SonarQube

SonarQube MCP Server

Der SonarQube MCP Server ist ein Model Context Protocol (MCP)-Server, der eine nahtlose Integration mit SonarQube Server oder Cloud für Codequalität und Sicherheit ermöglicht. Er unterstützt außerdem die Analyse von Codeausschnitten direkt im Agent-Kontext.

Beginnen Sie mit der Schnelleinrichtung oder erfahren Sie mehr über die SonarQube-Produktfamilie.

Schnelleinrichtung

🚀 Konfiguration generieren

Am schnellsten gelingt der Einstieg mit dem SonarQube MCP Server Configuration Generator – einem interaktiven Tool, das eine sofort einsatzbereite Konfiguration für den bevorzugten KI-Agent-Client erstellt.

Manuelle Einrichtung

Wenn Sie die Konfiguration lieber selbst vornehmen möchten, ist die einfachste Methode die Verwendung unseres Container-Images unter sonarsource/sonarqube-mcp. Verwenden Sie sonarsource/sonarqube-mcp für automatische Aktualisierungen (mit --pull=always) oder fixieren Sie die Version mit einem Versions-Tag (z. B. sonarsource/sonarqube-mcp:1.19.0.2785), um reproduzierbare Bereitstellungen zu gewährleisten. Einige Releases sind außerdem mit der SonarQube-Server-Version gekennzeichnet, auf die sie abgestimmt sind, im Format <SQS major>.<SQS minor>.<patch> (z. B. sonarsource/sonarqube-mcp:2026.5.0). Dabei wird die Patch-Nummer für jedes MCP-Release erhöht, das auf diese SonarQube-Server-Version abzielt. Lesen Sie weiter unten, wenn Sie den Server lokal erstellen möchten.

Hinweis: Die folgenden Beispiele verwenden zwar docker, aber jede OCI-kompatible Container-Laufzeitumgebung funktioniert (z. B. Podman, nerdctl). Ersetzen Sie docker einfach durch Ihr bevorzugtes Tool.

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": ["run", "--init", "--pull=always", "-i", "--rm", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_ORG", "sonarsource/sonarqube-mcp"],
      "env": {
        "SONARQUBE_TOKEN": "<YOUR_TOKEN>",
        "SONARQUBE_ORG": "<YOUR_ORG>"
      }
    }
  }
}

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": ["run", "--init", "--pull=always", "-i", "--rm", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_URL", "sonarsource/sonarqube-mcp"],
      "env": {
        "SONARQUBE_TOKEN": "<YOUR_USER_TOKEN>",
        "SONARQUBE_URL": "<YOUR_SERVER_URL>"
      }
    }
  }
}

claude mcp add sonarqube \
  --env SONARQUBE_TOKEN=$SONAR_TOKEN \
  --env SONARQUBE_ORG=$SONAR_ORG \
  -- docker run --init --pull=always -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_ORG sonarsource/sonarqube-mcp

claude mcp add sonarqube \
  --env SONARQUBE_TOKEN=$SONAR_USER_TOKEN \
  --env SONARQUBE_URL=$SONAR_URL \
  -- docker run --init --pull=always -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_URL sonarsource/sonarqube-mcp

[mcp_servers.sonarqube]
command = "docker"
args = ["run", "--init", "--pull=always", "--rm", "-i", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_ORG", "sonarsource/sonarqube-mcp"]
env = { "SONARQUBE_TOKEN" = "<YOUR_USER_TOKEN>", "SONARQUBE_ORG" = "<YOUR_ORG>" }

[mcp_servers.sonarqube]
command = "docker"
args = ["run", "--init", "--pull=always", "--rm", "-i", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_URL", "sonarsource/sonarqube-mcp"]
env = { "SONARQUBE_TOKEN" = "<YOUR_TOKEN>", "SONARQUBE_URL" = "<YOUR_SERVER_URL>" }

gemini extensions install https://github.com/SonarSource/sonarqube-agent-plugins

/mcp add

Server Name: sonarqube
Server Type: Local (Press 1)
Command: docker
Arguments: run, --init, --pull=always, --rm, -i, -e, SONARQUBE_TOKEN, -e, SONARQUBE_ORG, sonarsource/sonarqube-mcp
Environment Variables: SONARQUBE_TOKEN=<YOUR_TOKEN>,SONARQUBE_ORG=<YOUR_ORG>
Tools: *

