publics et les projets open source peuvent utiliser le plan gratuit, tandis que les entrepôts privés choisissent une version payante en fonction des besoins en matière de revue, de scan de sécurité et de déploiement d’entreprise.

Différences de forfaits

Règles d’abonnement et de places

• Un abonnement annuel permet d’économiser 20 % par rapport à un abonnement mensuel.
• Les frais sont calculés uniquement en fonction des sièges attribués aux membres.
• Les entrepôts privés peuvent être utilisés gratuitement pendant 14 jours en essai.
• Il est possible d’annuler ou de downgrader à tout moment, et l’utilisation reste valide jusqu’à la fin du cycle de paiement en cours.
• Les entrepôts publics et les projets open source offrent un examen du code gratuitement.
• Le prix d’Enterprise doit être demandé en fonction du déploiement, du support et des besoins de l’organisation.

Que peut faire la version gratuite ?

Le programme Open Source s’adresse principalement aux dépôts publics et offre un contrôle automatique du code de niveau Pro. Les scans de sécurité sont gratuits pour 3 dépôts, avec une fréquence toutes les deux semaines, ce qui convient aux mainteneurs pour découvrir les processus clés.

Le soutien gratuit pour les projets open source ne signifie pas que la plateforme commerciale Sourcery est elle-même open source. Les dépôts privés, davantage de scans de sécurité, des analyses et des fonctionnalités d’entreprise nécessitent toujours des forfaits payants.

Données et vie privée

Sourcery doit lire le contenu du code lié à la révision et l’examiner, et utilise des services de modèles tels qu’Azure OpenAI, Anthropic et OpenAI pour effectuer une partie du traitement. Selon les indications officielles, les modèles ne sont pas entraînés à partir du code ou des messages des clients, et Sourcery ne stocke pas ces codes ou messages.

• Le code est généralement traité sous forme de différences de demande de pull ou de fragments nécessaires pour finaliser l’examen.
• Les fournisseurs de services de modèles n’utilisent pas le code et les messages des clients pour l’entraînement.
• Selon les informations officielles, la durée de conservation par des tiers ne dépasse pas 30 jours.
• Les entreprises peuvent évaluer les options sans rétention, les points de terminaison de modèle propriétaires ou les solutions self-hébergées.
• Pour les projets sensibles, il convient toujours de vérifier les contrats, les zones de données, les droits d’accès et les mécanismes de suppression.

Capacités de sécurité d’entreprise

• Certification SOC 2, utilisée pour aider les entreprises à examiner leurs mesures de contrôle.
• Option sans conservation, adaptée aux équipes ayant des exigences plus strictes en matière de stockage des données de tiers.
• Il dispose d’extrémités de grands modèles intégrées, permettant aux organisations d’utiliser des services de modèles approuvés.
• Self-hosting de Sourcery pour réduire la portée du code hors de l’environnement interne.
• Prend en charge les plateformes de codes d’entreprise, permettant de se connecter à des instances internes GitHub ou GitLab.
• Soutien prioritaire et services de succès client pour faciliter le déploiement à grande échelle.

Avantages du produit

• Intégration directe dans le processus de demande de pull, sans que les développeurs aient besoin de changer fréquemment d’outils.
• Couvre en même temps l’analyse de la qualité du code et les scans de sécurité de plusieurs types.
• Prend en charge des règles personnalisées, permettant de transformer l’expérience d’équipe en contrôles continus.
• Compatible avec GitHub, GitLab, les plateformes hébergées en interne par les entreprises et les IDE populaires.
• Les projets open source sont gratuits et conviennent aux processus de maintenance et de contribution communautaire.
• Team et Enterprise offrent une analyse multi-entrepôts, des modèles intégrés et des options de déploiement privé.
• Le prix est calculé en fonction des places allouées, et les niveaux de forfaits sont relativement clairs.

