Faultr
Selfhosted codekwaliteitsanalyse — op SonarQube-niveau, zonder de SonarQube-server.
Faultr kloont uw repositories, bouwt ze, en voert echte analyzer-plugins uit binnen zijn eigen proces. Boven op de statische analyse voegt het AI-codereview toe, een vijfdimensionale auditsuite, twee adversariële reviewpoorten, architectuurdiagrammen en een elfmethodige codebase-waardering. Elke run is een permanent snapshot; elke twee kunnen worden vergeleken.
11Pijplijnfasen
5AI-subsystemen
10Dependency-ecosystemen
99%Instructiedekking
Het probleem
Codekwaliteitstools zijn ofwel een serverlandschap, ofwel een keuze om data te laten uitstromen.
De gevestigde optie is een afzonderlijke analyseserver met een eigen database, een eigen upgradecyclus en een licentie die meeschaalt met het aantal coderegels. De moderne optie stuurt uw broncode naar de cloud van iemand anders. Geen van beide beantwoordt de vraag die een hoofd engineering eigenlijk heeft, namelijk niet ‘hoeveel code smells’ maar ‘wat is de staat van deze codebase, wat is ze waard, en kan ik dat bewijzen.’
01
Serverlandschap
Een tweede platform om te draaien, te patchen en te licentiëren — plus een scanner in elke pipeline.
02
Broncode die vertrekt
Cloudanalyse betekent dat uw intellectuele eigendom wordt geanalyseerd op infrastructuur die u niet beheert.
03
Regels zonder inzicht
Statische regels zien het ontwerpprobleem nooit — het god-object, de ontbrekende grens, de foute abstractie.
04
Geen commercieel antwoord
Geen kwaliteitstool zegt u wat het zou kosten om de codebase te herbouwen — het cijfer dat de raad van bestuur echt wil weten.
De oplossing
Faultr is de scanner.
01
Geen server te installeren
Faultr implementeert de analyzer-pluginschakel zelf en stuurt industriestandaard analyzer-JAR's rechtstreeks aan, in zijn eigen proces, tegen een werkboom die het zelf kloont en bouwt. Plaats een plugin-JAR, of haal er een uit de publieke catalogus, en ze draait.
02
De build is de eerste poort
Als de code niet compileert, is dat de bevinding — alles verder in de keten wordt overgeslagen in plaats van gerapporteerd tegen verouderde artefacten.
03
Draait air-gapped
Één Spring Boot-applicatie tegenover één PostgreSQL-database, geïnstalleerd via een browserwizard, zonder telemetrie en zonder thuisbel-verkeer. Richt de modellaag op een lokaal endpoint en het volledige platform draait air-gapped.
Gebouwd om eerlijk te falen.
01
Afwezig is geen nul
Een ontbrekend kwetsbaarheidsrapport levert geen metrieken op in plaats van nullen, zodat een project geen kwetsbaarheidspoort kan passeren door simpelweg nooit gescand te zijn.
02
Annuleren is echt
Stop doodt de volledige buildprocesboom, checkpoint bij elke fasegrens, en weigert de laatste opslag — een gestopte run bewaart niets en wordt nooit ‘de laatste analyse’.
03
Fouten zijn geïsoleerd
Een plugin die een fout gooit, wordt een geregistreerde waarschuwing met zijn stacktrace, en de analyse gaat verder — één slechte analyzer kost u nooit de hele run.
Mogelijkheden
01Repositories & het kwaliteitsmodel
- Een project is één Git-repository, met een eigen branch, buildcommando, testcommando, timeout en omgeving.
- Integratie met GitHub, GitLab, Gitea, Forgejo en Codeberg — ook selfhosted instanties — met tokengebaseerd klonen.
- Pollingschema per project, met detectie wanneer de branch verder staat dan de laatste analyse.
- Kwaliteitsprofielen per taal, overerfbaar, met overschrijvingen van ernst en parameters, vastgelegd in elke run zodat een rapport reproduceerbaar blijft.
- Kwaliteitspoorten met metriekvoorwaarden op globale of nieuwe code, en drie kant-en-klare presets: strikt, evenwichtig en soepel.