Server Name: sonarqube
Server Type: Local (Press 1)
Command: docker
Arguments: run, --init, --pull=always, --rm, -i, -e, SONARQUBE_TOKEN, -e, SONARQUBE_URL, sonarsource/sonarqube-mcp
Environment Variables: SONARQUBE_TOKEN=<YOUR_USER_TOKEN>,SONARQUBE_URL=<YOUR_SERVER_URL>
Tools: *

{
  "mcpServers": {
    "sonarqube": {
      "type": "local",
      "command": "docker",
      "args": [
        "run",
        "--init",
        "--pull=always",
        "--rm",
        "-i",
        "-e",
        "SONARQUBE_TOKEN",
        "-e",
        "SONARQUBE_ORG",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_TOKEN": "COPILOT_MCP_SONARQUBE_TOKEN",
        "SONARQUBE_ORG": "COPILOT_MCP_SONARQUBE_ORG"
      },
      "tools": ["*"]
    }
  }
}

{
  "mcpServers": {
    "sonarqube": {
      "type": "local",
      "command": "docker",
      "args": [
        "run",
        "--init",
        "--pull=always",
        "--rm",
        "-i",
        "-e",
        "SONARQUBE_TOKEN",
        "-e",
        "SONARQUBE_URL",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_TOKEN": "COPILOT_MCP_SONARQUBE_USER_TOKEN",
        "SONARQUBE_URL": "COPILOT_MCP_SONARQUBE_URL"
      },
      "tools": ["*"]
    }
  }
}

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": [
        "run",
        "--init",
        "--pull=always",
        "-i",
        "--rm",
        "-e", 
        "SONARQUBE_TOKEN",
        "-e",
        "SONARQUBE_ORG",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_TOKEN": "<YOUR_TOKEN>",
        "SONARQUBE_ORG": "<YOUR_ORG>"
      },
      "disabled": false,
      "autoApprove": []
    }
  }
}

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": [
        "run",
        "--init",
        "--pull=always",
        "-i",
        "--rm",
        "-e", 
        "SONARQUBE_TOKEN",
        "-e",
        "SONARQUBE_URL",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_TOKEN": "<YOUR_USER_TOKEN>",
        "SONARQUBE_URL": "<YOUR_SERVER_URL>"
      },
      "disabled": false,
      "autoApprove": []
    }
  }
}

{
  "sonarqube_token": "YOUR_SONARQUBE_TOKEN",
  "sonarqube_org": "SONARQUBE_ORGANIZATION_KEY",
  "docker_path": "DOCKER_PATH"
}

{
  "sonarqube_token": "YOUR_SONARQUBE_USER_TOKEN",
  "sonarqube_url": "YOUR_SONARQUBE_SERVER_URL",
  "docker_path": "DOCKER_PATH"
}

💡 Tipp: Wir empfehlen, regelmäßig oder vor dem Melden von Problemen das neueste Image abzurufen, damit Sie über die aktuellsten Funktionen und Fehlerbehebungen verfügen.

Manuelle Installation

Sie können den SonarQube MCP Server manuell installieren, indem Sie den folgenden Ausschnitt in die Konfigurationsdatei der MCP-Server kopieren:

• Verbindung mit SonarQube Cloud:

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run",
      "--init",
      "--pull=always",
      "-i",
      "--rm",
      "-e",
      "SONARQUBE_TOKEN",
      "-e",
      "SONARQUBE_ORG",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_ORG": "<org>"
    }
  }
}

• Verbindung mit SonarQube Server:

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run",
      "--init",
      "--pull=always",
      "-i",
      "--rm",
      "-e",
      "SONARQUBE_TOKEN",
      "-e",
      "SONARQUBE_URL",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

Integration mit SonarQube for IDE

Der SonarQube MCP Server lässt sich in SonarQube for IDE integrieren, um Ihren Entwicklungsworkflow weiter zu verbessern und bessere Codeanalysen und Einblicke direkt in Ihrer IDE bereitzustellen.

