[et_pb_section fb_built=”1″ theme_builder_area=”post_content” _builder_version=”4.27.8″ _module_preset=”default” custom_padding=”||0px|||” custom_margin=”||-37px|||”][et_pb_row _builder_version=”4.27.8″ _module_preset=”default” theme_builder_area=”post_content” custom_margin=”-69px|auto||auto||”][et_pb_column _builder_version=”4.27.8″ _module_preset=”default” type=”4_4″ theme_builder_area=”post_content”][et_pb_text _builder_version=”4.27.8″ _module_preset=”default” theme_builder_area=”post_content” hover_enabled=”0″ sticky_enabled=”0″]<\/p>\n
Pela equipa de Quality Engineering da MTP International \u00b7 Setembro 2026<\/em><\/p>\n Existe uma categoria de defeitos que os testes funcionais n\u00e3o detetam porque n\u00e3o testam o c\u00f3digo em si: testam o que o c\u00f3digo produz. Um m\u00f3dulo pode gerar o resultado correto em condi\u00e7\u00f5es normais e conter, ao mesmo tempo, uma vulnerabilidade de inje\u00e7\u00e3o SQL, uma fun\u00e7\u00e3o com 200 linhas sem documenta\u00e7\u00e3o e um bloco de l\u00f3gica duplicado em quatro ficheiros diferentes. Tudo isso passa para produ\u00e7\u00e3o sem que nenhum teste funcional o tenha detetado. <\/p>\n A an\u00e1lise de c\u00f3digo antes da implementa\u00e7\u00e3o \u2014 tamb\u00e9m chamada an\u00e1lise est\u00e1tica ou SAST quando se foca na seguran\u00e7a \u2014 cobre exatamente essa lacuna. Avalia o c\u00f3digo-fonte sem o executar, identificando defeitos, vulnerabilidades e problemas de manutenibilidade no momento em que s\u00e3o mais baratos de corrigir: antes de o build avan\u00e7ar no pipeline. <\/p>\n \n <\/strong><\/p>\n A an\u00e1lise est\u00e1tica examina o c\u00f3digo-fonte, o bytecode ou os bin\u00e1rios de uma aplica\u00e7\u00e3o sem a executar. Aplica um conjunto de regras \u2014 padr\u00f5es de codifica\u00e7\u00e3o, padr\u00f5es de vulnerabilidades conhecidas, m\u00e9tricas de complexidade \u2014 e produz um relat\u00f3rio com resultados classificados por criticidade. <\/p>\n O que n\u00e3o \u00e9: um substituto dos testes funcionais, din\u00e2micos ou de performance. A an\u00e1lise est\u00e1tica n\u00e3o pode detetar um bug que apenas aparece com dados reais em tempo de execu\u00e7\u00e3o, nem validar que um fluxo de neg\u00f3cio funciona corretamente. \u00c9 uma camada complementar que opera antes de as outras camadas entrarem em a\u00e7\u00e3o, com o objetivo de que o c\u00f3digo que chega aos testes din\u00e2micos j\u00e1 tenha o menor n\u00famero poss\u00edvel de defeitos estruturais e de seguran\u00e7a. <\/p>\n <\/strong><\/p>\n <\/strong><\/p>\n <\/strong><\/p>\n O princ\u00edpio econ\u00f3mico da an\u00e1lise est\u00e1tica \u00e9 direto: um defeito encontrado durante a revis\u00e3o de c\u00f3digo tem um custo de corre\u00e7\u00e3o m\u00ednimo, porque o programador que o introduziu pode corrigi-lo em minutos sem necessidade de um ciclo completo de testes. O mesmo defeito detetado em integra\u00e7\u00e3o custa entre 10 e 15 vezes mais; em produ\u00e7\u00e3o, o multiplicador chega a 100 vezes (Boehm & Basili, 2001). <\/p>\n Uma revis\u00e3o da Sonar sobre 7,9 mil milh\u00f5es de linhas de c\u00f3digo encontrou aproximadamente 53 000 problemas de manutenibilidade por milh\u00e3o de linhas, equivalente a 72 code smells<\/em> por programador por m\u00eas. Cada um desses problemas \u00e9 um defeito potencial ou um incremento de d\u00edvida t\u00e9cnica que, se for detetado no IDE ou no pipeline antes do merge, se resolve sem impacto no cronograma. <\/p>\n \n <\/strong><\/p>\n A an\u00e1lise est\u00e1tica com foco SAST deteta padr\u00f5es de c\u00f3digo que correspondem a vulnerabilidades do OWASP Top 10: inje\u00e7\u00f5es SQL constru\u00eddas com concatena\u00e7\u00e3o de strings, gest\u00e3o insegura de credenciais, exposi\u00e7\u00e3o de dados sens\u00edveis em logs, valida\u00e7\u00f5es de entrada ausentes e depend\u00eancias de terceiros com CVEs publicados.