- Onderdrukkingen op drie gecombineerde assen — regel, bestandspatroon en ernstband — met een live voorbeeld van de treffers, en verouderdheid gemeten in plaats van gegokt.
02Vijf AI-subsystemen
- Codereview van enkel de bestanden gewijzigd sinds de laatst geanalyseerde commit — samenvatting, risico's, naamgeving, ontwerp en suggesties per bestand, plus een globaal risico-oordeel.
- Een auditsuite over de dimensies beveiliging, performantie, compliance, kwaliteit en functionaliteit, elk gescoord op honderd met een lettercijfer en individuele bevindingen.
- Twee reviewpoorten — een constructieve architecturale peer review, en een adversariële red-team-doorlichting van autorisatie, concurrency, databaseveiligheid, gegevensintegriteit en invoervalidatie.
- Zelf geschreven AI-sensoren worden volwaardige regels die net als elke statische regel meedoen in profielen en poorten.
- AI-gegenereerde analyzer-plugins: beschrijf een regel in gewone taal, controleer de gegenereerde broncode, compileer ze, en de regel is actief in uw profiel.
- Dertien modelleveranciers, waarvan zeven lokaal of selfhosted, met versleutelde sleutels, connectiviteitstests en maandelijkse token- en kostenrapportering.
03Architectuurvisualisatie
- Vijf diagramtypes — klasse, sequentie, toestand, entiteit-relatie en dependency.
- Configuratie per project van opgenomen packages, diepte, detailniveau en limieten.
- Architecturale regels zoals no-circular-packages, met overtredingen opgelijst onder het dependencydiagram.
- Pannen en zoomen, broncode kopiëren, export naar SVG en PNG, en vergelijking met het vorige snapshot met een optionele samenvatting van de wijzigingen in gewone taal.
- Een ad-hoc sequentieverkenner die elke methode traceert tegen de actuele werkboom — en expliciet aangeeft wat niet kon worden opgelost.
04Snapshots, vergelijking & waardering
- Elke afgeronde run is een onveranderlijk snapshot met commit, branch, auteur, fasetimings en poortoordeel.
- Vergelijk twee runs: verschillen in metrieken, issues geklasseerd als nieuw, opgelost of blijvend, en wijzigingen in buildstatus, poortstatus en de AI-samenvatting.
- Zet elke metriek in een grafiek over de volledige geschiedenis van een project, met doorklikken naar het snapshot achter elk punt.
- Elf waarderingsmethoden — twee COCOMO-varianten, vier function-point-methoden, reproductiekost, een AI-ondersteund oplevermodel, een documentatiemodel en een totaalcijfer voor een pre-revenue actief.
- Elk cijfer verklaart zichzelf: gemeten inputs, formule, ingevulde getallen en tussenstappen worden vastgelegd terwijl het cijfer wordt berekend.
- Exporteer als PDF met een volledige afleidingsbijlage, of als spreadsheet waarin elke afgeleide cel een levende formule is over benoemde aannamecellen.
05Auditspoor & administratie
- Alleen-toevoegen door constructie en door een databasetrigger — een update- of deletepoging wordt geweigerd op databaseniveau, niet enkel ontmoedigd in de code.
- Een SHA-256-hashketen over een canonieke codering, met een gatenloze volgorde gegarandeerd door een databaselock, en nachtelijke verificatie die manipulatie onderscheidt van een gebroken keten.
- Cursor-gepagineerde export voor een security information and event management-systeem, plus correlatie-ID's die een volledige run, aanvraag of poll groeperen.
- Tweeledige tenancy met een superadmin-contextschakelaar over tenants en organisaties, en concurrency-fairness per tenant.
- Pluginbeheer: detectie, activeren, herladen, updatecontrole, upgraden, herdownloaden en catalogussynchronisatie met checksums.
- Een zesstaps installatiewizard bij de eerste start die de database test, het schema installeert, het eerste account aanmaakt, geheimen genereert en een service-unit schrijft — in veertien talen.