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run",
      "--init",
      "--pull=always",
      "-i",
      "--rm",
      "-e",
      "SONARQUBE_TOKEN",
      "-e",
      "SONARQUBE_ORG",
      "-e",
      "SONARQUBE_IDE_PORT",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_ORG": "<org>",
      "SONARQUBE_IDE_PORT": "<64120-64130>"
    }
  }
}

Konfiguration

Je nach Umgebung sollten Sie bestimmte Umgebungsvariablen angeben.

Basis

Beim Ausführen des MCP Servers sollten Sie die folgende Variable hinzufügen:

Workspace-Einbindung (Reduzierung des Kontextumfangs)

Standardmäßig erfordert das Analysetool analyze_code_snippet, dass der Agent den vollständigen Dateiinhalt als Argument fileContent übergibt. Bei großen Dateien oder der Analyse vieler Dateien in einer Sitzung erhöht dies den Kontextfensterverbrauch und die Kosten erheblich.

Lösung: Binden Sie Ihr Projektverzeichnis im Container unter /app/mcp-workspace ein. Wenn diese Einbindung erkannt wird, liest der Server Dateien direkt von der Festplatte und verwendet dafür das projektrelative Argument filePath — der Dateiinhalt wird nie durch den Agentenkontext geleitet.

{
  "args": [
    "run", "-i", "--rm", "--init", "--pull=always",
    "-e", "SONARQUBE_TOKEN",
    "-e", "SONARQUBE_ORG",
    "-v", "/path/to/your/project:/app/mcp-workspace",
    "sonarsource/sonarqube-mcp"
  ]
}

Bei einer Einbindung lesen Analysetools Dateien direkt mithilfe von filePath; fileContent wird nicht benötigt.

Bei stdio wird die Analyse beim Start ausgewählt (abhängig von den aktivierten Toolsets):

• SonarQube Cloud: Vortex-Analyse (run_advanced_code_analysis) mit einer Workspace-Einbindung und mindestens einer berechtigten Organisation; andernfalls lokale Analyse. Die Vortex-Analyse akzeptiert nur berechtigte Organisationen.
• SonarQube Server: Vortex-Analyse für berechtigte Instanzen (erfordert eine Workspace-Einbindung); lokale Analyse für Instanzen ohne Vortex.

Bei der lokalen Analyse wird SonarQube for IDE verwendet, sofern eine Verbindung besteht, andernfalls analyze_code_snippet. Ohne Einbindung erfordert die Snippet-Analyse fileContent.

Bei Cloud stdio beschränkt SONARQUBE_ORG die Berechtigungsprüfung auf diese Organisation. Um Snippets für alle Organisationen zu verwenden, setzen Sie SONARQUBE_FORCE_LOCAL_ANALYSIS=true, aktivieren Sie das Toolset analysis und starten Sie neu. Diese Einstellung betrifft nur Cloud stdio.

Über HTTP/HTTPS unterstützen Cloud und Server analyze_code_snippet, wenn der MCP-Server über ein Start-SONARQUBE_TOKEN verfügt und das Toolset analysis aktiviert ist. Das Start-Token ist für die Initialisierung des Analyzers erforderlich (Cloud-Plugins werden anonym heruntergeladen); Aufrufe verwenden das Token des Aufrufers und bei Cloud die für die Anfrage ausgewählte Organisation, um Qualitätsprofile und aktive Regeln abzurufen. Ohne Start-Token sind die Snippet-Analyse und Analyzer-Downloads deaktiviert, auch mit SONARQUBE_FORCE_LOCAL_ANALYSIS=true. Eine Vortex-Berechtigung ist nicht erforderlich.

Selektive Aktivierung von Tools

MCP-Clients laden bei jeder Unterhaltung jedes aktivierte Tool — seinen Namen, seine Beschreibung und sein Eingabeschema — in den Kontext des Agenten. Durch Begrenzung dieser Liste mit SONARQUBE_TOOLSETS werden der Kontextverbrauch und die Tokenkosten jeder Sitzung reduziert.