<\/p>\n A diferen\u00e7a para a an\u00e1lise din\u00e2mica (DAST) \u00e9 o momento da dete\u00e7\u00e3o: enquanto a DAST encontra vulnerabilidades na aplica\u00e7\u00e3o em execu\u00e7\u00e3o, a SAST deteta-as no c\u00f3digo antes de a aplica\u00e7\u00e3o ser constru\u00edda. Para organiza\u00e7\u00f5es em setores regulados \u2014 como a banca ou o retalho com requisitos PCI-DSS \u2014 esta dete\u00e7\u00e3o precoce produz evid\u00eancia de conformidade desde as etapas mais iniciais do ciclo, n\u00e3o apenas na valida\u00e7\u00e3o final. <\/p>\n \n \n A d\u00edvida t\u00e9cnica n\u00e3o \u00e9 abstrata: tem um custo quantific\u00e1vel em horas de desenvolvimento. Ferramentas como o SonarQube calculam o technical debt ratio<\/em> \u2014 o quociente entre o custo de remediar os problemas de manutenibilidade e o custo total do desenvolvimento \u2014 e atribuem uma classifica\u00e7\u00e3o de A a E a cada m\u00f3dulo e ao projeto completo. Esse n\u00famero transforma uma discuss\u00e3o subjetiva sobre “qualidade do c\u00f3digo” num dado que a equipa pode gerir sprint a sprint. <\/p>\n As m\u00e9tricas de d\u00edvida t\u00e9cnica que a an\u00e1lise est\u00e1tica produz incluem complexidade ciclom\u00e1tica por fun\u00e7\u00e3o e por classe, percentagem de duplica\u00e7\u00e3o de c\u00f3digo, r\u00e1cio de coment\u00e1rios e n\u00famero de code smells por severidade. Um valor de complexidade ciclom\u00e1tica superior a 10 numa fun\u00e7\u00e3o \u00e9 o limiar que a ind\u00fastria considera o limite para uma manutenibilidade razo\u00e1vel: fun\u00e7\u00f5es acima desse valor s\u00e3o significativamente mais dif\u00edceis de testar, manter e depurar. <\/p>\n \n \n Os problemas de arquitetura raramente aparecem em testes funcionais porque os testes validam comportamentos, n\u00e3o estruturas. A an\u00e1lise est\u00e1tica exp\u00f5e padr\u00f5es que indicam problemas de design: acoplamento excessivo entre m\u00f3dulos, classes com m\u00faltiplas responsabilidades que violam o princ\u00edpio de responsabilidade \u00fanica, c\u00f3digo morto que nunca \u00e9 executado mas aumenta o volume do sistema, e antipadr\u00f5es recorrentes que assinalam decis\u00f5es de design que devem ser revistas antes de escalarem. <\/p>\n Essa visibilidade \u00e9 especialmente valiosa em projetos que cresceram r\u00e1pido sem refatoriza\u00e7\u00e3o estruturada: a an\u00e1lise est\u00e1tica produz uma fotografia da sa\u00fade arquitet\u00f3nica do sistema que nenhuma outra t\u00e9cnica de QE<\/a> pode fornecer com essa cobertura e velocidade.