Open-codebeoordeling in 2026: de open-sourcetools, de opsplitsing tussen zelf-host en gehost, en wat 'gratis' echt kost

Open code review is in 2026 geen metafoor meer. Alibaba heeft deze zomer zijn interne AI-reviewer als open source uitgebracht onder de naam open-code-review en voegt zich daarmee bij een zelfgehost landschap met onder meer Qiniu's ReviewBot en PR-Agent — tools die je draait met je eigen modelsleutels, op je eigen server, gekoppeld aan je eigen CI. De licentie is gratis; wat je daadwerkelijk kost is alles eromheen: modeltokens, een plek om het te draaien en de beveiligingsinfrastructuur die voorkomt dat een reviewer de code die hij leest laat uitlekken. Onze aanbeveling is de gehoste route: review via een gateway die de lijstprijzen van providers direct doorberekent zonder opslag en gebruikmaakt van de sleutels die je al hebt. Dat is waar onze code-reviewpagina voor pleit, en deze gids neemt je mee door de tools, de kostenbalans en de gevallen waarin het gehoste antwoord het verkeerde is.

Zoeken naar "open code review" in augustus 2026 levert vooral de open-code-review-repository, documentspiegels en een npm-pagina op. Ze vertellen je dat de tool bestaat en hoe je hem installeert. Geen van hen beantwoordt de onderliggende beslissing: open source en self-hosted zijn niet dezelfde keuze, "gratis" stopt bij de licentie, en de modeltokens kosten dezelfde catalogusprijs, of je de reviewer nu host of niet. Deze pagina is die ontbrekende beslissingsgids — en het is een productgids, geen modelreview.

Wat 'open code review' betekent in 2026

De term heeft nu een concrete referent. Medio 2026 bracht Alibaba open-code-review onder een Apache-2.0-licentie uit, zijn interne AI-assistent voor codebeoordeling — twee jaar intern gebruik, tienduizenden ontwikkelaars, miljoenen gesignaleerde defecten. Het ontwerp is een hybride: deterministische pipelines verzorgen bestandsselectie, regelmatching en commentaarplaatsing, terwijl een LLM-agent het redeneren voor zijn rekening neemt. Je installeert het met npm install -g @alibaba-group/open-code-review, waarna ocr review de workspace beoordeelt, ocr scan een onbekende codebase auditeert, en ocr config model het naar elk OpenAI- of Anthropic-compatibel endpoint wijst, inclusief een lokaal endpoint. Het wordt geleverd met een fijn afgestemde regelset die NPE, threadveiligheid, XSS en SQL-injectie dekt, en het is bewust conservatief: in zijn eigen AACR-Bench-evaluatie (50 populaire repositories, 200 echte pull-requests, kruisgevalideerd door meer dan 80 senior engineers), rapporteert het een hogere precisie dan een generalistische agent zoals Claude Code met ruwweg een negende van de tokens — met een lagere recall, een afweging die de voorkeur geeft aan een paar nauwkeurige opmerkingen boven uitputtende, ruizige.

Het open-sourceveld daaromheen is breder. Qiniu's ReviewBot is een zelfgehoste reviewer voor GitHub en GitLab die linters (golangci-lint, pylint, shellcheck en soortgelijke tools) orkestreert en een AI-laag toevoegt die bevindingen uitlegt en oplossingen voorstelt; het draait in Docker of Kubernetes. PR-Agent (MIT) begon deze categorie als een GitHub Action met /review, /improve en /ask-commando's en een CLI die je overal kunt draaien. Wat het hele veld gemeen heeft: geen van hen levert het model mee. Je neemt je eigen API-sleutel mee naar welke provider je ook kiest, en dat is waar het echte kostenverhaal begint.

Self-hosted vs hosted — het grootboek dat niemand afdrukt

Een vrije licentie is geen gratis tool. Op het moment dat je een van deze zelf host, ben je verantwoordelijk voor vijf dingen:

• Modeltokens. Dezelfde lijstprijs die u via elke gateway zou betalen — zelfhosting biedt daar geen korting op.

• Een plek om het te draaien. Een server, een CI-runner of een containerplatform met voldoende geheugen en een open webhook-endpoint.