Standardmäßig sind nur wichtige Toolsets aktiviert. Aktivieren Sie zusätzliche Toolsets nur bei Bedarf.

docker run --init --pull=always -i --rm \
  -e SONARQUBE_TOKEN="<token>" \
  -e SONARQUBE_ORG="<org>" \
  -e SONARQUBE_TOOLSETS="analysis,issues,quality-gates" \
  sonarsource/sonarqube-mcp

docker run --init --pull=always -i --rm \
  -e SONARQUBE_TOKEN="<token>" \
  -e SONARQUBE_ORG="<org>" \
  -e SONARQUBE_READ_ONLY="true" \
  sonarsource/sonarqube-mcp

SonarQube Cloud

Konfigurieren Sie für stdio die folgenden Umgebungsvariablen:

Beispiele:

• SonarQube Cloud: Nur SONARQUBE_TOKEN ist erforderlich. SONARQUBE_ORG legt die Organisation fest, wenn angegeben.
• SonarQube Cloud US: Setzen Sie SONARQUBE_TOKEN und SONARQUBE_URL=https://sonarqube.us; SONARQUBE_ORG ist optional.

SonarQube Server

Versionsanforderung: Erforderlich ist SonarQube Server 2025.1 (SQS) oder 25.1 (SonarQube Community Build) oder höher. Beim Start liest der MCP-Server die Version der verbundenen Instanz aus und wird mit einem Fehler beendet, wenn sie zu alt ist (beispielsweise werden ältere Server-Versionen 9.x/10.x und Community Build 24.x nicht unterstützt). SonarQube Cloud ist von dieser Prüfung nicht betroffen.

⚠️ Für die Verbindung mit SonarQube Server ist ein Token vom Typ USER erforderlich. Mit Projekt- oder globalen Tokens funktioniert sie nicht ordnungsgemäß.

💡 Konfigurationstipp (stdio-Modus): Ohne URL wird standardmäßig SonarQube Cloud verwendet. Setzen Sie SONARQUBE_URL für SonarQube Server oder eine andere Cloud-Region. SONARQUBE_ORG legt die Cloud-Organisation fest, wenn angegeben.

Bei stdio legt das Setzen von SONARQUBE_ORG die Cloud-Organisation fest. Argumente des Tools organization werden aus den Schemas ausgelassen und abgelehnt, ebenso wie projectKey, wenn SONARQUBE_PROJECT_KEY gesetzt ist.

Wenn SONARQUBE_ORG nicht gesetzt ist, können Agents list_organizations aufrufen, um Organisationsschlüssel, Namen, IDs und UUIDs zu ermitteln, auf die Ihr Benutzerkonto zugreifen kann. Anschließend können sie einen Schlüssel als optionales Argument organization an organisationsbezogene Tools übergeben. Bei stdio bleibt eine eindeutig erkannte Organisation als Standard festgelegt; bei keiner oder mehreren Organisationen bleibt sie unbestimmt. Ein Toolargument gilt nur für den jeweiligen Aufruf und ändert niemals die erkannte Standardorganisation. Snippet-Profil- und Regelsuchen verwenden die für diesen Aufruf ausgewählte Organisation.

Bei HTTP/HTTPS-Tokenanfragen wird SONARQUBE_ORG auf Serverebene aus Kompatibilitätsgründen weiterhin unterstützt, ist jedoch veraltet und erzeugt eine Startwarnung. Damit wird die Organisation für jede Anfrage festgelegt; Organisationsheader von Clients und Toolargumente organization werden abgelehnt. Wenn keine Serverorganisation konfiguriert ist, legt ein optionaler Clientheader SONARQUBE_ORG die Organisation für diese Anfrage fest und schließt Toolargumente organization aus. Ohne Header verwenden Sie das Toolargument. Tools, die eine Organisation benötigen, geben Hinweise zur Ermittlung aus, wenn alle Angaben fehlen. Für die Organisationsermittlung und Tools, deren APIs ausschließlich Ressourcenkennungen verwenden, ist kein Organisationsargument erforderlich. Die organisationsbezogene Issue-Suche und Berechtigungsprüfungen für Abhängigkeitsrisiken verwenden die ausgewählte Organisation. Wenn OAuth konfiguriert ist, wird SONARQUBE_ORG auf Serverebene abgelehnt. OAuth-Anfragen lehnen Organisationsheader ebenfalls ab; wählen Sie Organisationen über Toolargumente aus.

Vortex-Kontexttools verwenden die konfigurierte oder beim Start eindeutig erkannte Organisation. Organisationsargumente zur Laufzeit konfigurieren die proxied Context Engine nicht neu; bei einer unbestimmten Startorganisation wird dieser Proxy übersprungen. Das integrierte Tool run_advanced_code_analysis prüft bei jedem Aufruf die kombinierte Vortex-Berechtigung für die ausgewählte Organisation.