<\/p>\n \n \n Em equipas de desenvolvimento que operam com m\u00faltiplos engenheiros ou que integram c\u00f3digo de fornecedores externos, as conven\u00e7\u00f5es de c\u00f3digo s\u00e3o frequentemente aspiracionais mas n\u00e3o verificadas. A an\u00e1lise est\u00e1tica pode ser configurada para aplicar as regras espec\u00edficas da equipa \u2014 nomenclatura, comprimento m\u00e1ximo de fun\u00e7\u00f5es, obrigatoriedade de cobertura m\u00ednima \u2014 como valida\u00e7\u00f5es autom\u00e1ticas em cada commit ou pull request, produzindo consist\u00eancia sem depender de revis\u00f5es manuais. <\/p>\n <\/strong><\/p>\n <\/strong><\/p>\n Um dashboard de an\u00e1lise est\u00e1tica bem configurado deve mostrar quatro indicadores em cada ciclo de integra\u00e7\u00e3o: densidade de defeitos por m\u00f3dulo (n\u00famero de resultados por mil linhas de c\u00f3digo), taxa de d\u00edvida t\u00e9cnica (percentagem do custo de desenvolvimento destinado a remediar problemas de manutenibilidade), cobertura de regras de seguran\u00e7a (percentagem das regras do OWASP cobertas pela an\u00e1lise) e tend\u00eancia de complexidade ciclom\u00e1tica por sprint.<\/p>\n A tend\u00eancia importa mais do que o valor absoluto: um m\u00f3dulo com complexidade ciclom\u00e1tica de 12 que est\u00e1 a baixar \u00e9 um sinal positivo; um com complexidade de 8 que est\u00e1 a subir \u00e9 um alerta precoce de que a arquitetura est\u00e1 a acumular press\u00e3o.<\/p>\n <\/strong><\/p>\n <\/strong><\/p>\n A an\u00e1lise est\u00e1tica produz o seu maior valor quando opera como quality gate autom\u00e1tico no pipeline de CI\/CD, n\u00e3o como uma ferramenta que corre de forma isolada. A integra\u00e7\u00e3o converte cada pull request num ponto de verifica\u00e7\u00e3o: a an\u00e1lise corre automaticamente, produz coment\u00e1rios diretamente na revis\u00e3o do c\u00f3digo com os resultados e as suas sugest\u00f5es de corre\u00e7\u00e3o, e pode ser configurada para bloquear o merge quando s\u00e3o detetados resultados de criticidade alta ou quando o limiar m\u00ednimo de qualidade n\u00e3o \u00e9 cumprido. <\/p>\n Ferramentas como SonarQube, Checkmarx, Veracode ou Fortify integram-se com os principais orquestradores de CI\/CD \u2014 Jenkins, GitHub Actions, GitLab CI, Azure DevOps \u2014 atrav\u00e9s de plugins que requerem configura\u00e7\u00e3o m\u00ednima e produzem resultados desde o primeiro sprint de integra\u00e7\u00e3o. A chave n\u00e3o \u00e9 a ferramenta: \u00e9 definir as regras e os limiares de aceita\u00e7\u00e3o antes de a ligar, para que o quality gate tenha crit\u00e9rios claros e n\u00e3o produza ru\u00eddo que a equipa aprenda a ignorar. <\/p>\n Na MTP integramos a an\u00e1lise est\u00e1tica como parte da camada de preven\u00e7\u00e3o da Omniatest\u00ae, a nossa metodologia propriet\u00e1ria certificada \u2014 a MTP \u00e9 a primeira empresa certificada TMMi N\u00edvel 5 no mundo. A configura\u00e7\u00e3o das regras, os limiares e a integra\u00e7\u00e3o com o pipeline de CI\/CD do cliente faz parte da estrat\u00e9gia de QE, n\u00e3o da configura\u00e7\u00e3o t\u00e9cnica da ferramenta. <\/p>\n <\/strong><\/p>\n <\/strong><\/p>\n O seu pipeline de CI\/CD tem um quality gate de an\u00e1lise de c\u00f3digo configurado e ativo?<\/strong><\/p>\n O Quick Assessment de Automa\u00e7\u00e3o da MTP identifica numa semana os pontos de maior retorno para integrar a an\u00e1lise est\u00e1tica no seu processo de desenvolvimento.<\/p>\n [\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section]<\/p>\n","protected":false},"excerpt":{"rendered":" Pela equipa de Quality Engineering da MTP International \u00b7 Setembro 2026 Existe uma categoria de defeitos que os testes funcionais n\u00e3o detetam porque n\u00e3o testam o c\u00f3digo em si: testam o que o c\u00f3digo produz. Um m\u00f3dulo pode gerar o resultado correto em condi\u00e7\u00f5es normais e conter, ao mesmo tempo, uma vulnerabilidade de inje\u00e7\u00e3o SQL, uma fun\u00e7\u00e3o com 