• De bedrading. Repo-machtigingen, tokenlevenscyclus, de webhook → reviewer → comment-loop, en updates wanneer de tool of de provider verandert.

• Guardrails.Een reviewer die je diffs leest, kan geheimen doorsturen naar de modelprovider, PII over een grens sturen, of ten prooi vallen aan een prompt-injection die verborgen zit in een PR-commentaar dat hem opdraagt goed te keuren. Zelfgehoste open source maakt van jou het beveiligingsteam; geen van de README's reikt je dat aan.

• Audit. Wie heeft wat beoordeeld, welk model, tegen welke kosten, en wat er is gesignaleerd — jij stelt het logboek samen.

De tokens kosten aan beide zijden van het grootboek hetzelfde. Een typische reviewronde leest ongeveer 25K invoertokens en schrijft 4K. Tegen de lijstprijzen van GPT-5.5 — $5 per miljoen invoer, $30 per miljoen uitvoer — kost één ronde ongeveer $0,245. Bij DeepSeek V4 Flash, tegen $0,14 en $0,28 per miljoen, kost een screeningronde een fractie van een cent. Self-hosting verlaagt die rekening niet; je betaalt nog steeds de lijstprijs van de provider. Wat self-hosting oplevert is privacy en controle, en wat het kost is ops- en beveiligingswerk.

De gehoste route zonder opslag — OrcaRouter

Dit is waar het gateway-antwoord zijn plek verdient. OrcaRouter is een AI-gateway met 0%-opslag: de lijstprijzen van providers gaan er rechtstreeks doorheen — de site vermeldt een "nulopslaggarantie" — en het ondersteunt bring-your-own-key, zodat je de providersleutels, snelheidslimieten en tegoeden kunt gebruiken die je al hebt. Meer dan tweehonderd modellen zitten achter één OpenAI-compatibel eindpunt, en de code-reviewfunctie is ingebouwd in de gateway zelf in plaats van verkocht als een apart product per zitplaats. Dat laatste punt is het belangrijkste om op te merken: review is een routeringsrecept op infrastructuur waar je mogelijk al voor betaalt, niet weer een abonnement.

OrcaCode Review draait als een tweetrapsrecept. Elke push wordt binnen enkele seconden gescreend door een goedkoop frontier-model; schone passes worden doorgestuurd naar een sterk model voor een grondige pass; en P0-P1-bevindingen zorgen dat de GitHub-check faalt, waardoor de merge wordt geblokkeerd totdat deze is opgelost of goedgekeurd. Het standaardrecept draait op GPT-5.5 tegen de lijstprijs, en omdat het een gewoon gateway-recept is, kan elke pass worden omgewisseld naar een van de 200+ modellen — of worden gesplitst, met een goedkope screening op DeepSeek V4 Flash en een sterke eindpass op een frontier-model. Het installeert als een GitHub-app met één klik, zonder repositorygeheim en zonder workflowbestand, of als een enkel workflowbestand voor teams die de actie in hun eigen CI willen.

De vangrails die een self-hosted reviewer je dwingt te bouwen, zijn op de gateway standaard ingeschakeld. PII Shield en het contentbeleid worden gehandhaafd voordat er wordt gefactureerd — een verzoek dat deze activeert, wordt onderschept voordat er een token in rekening wordt gebracht. De agent-firewall beoordeelt tool- en MCP-aanroepen voordat ze worden uitgevoerd. Elke aanroep laat een verzoeklog achter — beoordeling, model, latentie, kosten — en het platform beschikt over een volledig audittrail met licenties, uitgavenlimieten en RBAC. Voor codebeoordeling in het bijzonder worden geheimen, PII en prompt-injectie gemaskeerd voordat de tokens je repository verlaten. Wees precies over wat dat oplevert: dit zijn gates vóór facturering en vóór uitvoering, plus een log, geen bewijs dat je code veilig is. De review constateert mogelijke problemen; een mens bepaalt nog steeds de ernst van de serieuze gevallen.