Transportmodi

Die MCP-Spezifikation definiert zwei Transportmechanismen: Stdio und Streamable HTTP. Der SonarQube MCP Server unterstützt beide:

Hinweis: Streamable HTTP ist der aktuelle MCP-Netzwerktransport. Der ältere HTTP-Transport, der ausschließlich SSE verwendete und in früheren MCP-Versionen zum Einsatz kam, ist veraltet und wird nicht unterstützt.

1. Stdio (Standard – für lokale Entwicklung empfohlen)

Der empfohlene Modus für lokale Entwicklung und Einzelbenutzerkonfigurationen, der von den meisten MCP-Clients verwendet wird.

Beispiel – Docker mit SonarQube Cloud:

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": ["run", "--init", "--pull=always", "-i", "--rm", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_ORG", "sonarsource/sonarqube-mcp"],
      "env": {
        "SONARQUBE_TOKEN": "<your-token>",
        "SONARQUBE_ORG": "<your-org>"
      }
    }
  }
}

2. HTTP (Streamable HTTP)

Unverschlüsselter Streamable-HTTP-Transport. Verwenden Sie für Mehrbenutzerbereitstellungen stattdessen HTTPS.

⚠️ Nicht empfohlen: Verwenden Sie Stdio für die lokale Entwicklung oder HTTPS (Streamable HTTP) für Mehrbenutzer-Produktionsbereitstellungen.

• SONARQUBE_ORG ist ein optionaler Request-Header, der die Organisation für diese Anfrage festlegt. Die veraltete Konfiguration auf Serverebene legt sie für alle Anfragen fest und weist Organisations-Header von Clients sowie Organisationsargumente von Tools zurück.
• Organisationsbewusste Tools akzeptieren das optionale Argument organization, wenn weder die Serverkonfiguration noch der Request-Header die Organisation festlegt. Wird das Argument angegeben, obwohl die Organisation festgelegt ist, wird die Anfrage zurückgewiesen.
• Ohne Standardorganisation können Agents mit ihrem Token allein list_organizations aufrufen und anschließend den ausgewählten Schlüssel an nachfolgende Tools übergeben.

Clients können außerdem die sichtbaren Tools pro Anfrage einschränken, indem sie die Header SONARQUBE_TOOLSETS und/oder SONARQUBE_READ_ONLY angeben. Diese wenden zusätzlich zur Konfiguration auf Serverebene weitere Filter an — sie können den Umfang nur einschränken, niemals erweitern. Zwischen Anfragen wird kein Sitzungsstatus beibehalten.

Veraltet: Bei SonarQube-Tokens wird der Request-Header SONARQUBE_TOKEN aus Gründen der Abwärtskompatibilität weiterhin akzeptiert, aber in einer zukünftigen Version entfernt. Migrieren Sie zu Authorization: Bearer <token>.

3. HTTPS (Streamable HTTP über TLS) (Empfohlen für Produktionsbereitstellungen mit mehreren Benutzern)

Sicherer Streamable-HTTP-Transport mit TLS-Verschlüsselung. SSL-Zertifikate sind erforderlich.

✅ Für die Produktion empfohlen: Verwenden Sie HTTPS, wenn Sie den MCP-Server für mehrere Benutzer über Streamable HTTP bereitstellen. Der Server bindet sich aus Sicherheitsgründen standardmäßig an 127.0.0.1 (localhost).

SSL-Zertifikatskonfiguration (optional):

Beispiel – Docker mit SonarQube Cloud:

Hinweis: Setzen Sie bei der Ausführung in einem Container SONARQUBE_HTTP_HOST=0.0.0.0, damit der Container an allen Schnittstellen lauscht und die Portzuordnung der Runtime funktioniert. Setzen Sie außerdem SONARQUBE_MCP_IN_CONTAINER=true, damit der Server weiß, dass er sich in einem Container befindet. Das offizielle Docker-Image setzt Letzteres automatisch; bei Verwendung anderer OCI-Runtimes (Podman, Kubernetes, Nomad usw.) müssen Sie es selbst setzen. Das Port-Flag auf der Hostseite bestimmt, wer von außerhalb des Containers auf den Server zugreifen kann. SONARQUBE_HTTP_HOST=0.0.0.0 steuert nur, an welchen Schnittstellen der Server innerhalb des Containers lauscht — CORS lässt standardmäßig weiterhin localhost-Ursprünge zu.