200 linhas sem documenta\u00e7\u00e3o e um bloco de l\u00f3gica duplicado em quatro ficheiros diferentes. Tudo isso passa para produ\u00e7\u00e3o sem que nenhum teste funcional o tenha detetado. A an\u00e1lise de c\u00f3digo antes da implementa\u00e7\u00e3o \u2014 tamb\u00e9m chamada an\u00e1lise est\u00e1tica ou SAST quando se foca na seguran\u00e7a \u2014 cobre exatamente essa lacuna. Avalia o c\u00f3digo-fonte sem o executar, identificando defeitos, vulnerabilidades e problemas de manutenibilidade no momento em que s\u00e3o mais baratos de corrigir: antes de o build avan\u00e7ar no pipeline. O que \u00e9 a an\u00e1lise est\u00e1tica de c\u00f3digo e o que n\u00e3o \u00e9? A an\u00e1lise est\u00e1tica examina o c\u00f3digo-fonte, o bytecode ou os bin\u00e1rios de uma aplica\u00e7\u00e3o sem a executar. Aplica um conjunto de regras \u2014 padr\u00f5es de codifica\u00e7\u00e3o, padr\u00f5es de vulnerabilidades conhecidas, m\u00e9tricas de complexidade \u2014 e produz um relat\u00f3rio com resultados classificados por criticidade. O que n\u00e3o \u00e9: um substituto […]<\/p>\n","protected":false},"author":6,"featured_media":10772,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_et_pb_use_builder":"on","_et_pb_old_content":"","_et_gb_content_width":"","content-type":"","footnotes":""},"categories":[47,54],"tags":[],"class_list":["post-10771","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog","category-blog-code-testing"],"_links":{"self":[{"href":"https:\/\/mtpinternational.mx\/pt\/wp-json\/wp\/v2\/posts\/10771","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mtpinternational.mx\/pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mtpinternational.mx\/pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mtpinternational.mx\/pt\/wp-json\/wp\/v2\/users\/6"}],"replies":[{"embeddable":true,"href":"https:\/\/mtpinternational.mx\/pt\/wp-json\/wp\/v2\/comments?post=10771"}],"version-history":[{"count":2,"href":"https:\/\/mtpinternational.mx\/pt\/wp-json\/wp\/v2\/posts\/10771\/revisions"}],"predecessor-version":[{"id":10774,"href":"https:\/\/mtpinternational.mx\/pt\/wp-json\/wp\/v2\/posts\/10771\/revisions\/10774"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/mtpinternational.mx\/pt\/wp-json\/wp\/v2\/media\/10772"}],"wp:attachment":[{"href":"https:\/\/mtpinternational.mx\/pt\/wp-json\/wp\/v2\/media?parent=10771"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mtpinternational.mx\/pt\/wp-json\/wp\/v2\/categories?post=10771"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mtpinternational.mx\/pt\/wp-json\/wp\/v2\/tags?post=10771"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}O que \u00e9 a an\u00e1lise est\u00e1tica de c\u00f3digo e o que n\u00e3o \u00e9?<\/strong><\/h2>\n
Os cinco benef\u00edcios concretos para as equipas de QE<\/strong><\/h2>\n
1. Dete\u00e7\u00e3o precoce ao menor custo poss\u00edvel<\/strong><\/h3>\n
2. Identifica\u00e7\u00e3o de vulnerabilidades de seguran\u00e7a a partir do c\u00f3digo<\/strong><\/h3>\n
3. Medi\u00e7\u00e3o e redu\u00e7\u00e3o de d\u00edvida t\u00e9cnica<\/strong><\/h3>\n
4. Visibilidade sobre a arquitetura e o design do sistema<\/strong><\/h3>\n
5. Padroniza\u00e7\u00e3o do estilo e das conven\u00e7\u00f5es da equipa<\/strong><\/strong><\/h3>\n
As m\u00e9tricas-chave produzidas pela an\u00e1lise est\u00e1tica<\/strong><\/h2>\n
Integra\u00e7\u00e3o em CI\/CD: de ferramenta a quality gate<\/strong><\/h2>\n
Perguntas frequentes<\/strong><\/h4>\n
\n