06Beveiliging & governance
- Drie rollen met autorisatie op methodeniveau over het hele oppervlak
- Isolatie van tenant en organisatie gecontroleerd in elke service — leesverzoeken over organisaties heen krijgen niet gevonden als antwoord in plaats van verboden, zodat een identifier nooit door een weigering wordt bevestigd
- AES-256-GCM-versleuteling in rust voor repository-inloggegevens, providertokens en modelsleutels
- Wachtwoorden gehasht met bcrypt; sessies persistent opgeslagen zodat aanmeldingen een herstart overleven, beperkt per gebruiker
- Opstarten in productie weigert een meegeleverde standaardsleutel voor versleuteling of een standaard ondertekeningsgeheim
- Strikte content security policy, weigering van frames, bescherming tegen cross-site requests, allow-list van vertrouwde proxy's
- Validatie van uitgaande requests die private en loopback-bereiken blokkeert
- Audittrail met hashketen, beschermd door triggers, met nachtelijke verificatie en export naar event management
- Scannen van afhankelijkheden op kwetsbaarheden, ingebouwd in de build met een drempel op score zeven
- De build faalt bij elke cyclische afhankelijkheid tussen packages
■Java 21 op Spring Boot 4, enkele JAR of systeemdienst; PostgreSQL 15 of hoger met 60 geversioneerde migraties.
■Analyzer-pluginschakel geïmplementeerd in-process, één geïsoleerde classloader per plugin, gecachet over meerdere runs.
■Werkt met elke buildtool — Maven, Gradle, npm, dotnet, Python en al wat in een shell kan draaien.
■REST-API met OpenAPI, een uniforme antwoordenvelop, en overal getypeerde request- en response-objecten.
■Native metrieken over 18 bestandstypes, dependency-parsing over 10 ecosystemen, analyzer-plugins voor Java, JavaScript, TypeScript, Python en XML standaard aan boord.
■Circa 66.000 regels applicatiecode, 55 entiteiten, 243 testbestanden; 99% instructie- en 98% branchdekking op de meegenomen bundel.
Sectoren
Voor wie het werkt
Engineering- & platformteams
Continue codekwaliteit, AI-review en architectuurdiagrammen zonder een tweede serverpark te beheren of broncode naar een gehoste analyser te sturen.
Banken, fintech & verzekeringen
Fraudebestendige audit, SIEM-export en volledige selfhosting voor code die een gereguleerd bezit is, plus diagrammen van langlevende kernsystemen.
Overheid & defensie
Air-gapped installatie met lokale modellen: geen call home, geen content delivery network, elke dependency zit in het artefact.
Zorgsoftware
Compliance-audit van uw eigen code, met een hash-geketend register van wie wat wanneer heeft geanalyseerd.
Kritieke infrastructuur
Inlezen van kwetsbaarheden en poortcondities waaraan u niet voldoet door gewoon nooit een scan uit te voeren.
Managed service providers
Tenant- en organisatiehiërarchie met eerlijke verdeling van gelijktijdige analyses per tenant en bewaartermijnen per organisatie, voor wie code van veel klanten analyseert.
Due diligence & IP-waardering
Een geprint diligence-dossier en een onafhankelijke, reproduceerbare waardering van een codebase, met elk cijfer afgeleid en elke aanname aanpasbaar.
Kostengedreven migraties
Organisaties die een analyselicentie per regel code heroverwegen en dezelfde analyzer-plugins willen zonder server of teller.
Toepassingen in de praktijk
Voorbeeldscenario’s
01 · Overheid & defensie
Codekwaliteitsanalyse op een netwerk zonder uitgang
- Uitdaging
- Een ontwikkelteam op een afgesloten netwerk kan geen gehoste analyser gebruiken, en een aparte analyseserver met eigen database en upgradecyclus is nog een systeem om te laten accrediteren. Reviews hangen dus af van wie tijd heeft om de diff te lezen.
- Aanpak
- Faultr wordt via de browserwizard geïnstalleerd als één applicatie tegen PostgreSQL, met de analyzer-plugins in-process en de AI-modellaag gericht op een lokaal model-endpoint. Elk project pollt de interne Git-server, bouwt, en wordt beoordeeld door een kwaliteitspoort met de strikte preset.
- Resultaat
- Elke wijziging krijgt statische analyse en een AI-review van de gewijzigde bestanden, en noch broncode noch telemetrie verlaat het netwerk.