Für einen Server, der lokal auf Ihrem Rechner läuft (nur über localhost erreichbar):

docker run --init --pull=always -p 127.0.0.1:8443:8443 \
  -v $(pwd)/keystore.p12:/etc/ssl/mcp/keystore.p12:ro \
  -e SONARQUBE_TRANSPORT=https \
  -e SONARQUBE_HTTP_HOST=0.0.0.0 \
  -e SONARQUBE_HTTP_PORT=8443 \
  sonarsource/sonarqube-mcp

Für einen Server, der über das Netzwerk erreichbar ist (Remote-Bereitstellungen):

docker run --init --pull=always -p 8443:8443 \
  -v $(pwd)/keystore.p12:/etc/ssl/mcp/keystore.p12:ro \
  -e SONARQUBE_TRANSPORT=https \
  -e SONARQUBE_HTTP_HOST=0.0.0.0 \
  -e SONARQUBE_HTTP_PORT=8443 \
  sonarsource/sonarqube-mcp

Clientkonfiguration (SonarQube Cloud):

Setzen Sie bei Token-Anfragen an SonarQube optional SONARQUBE_ORG in den Client-Headern, um die Organisation der Anfrage festzulegen, oder lassen Sie den Header weg, um Organisationen über Tool-Argumente auszuwählen.

{
  "mcpServers": {
    "sonarqube-https": {
      "url": "https://your-server:8443/mcp",
      "headers": {
        "Authorization": "Bearer <your-token>",
        "SONARQUBE_TOOLSETS": "issues,quality-gates",
        "SONARQUBE_READ_ONLY": "true"
      }
    }
  }
}

Clientkonfiguration (SonarQube Server):

{
  "mcpServers": {
    "sonarqube-https": {
      "url": "https://your-server:8443/mcp",
      "headers": {
        "Authorization": "Bearer <your-token>",
        "SONARQUBE_TOOLSETS": "issues,quality-gates",
        "SONARQUBE_READ_ONLY": "true"
      }
    }
  }
}

Hinweis: SONARQUBE_TOOLSETS und SONARQUBE_READ_ONLY sind optionale Header pro Anfrage, die die auf Serverebene festgelegte Tool-Auswahl für die jeweilige Anfrage einschränken. Sie können den Umfang nur reduzieren — sie können keine Toolsets aktivieren oder Einschränkungen über das hinaus aufheben, womit der Server gestartet wurde.

Hinweis: Verwenden Sie für die lokale Entwicklung stattdessen den Stdio-Transport (Standard). HTTPS Streamable HTTP ist für Produktionsbereitstellungen mit mehreren Benutzern und ordnungsgemäßen SSL-Zertifikaten vorgesehen.

Gehostetes SonarQube Cloud OAuth

Die OAuth-Unterstützung gilt für Sonars gehosteten SonarQube-Cloud-MCP-Dienst. Verwenden Sie einen OAuth-fähigen MCP-Client und melden Sie sich an, wenn Sie dazu aufgefordert werden; in Ihrer Clientkonfiguration sind keine OAuth-Servereinstellungen erforderlich. Bestehende SonarQube-Token-Clients werden weiterhin unterstützt.

Die Scopes mcp:tools:read und mcp:tools:write steuern unabhängig voneinander den Zugriff auf Lese- und Schreibtools, vorbehaltlich Ihrer Cloud-Berechtigungen. Verwenden Sie list_organizations und das Tool-Argument organization, um eine Organisation auszuwählen.

Selbst gehostete Bereitstellungen verwenden weiterhin SonarQube-Tokens; OAuth für SonarQube Server wird noch nicht unterstützt.

Dienstendpunkte

Im Streamable-HTTP-Modus (http oder https) stellt der Server zusätzlich zum MCP-Endpunkt unter /mcp einige nicht authentifizierte Dienstendpunkte bereit. Diese sind für die Kommunikation zwischen Diensten vorgesehen (Überwachung, Orchestrierung, Kompatibilitätsprüfungen von Clients) und erfordern keinen Authorization-Header.