Wat het werkelijk kost

Reken het door op de schatter die OrcaRouter publiceert op zijn code-reviewpagina. Een team van vijf ontwikkelaars, 40 pull-requests per maand, vier pushes per PR, ruwweg 25K-in/4K-out tokens per pass tegen de catalogusprijzen van GPT-5.5: ongeveer $53,90 per maand aan tokens. Daar tegenover staat CodeRabbit Pro voor $24 per ontwikkelaar per maand bij jaarlijkse facturatie – ruwweg $120 voor vijf seats – en Greptile voor $30 per seat. Cursor's Bugbot is in juni 2026 overgestapt op verbruiksgebaseerde facturatie tegen ongeveer $1,00–1,50 per review. De gateway factureert de tokens die je daadwerkelijk gebruikt tegen dezelfde catalogusprijs die je rechtstreeks aan de provider zou betalen, zonder opslag, en met BYOK kunnen die tokens worden onttrokken aan tegoeden die je al hebt.

Per-seat-producten leveren je afwerking en een onderhouden workflow op, en ze schalen met het aantal medewerkers, niet met het gebruik. Per-token-geprijsde reviews schalen met het reviewvolume. Bij zeer kleine teams kan per-seat winnen; zodra het PR-volume reëel is, is per-token goedkoper, en de kloof wordt groter naarmate het aantal reviews groeit.

Wanneer deze aanbeveling onjuist is

• Uw code mag uw netwerk niet verlaten. Air-gapped teams zouden de open-source tool zelf moeten hosten — of OrcaRouter Enterprise draaien, dat de volledige gateway, router, guardrails en review-actie binnen uw eigen VPC kan implementeren. Geen gehoste optie haalt die lat, en het is een nalevingsvereiste, geen voorkeur.

• Je wilt geen vendor en volledige controle over prompts.De open-source tools zijn controleerbaar, forkbaar en van jou. Het recept van OrcaCode Review is aanpasbaar, maar het blijft gehost. Als open source een beleidsbeslissing is bij jouw bedrijf, is de open-source tool het eerlijke antwoord — en het kost je het bovenstaande beveiligingswerk.

• Je PR-volume is minuscuul. Een handvol reviews per week heeft geen routing nodig. open-code-review met je eigen sleutel is daar echt prima; de gateway verdient zijn bestaansrecht zodra er genoeg pull requests zijn om de kosten te rechtvaardigen.

• Je werkt in GitLab of Bitbucket. De one-click-reviewapp is tegenwoordig GitHub. ReviewBot biedt native ondersteuning voor GitHub en GitLab, dus een GitLab-omgeving moet dat meewegen — of het workflow-bestandspad in GitLab CI opnemen.

• Je behandelt AI-review als certificering. LLM's zijn inconsistent tussen runs, hallucineren en kunnen exploiteerbaarheid niet bewijzen. Blokkeer de merge bij kritieke bevindingen, voer de review opnieuw uit na fixes, en houd een mens verantwoordelijk voor de architectuur- en ontwerpreview. De goedkope screening en de sterke controle vinden echte bugs; ze vervangen geen reviewer die het systeem kent.

De korte versie

Open code review in {{1}}2026{{/1}} is echt, open-source en alleen gratis tot aan de licentie. Alibaba's open-code-review, Qiniu's ReviewBot en PR-Agent zijn het waard om te kennen — ze {{2}}werken allemaal met je eigen API-sleutel{{/2}}, en ze rekenen je allemaal af in modeltokens, operationele tijd en securitywerk. De gehoste route lijkt duurder tot je de rekening opstelt: {{3}}op een gateway zonder opslag met BYOK{{/3}} betaal je dezelfde lijstprijzen als je self-hosted setup zou betalen, en de beveiligingsmaatregelen, agent-firewall en audittrail zitten erbij inbegrepen. Begin daar, en host zelf wanneer {{4}}de code het gebouw niet mag verlaten{{/4}}.

Als de gehoste route de bestemming is, staan de volledige doorloop — en de kostenraming — oponze code-reviewpagina: een gateway met 0% opslag, je eigen modelsleutels en P0-P1-bevindingen die de merge blokkeren. Installeer de GitHub App gratis, geen creditcard nodig.