SonarQube Community Build, Developer и Enterprise: какую редакцию выбрать

SonarQube Community Build бесплатный, выходит раз в месяц и проверяет только основную ветку. Developer, Enterprise и Data Center платные, живут по календарным версиям с веткой LTA и добавляют анализ pull request, C и C++, отчеты и отказоустойчивость. Соло-разработчику и небольшой команде часто хватает Community Build. Компании, которой нужна поддержка вендора, придется брать коммерческую редакцию. Ниже разбираем переименование, версии, таблицу функций, выбор под три профиля, оплату из России и ограничения.

Коротко: SonarQube Community Build (бывшая Community Edition) на 29 сентября 2026 года живет на сборке 26.9 и обновляется ежемесячно без LTA. Developer добавляет ветки, pull request и C/C++. Enterprise дает портфели и отчеты, Data Center отказоустойчивость. Внутри: таблица редакций, выбор под три профиля и реалии оплаты из России.

Почему Community Edition теперь называется Community Build?

До конца 2024 года бесплатная версия называлась Community Edition. Сейчас это SonarQube Community Build, а с релиза 24.12.0.100206 ее номера живут отдельно от номеров платного Server.

SonarQube Community Build (бывшая Community Edition) с версии 24.12.0.100206 не привязан к нумерации коммерческого SonarQube Server. Соответствия между номерами нет: это две разные линейки с разным ритмом релизов. Данные проверены по endoflife.date на 29 сентября 2026 года.

Раньше все было проще. До версии 10.8 бесплатная и платные редакции делили одну схему номеров, и «10.x» означало одно и то же везде. Sonar сменил название в конце 2024 года и объявил об этом на своем форуме, а потом развел линейки.

Из-за этого запрос «sonarqube ce» в поиске до сих пор ведет к старым статьям. Там нумерация уже не работает. Если в чужом мануале написано «Community Edition 9.9», сверьтесь с текущей документацией, прежде чем ставить.

Платная линейка называется SonarQube Server, в ней три редакции: Developer, Enterprise и Data Center. Отдельно есть SonarQube Cloud, SaaS, который Sonar хостит сам.

Как выходят версии Community Build и что такое LTA у Server?

Community Build выходит каждый месяц по схеме YY.M.0.номер сборки и не знает слова LTA. У Server релиз раз в два месяца, а первый релиз года всегда становится LTA.

На 29 сентября 2026 года свежая сборка Community Build 26.9.0.129388 вышла 2 сентября, а 26.8 уже сняли с поддержки. LTA у Community Build нет, поэтому исправления багов и уязвимостей приходят только со следующей сборкой. Номер сверяйте на endoflife.date перед установкой.

У LTA 2026.1 обычная поддержка идет до 30 января 2027, а исправления блокирующих багов и уязвимостей до 2 августа 2027. Последний патч 2026.1.6 вышел 23 сентября (данные endoflife.date). Техподдержка вендора после конца жизни релиза действует еще шесть месяцев для LTA и два месяца для остальных.

Для Community Build вывод простой. Либо обновляетесь каждый месяц, либо живете с уже известными дырами.

Чем отличаются Community Build, Developer, Enterprise, Data Center и Cloud?

Community Build анализирует основную ветку. Developer добавляет ветки, pull request и C/C++, Enterprise управление и отчеты, Data Center высокую доступность. Cloud это тот же движок как SaaS.

Главный водораздел проходит между Community Build и Developer: анализ веток и pull request, quality gate в pull request и дополнительные языки. Enterprise добавляет портфели, отчеты и SCA. Data Center нужен, когда критична высокая доступность. Основа таблицы: официальные страницы Sonar, версия документации 2026.

Функции взяты из страницы редакций Server и общей таблицы сравнения. Лицензию Community Build подтверждает обзор AppSec Santa.

Есть и приятная новость. Custom quality profiles, custom quality gates, SAML и вебхуки уже работают в Community Build.

Что теряется без оплаты в Community Build и чем это чревато?

Главная потеря: анализ веток и pull request. Еще нет C и C++, отчетов для менеджмента, AI CodeFix и блокировки merge при упавшем quality gate.

В Community Build проверяется только основная ветка, поэтому quality gate не остановит плохой код до merge. Для команды, где все идет через pull request, это главный аргумент за Developer. Соло-разработчик, который коммитит в main, разницу почти не заметит.

Поддержку C и C++ мы проверили по официальной странице: Developer добавляет их поверх языков Community Build, значит в бесплатной сборке их нет.

Есть обходной путь для веток, неофициальный плагин community-branch-plugin. Sonar его не поддерживает и не отвечает на вопросы по нему. Автор плагина сам предупреждает, что при переходе на коммерческую редакцию часть данных может потеряться. Брать плагин в продукт с обязательствами перед клиентами мы бы не стали.

Отдельный вопрос для тех, кто пишет код через Claude Code или Cursor. Функция AI Code Assurance, то есть проверка качества сгенерированного кода, начинается с Developer.

Максим: «Ребят, это работает. Веб-версию GoBanana мы собрали за 3 часа после выхода модели, а на весь продукт, который принес 12 млн руб., ушло 6–8 часов. Писать код с ИИ быстро мы научились. Проверять его надо отдельно, и тут начинается настоящая работа.»

Какую редакцию SonarQube выбрать соло-разработчику, команде и компании?

Соло-разработчику хватит Community Build в Docker. Команде, которая работает через pull request, нужен Developer. Компании с требованиями к поддержке и отчетности подойдет Enterprise.

Выбор упирается в три вещи: проверяете ли вы pull request, пишете ли на C или C++ и кто отвечает, когда сервер упал. Ответы «нет, нет, я сам» ведут к Community Build. Хотя бы одно «да» переводит разговор в сторону Developer.