Restrictions d'utilisation et précautions

• La censure par l’IA peut donner des faux positifs, omettre ou mal interpréter le contexte métier, et ne peut pas remplacer l’approbation humaine.
• Les résumés automatiques et les suggestions ligne par ligne ne sont pas équivalents à une architecture complète et à un modélisation des menaces.
• Le nombre et la fréquence des dépôts de scans de sécurité pour Open Source et Pro sont limités.
• La version limitée du scan de sécurité Pro n’est pas adaptée pour remplacer un système complet de gestion de la sécurité.
• Le coût de paiement augmente avec le nombre de places allouées et la taille de l’équipe.
• Gérer le code privé nécessite d’organiser les fournisseurs de modèles d’évaluation, les périodes de conservation et les zones de données.
• Trop de règles personnalisées peuvent entraîner des commentaires redondants et du bruit dans le processus de modération.
• Les fonctionnalités telles que l’hébergement auto-géré, le support prioritaire et les factures ne sont disponibles qu’en Enterprise.
• Le langage de stockage, le code généré et la logique métier complexe peuvent affecter la qualité des recommandations.
• Les découvertes de sécurité nécessitent encore une confirmation manuelle, un tri, une correction et un test de révision.

GitHub et le monde du logiciel open source

L’organisation officielle GitHub de Sourcery a publié un dépôt nommé sourcery, qui est soumis à la licence MIT et contient des descriptions du produit, des configurations de hooks de pré-submission, des matériaux de démonstration ainsi que quelques configurations de projet. Le dépôt ne contient actuellement aucun code en langage d’implémentation de produit identifiable.

Par conséquent, la licence MIT ne s’applique qu’aux fichiers de ce dépôt public et ne peut être déduite comme étant valable pour le service d’examen du code Sourcery, le backend de balayage de sécurité ou l’open source global de la plateforme d’entreprise. Le répertoire des outils doit indiquer que le produit principal est un service commercial propriétaire, tout en précisant séparément que le dépôt public officiel est soumis à la licence MIT.

Informations de base

Indice de recommandation

4,5 / 5. Sourcery convient aux organisations de développement qui souhaitent intégrer une première vérification par l’IA, des scans de sécurité et des règles d’équipe dans leur processus existant de demande de pull request ; la plateforme offre une couverture étendue et une structure de forfaits claire ; cependant, les retours de l’IA nécessitent encore un jugement humain, et les équipes travaillant sur du code privé doivent d’abord effectuer une évaluation des risques liés aux données et au fournisseur.

Questions fréquentes

Qu’est-ce que Sourcery fait principalement ?

Il examine automatiquement les demandes de pull, génère un résumé des modifications et des suggestions ligne par ligne, et scanne le dépôt à la recherche de problèmes de sécurité.

Sourcery prend-il en charge GitLab ?

Il prend en charge GitLab.com et GitLab auto-hébergé, ainsi que GitHub.com et GitHub Enterprise Server.

Sourcery est-il gratuit ?

Les entrepôts publics et les projets open source peuvent utiliser le plan gratuit, tandis que les entrepôts privés bénéficient généralement d’une période d’essai de 14 jours avant de pouvoir choisir un forfait Pro ou supérieur.

Combien coûte Sourcery ?

Pro coûte 12 dollars/membre/mois, Team 24 dollars/membre/mois, et Enterprise nécessite un devis sur mesure ; le paiement annuel permet d’économiser 20 %.

Quels problèmes de sécurité peut-il scanner ?

La documentation officielle liste les clés, la sécurité des applications statiques, l’infrastructure en code, le balayage des dépendances et des licences.

Sourcery utilise-t-il du code pour entraîner les modèles ?

Selon les informations officielles, Sourcery et ses fournisseurs de services de modèles n’utilisent pas le code ou les messages des clients pour entraîner les modèles.

Sourcery prend-il en charge l’hébergement propre ?

Soutenu, mais l’hébergement auto-géré fait partie des fonctionnalités Enterprise ; il est nécessaire de contacter le service officiel pour une évaluation et un devis.

Peut-on utiliser les grands modèles de l’entreprise elle-même ?

Team dispose de capacités de grands modèles intégrés ; les modalités de prise en charge et les chemins des données doivent être confirmés avec les autorités avant le déploiement.

Sourcery est-il open source ?

L’examen du code source et la plateforme de sécurité ne sont pas open source ; selon les informations officielles de GitHub, le dépôt est soumis à la licence MIT, mais ne contient pas le code complet de la mise en œuvre du produit.