02 · Due diligence & IP-waardering
Een verdedigbaar cijfer voor een codebase bij een overname
- Uitdaging
- Een overnemer wil weten wat de software van het doelwit zou kosten om opnieuw te bouwen en hoe gezond ze is. Technische due diligence betekent meestal interviews en een Excel-raming waarvan niemand de aannames kan nagaan.
- Aanpak
- Faultr analyseert de repositories van het doelwit, draait de auditsuite over beveiliging, performantie, compliance, kwaliteit en functionaliteit, en berekent de elf waarderingsmethoden. Het resultaat wordt geëxporteerd als pdf met een volledige afleidingsbijlage en als spreadsheet waarin elke afgeleide cel een live formule is over benoemde aannamecellen.
- Resultaat
- Elk cijfer in het dossier is terug te voeren op gemeten input, en beide partijen in de onderhandeling kunnen de aannames zelf aanpassen in plaats van te discussiëren over één getal.
03 · Banken, fintech & verzekeringen
Bewijs van codekwaliteit dat een auditor kan controleren
- Uitdaging
- In een gereguleerde financiële instelling vragen auditors welke code wanneer is geanalyseerd en of kwetsbaarheden een release hebben tegengehouden. De antwoorden zitten verspreid in pipelinelogs en screenshots, en een project dat nooit gescand is, ziet er hetzelfde uit als een schoon project.
- Aanpak
- Faultr registreert elke run in zijn append-only, met SHA-256 geketende audittrail en exporteert die naar de SIEM. Kwaliteitspoorten bevatten kwetsbaarheidscondities waaraan een ontbrekend rapport niet kan voldoen, en de adversariële red-teampoort beoordeelt autorisatie, gelijktijdigheid, databaseveiligheid, data-integriteit en inputvalidatie.
- Resultaat
- Auditvragen worden beantwoord vanuit een register dat de database zelf weigert te wijzigen, en geen enkel project passeert zijn poort door de scan gewoon over te slaan.
Licentie
Per implementatie. Nooit per gebruiker.
Gelicentieerd per installatie of per tenant — honderd of duizend repositories analyseren verandert de prijs niet. Het draait tegen uw eigen modelsleutels zonder dat code uw netwerk verlaat, met een jaarlijkse vergoeding op basis van uw eigen omzet (vanaf €900 minimum, met een jaarlijkse stijging van maximaal 25%). Elke schijf omvat onbeperkte gebruikers, projecten en organisaties binnen één tenant, plus selfhosting en support; hosting, hardware en AI-modelkosten zijn voor uw rekening, en consultancy wordt apart geofferteerd.
Jaarlijkse licentie volgens omzet, excl. btw
| Omzet | Per jaar |
|---|
| Tot €500.000 | €900 |
|---|
| €1 mln | €1.500 |
|---|
| €5 mln | €2.500 |
|---|
| €25 mln | €5.500 |
|---|
| €100 mln | €13.000 |
|---|
| €500 mln | €37.000 |
|---|
| €1 mld | €52.000 |
|---|
Ter illustratie: een analyseabonnement per ontwikkelaar aan €30 per maand factureert een team van zestig mensen €21.600 per jaar; bij een omzet van €5 miljoen is dit €2.500.
Wat het doet
- 01Geen analyseserver te installeren — Faultr stuurt zelf echte analyzer-plugins aan, in zijn eigen proces, tegen een build die het zelf kloont en uitvoert.
- 02Vijf AI-subsystemen boven op de statische analyse: codereview, een auditsuite, twee adversariële reviewpoorten en AI-gegenereerde regels.
- 03Een elfmethodige codebase-waardering met een levende spreadsheet, zodat een reviewer een aanname kan wijzigen en het cijfer zien veranderen.
In het kort
CategorieCodekwaliteitsplatform
LicentiePer implementatie, onbeperkt gebruikers, vanaf €900 per jaar
Voor wieGereguleerde IT · Defensie · Due Diligence · Platformteams
Geef ons één repository.
Wij bouwen het, analyseren het, reviewen het, brengen het in diagrammen en waarderen het — en overhandigen u het dossier, wat er ook in staat.Start het gesprek →