Diese Endpunkte sind beim Betrieb mit dem Stdio-Transport nicht verfügbar.

Benutzerdefinierte Zertifikate

Wenn Ihr SonarQube Server ein selbstsigniertes Zertifikat oder ein Zertifikat einer privaten Zertifizierungsstelle (CA) verwendet, können Sie dem Container benutzerdefinierte Zertifikate hinzufügen, die automatisch installiert werden.

docker run --init --pull=always -i --rm \
  -v /path/to/your/certificates/:/usr/local/share/ca-certificates/:ro \
  -e SONARQUBE_TOKEN="<token>" \
  -e SONARQUBE_URL="<url>" \
  sonarsource/sonarqube-mcp

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run",
      "--init",
      "--pull=always",
      "-i",
      "--rm",
      "-v",
      "/path/to/your/certificates/:/usr/local/share/ca-certificates/:ro",
      "-e",
      "SONARQUBE_TOKEN",
      "-e",
      "SONARQUBE_URL",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

Proxy

Der SonarQube MCP Server unterstützt HTTP- und SOCKS5-Proxys über die standardmäßigen Java-Systemeigenschaften für Proxys.

Clientzertifikat (mutuelles TLS)

Wenn Ihr SonarQube Server verlangt, dass Clients während des TLS-Handshakes ein Zertifikat vorlegen (mutuelles TLS), können Sie einen PKCS12-Keystore bereitstellen, indem Sie ihn in den Container einbinden und seinen Speicherort über JAVA_OPTS angeben.

docker run --init --pull=always -i --rm \
  -v /path/to/client.p12:/etc/ssl/mcp/client.p12:ro \
  -e JAVA_OPTS="-Djavax.net.ssl.keyStore=/etc/ssl/mcp/client.p12 -Djavax.net.ssl.keyStoreType=PKCS12 -Djavax.net.ssl.keyStorePassword=<passphrase>" \
  -e SONARQUBE_TOKEN="<token>" \
  -e SONARQUBE_URL="<url>" \
  sonarsource/sonarqube-mcp

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run", "--init", "--pull=always", "-i", "--rm",
      "-v", "/path/to/client.p12:/etc/ssl/mcp/client.p12:ro",
      "-e", "JAVA_OPTS",
      "-e", "SONARQUBE_TOKEN",
      "-e", "SONARQUBE_URL",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "JAVA_OPTS": "-Djavax.net.ssl.keyStore=/etc/ssl/mcp/client.p12 -Djavax.net.ssl.keyStoreType=PKCS12 -Djavax.net.ssl.keyStorePassword=<passphrase>",
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

java \
  -Djavax.net.ssl.keyStore=/path/to/client.p12 \
  -Djavax.net.ssl.keyStoreType=PKCS12 \
  -Djavax.net.ssl.keyStorePassword=<passphrase> \
  -jar <path_to_sonarqube_mcp_server_jar>

{
  "sonarqube": {
    "command": "java",
    "args": [
      "-Djavax.net.ssl.keyStore=/path/to/client.p12",
      "-Djavax.net.ssl.keyStoreType=PKCS12",
      "-Djavax.net.ssl.keyStorePassword=<passphrase>",
      "-jar",
      "<path_to_sonarqube_mcp_server_jar>"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

Tools

Analyse

• analyze_code_snippet – Analysiert den Dateiinhalt mit SonarQube-Analyzern, um Probleme mit der Codequalität und Sicherheit zu erkennen. Analysiert für eine höhere Genauigkeit immer den vollständigen Dateiinhalt. Optional können die Ergebnisse auf einen bestimmten Codeausschnitt beschränkt werden.

  Veraltet: analyze_code_snippet wird in einer zukünftigen Version entfernt. Verbinden Sie SonarQube for IDE, um analyze_file_list zu verwenden, oder aktivieren Sie die Vortex-Analyse für Ihre Organisation, um run_advanced_code_analysis zu verwenden (siehe unten).