Честная оговорка: если в команде трое и все коммитят в main, платить за Developer ради красивого статуса рано. Начните с Community Build и вернитесь к вопросу, когда первый плохой merge обойдется вам дороже лицензии.

Подобрать инструменты под ваш стек можно в каталоге AI IDE и инструментов, а под задачу DevOps есть страница агента.

Как оплатить коммерческий SonarQube из России?

Публичного описания оплаты из России мы у Sonar не нашли. Условия, договор и способ платежа уточняйте у вендора или реселлера до покупки.

Коммерческие редакции лицензируются на инстанс в год по объему LOC. Как провести платеж из России, Sonar публично не описывает, по крайней мере такого документа мы не нашли. Запросите у вендора или реселлера условия и договор, а цену берите из коммерческого предложения, не из обзоров.

Цены в статье мы не называем намеренно. В сторонних обзорах они разъезжаются в разы и быстро устаревают. Верить стоит только расчету от Sonar под ваш объем кода.

Про ключи «с торрентов» говорить не будем. Это нарушение лицензии и лазейка для чужого кода в CI, где лежат ваши токены. Если платная редакция сейчас недоступна, Community Build остается легальным рабочим вариантом.

Еще один плюс self-hosted варианта: данные остаются на вашем сервере, о чем прямо говорит сравнение Server и Cloud. Для Cloud вопрос оплаты и доступности придется решать отдельно.

Честные ограничения Community Build без официальной поддержки

Community Build подходит небольшой команде. Без поддержки вендора и с ежемесячной сменой версий вам нужен регламент обновлений, бэкапов и хранения токенов.

Community Build не дает LTA, поддержки вендора и анализа pull request. Сборок выходит двенадцать в год, и каждая заменяет предыдущую. Небольшая команда справится, если один человек отвечает за сервер и раз в месяц смотрит релиз.

Разбор видео про установку с YouTube показал рабочую базу. Ставьте в Docker, а не из zip: так проще заменить и снести. Порт по умолчанию 9000, на первом входе логин admin и пароль admin, который сразу меняют.

Минимальный регламент на месяц:

1. Смотрим новую сборку на endoflife.date и в репозитории docker-sonarqube.
2. Делаем бэкап базы до обновления.
3. Обновляем копию сервера, потом боевой.
4. Держим токен анализа в секретах CI, а не в коде: Sonar сам ругается на токены в репозитории.
5. Исключаем из анализа Dockerfile и конфиги через sonar.exclusions.

В Server у Sonar есть issue sandboxing: после обновления новые срабатывания уходят в песочницу и не ломают quality gate (обзор релиза 2025.5 от Sonar). В бесплатной сборке мы этого не проверяли, так что рассчитывайте на ручной прогон после каждого обновления.

Вопросы и ответы

SonarQube Community Edition и Community Build это одно и то же?

Да. До конца 2024 года бесплатная версия называлась Community Edition, потом ее переименовали в Community Build. Сокращение «sonarqube ce» ищут до сих пор, но в актуальной документации везде Community Build и новая схема номеров YY.M.0.

Community Build бесплатный навсегда?

Сборка распространяется под LGPL v3, платить за нее не нужно. Анализаторы идут под лицензией SSALv1, условия стоит прочитать перед использованием в коммерческом продукте. Платить придется за инфраструктуру и время на обновления.

Можно ли анализировать pull request в Community Build?

Официально нет. Community Build проверяет только основную ветку. Для веток есть неофициальный плагин, но Sonar его не поддерживает, и миграция на Developer с ним может стоить части данных.

Что такое LTA в SonarQube?

LTA (Long-Term Active) это релиз Server с продленной поддержкой. Первый релиз каждого года получает этот статус. У Community Build LTA нет: исправления приходят только со следующей ежемесячной сборкой.

Как часто обновлять Community Build?

Раз в месяц, по выходу новой сборки. Старая сборка после выхода следующей снимается с поддержки, как 26.8 в сентябре 2026. Перед обновлением делайте бэкап базы и прогоняйте анализ на тестовой копии.

Нужен ли Developer, если код пишет ИИ?

Зависит от процесса. AI Code Assurance доступна с Developer, а Community Build проверяет только основную ветку. Если весь сгенерированный код идет через pull request, Developer закроет вопрос лучше.

Поддерживает ли Community Build C и C++?

По официальной странице редакций Server, C, C++, Obj-C и Swift добавляются в Developer поверх языков Community Build. Значит для C и C++ бесплатной сборки недостаточно.

Есть ли облачная версия SonarQube?

Да, SonarQube Cloud, SaaS с тарифами Free, Team и Enterprise. Free анализирует только основную ветку, платные тарифы подключают ветки и pull request. Hosting и обновления берет на себя Sonar.

Глоссарий

LOC (lines of code) это число строк кода, по которому Sonar считает лицензию коммерческих редакций.

LTA (Long-Term Active) это релиз SonarQube Server с продленной поддержкой, первый в каждом году.

Quality gate это набор условий, при нарушении которых анализ считается проваленным.

Pull request это запрос на слияние изменений, который Developer и выше могут проверять автоматически.

SAST это статический анализ кода на уязвимости без запуска программы.

SCA это анализ сторонних зависимостей на известные уязвимости, доступен с Enterprise.

SSALv1 это лицензия анализаторов в Community Build, отдельная от LGPL v3 самого сервера.

Что делать дальше

Начните с Community Build в Docker и посмотрите, что покажет первый скан. Если упретесь в pull request или C++, сравните Developer на реальном объеме кода. Инструменты, которые пишут этот код, собраны в каталоге VibeCoderz. Разобрать стек и процесс проверки под вашу команду можно на консультации у Максима.

Обновлено: сентябрь 2026. Версии и редакции сверены 29 сентября 2026 года.