  Verwendung:

  • Mit eingebundenem Workspace (empfohlen): Übergeben Sie filePath (relativ zum Projekt) — der Server liest die Datei direkt ein, sodass der Dateiinhalt nicht im Kontextfenster des Agenten landet
  • Ohne eingebundenen Workspace: Übergeben Sie den vollständigen Inhalt von fileContent für eine vollständige Dateianalyse (meldet alle Probleme)
  • Fügen Sie optional codeSnippet hinzu, um die Ergebnisse zu filtern – es werden nur Probleme innerhalb des Snippets gemeldet (Snippet-Position wird automatisch erkannt)

  Parameter:

  • organization - Organisationsschlüssel von SonarQube Cloud - Optionaler String, nur Cloud
  • projectKey - Der SonarQube-Projektschlüssel - Erforderlicher String (Wird ignoriert, wenn SONARQUBE_PROJECT_KEY definiert ist)
  • filePath - Relativer Pfad der zu analysierenden Datei zum Projekt (z. B. src/main/java/MyClass.java). Wird verwendet, wenn der Workspace unter /app/mcp-workspace eingebunden ist - String
  • fileContent - Vollständiger Dateiinhalt als String. Erforderlich, wenn der Workspace nicht eingebunden ist - String
  • codeSnippet - Code-Snippet zum Filtern von Problemen (muss mit dem Inhalt in fileContent übereinstimmen) - String
  • language - Sprache des Codes (z. B. 'java', 'python', 'js', 'ts', 'tsx', 'jsx') - String
  • scope - Geltungsbereich der Datei: MAIN oder TEST (Standard: MAIN) - String

  Unterstützte Sprachen: Java, Kotlin, Python, Ruby, Go, JavaScript (js, jsx), TypeScript (ts, tsx), JSP, PHP, XML, HTML, CSS, CloudFormation, Kubernetes, Terraform, Azure Resource Manager, Ansible, Docker, Erkennung von Geheimnissen

Wenn die Integration mit SonarQube for IDE aktiviert ist: (diese beiden Tools sind sowohl dem Toolset analysis als auch dem Toolset ide zugeordnet)

• analyze_file_list - Analysiert Dateien im aktuellen Arbeitsverzeichnis mit SonarQube for IDE. Dieses Tool stellt eine Verbindung zu einer laufenden SonarQube for IDE-Instanz her, um die Codequalität einer Dateiliste zu analysieren.

  • file_absolute_paths - Liste der absoluten Dateipfade, die analysiert werden sollen - Erforderliches String[]

• toggle_automatic_analysis - Aktiviert oder deaktiviert die automatische Analyse von SonarQube for IDE. Wenn diese Funktion aktiviert ist, analysiert SonarQube for IDE Dateien im Arbeitsverzeichnis automatisch, sobald sie geändert werden. Wenn sie deaktiviert ist, wird die automatische Analyse ausgeschaltet.

  • enabled - Aktiviert oder deaktiviert die automatische Analyse - Erforderlicher Boolean

Auf SonarQube Server listet stdio Vortex-Kontexttools und run_advanced_code_analysis auf, wenn sowohl der CAG- als auch der A3S-Hub berechtigt sind.

Wenn die Vortex-Analyse verfügbar ist:

Erfordert, dass der Workspace unter /app/mcp-workspace eingebunden ist

• run_advanced_code_analysis - Führt eine Vortex-Analyse für eine einzelne Datei aus. SonarQube Server verwendet den nil-UUID-Platzhalter.
  • organization - Organisationsschlüssel von SonarQube Cloud - Optionaler String, nur Cloud
  • projectKey - Der Projektschlüssel - Erforderlicher String (Wird ignoriert, wenn SONARQUBE_PROJECT_KEY definiert ist)
  • branch - Branchname zum Abrufen des neuesten Analysekontexts - Erforderlicher String
  • filePath - Relativer Pfad der zu analysierenden Datei zum Projekt (z. B. src/main/java/MyClass.java). - Erforderlicher String
  • fileScope - Legt fest, aus welchem Geltungsbereich die Datei stammt: 'MAIN' oder 'TEST' (Standard: MAIN) - String

Abdeckung

• search_files_by_coverage - Sucht nach Dateien in einem Projekt, sortiert nach Abdeckung (aufsteigend – Dateien mit der geringsten Abdeckung zuerst). Mit diesem Tool lassen sich Dateien ermitteln, deren Testabdeckung verbessert werden muss.

  • projectKey - Der Projektschlüssel, in dem gesucht werden soll - Erforderlicher String (Wird ignoriert, wenn SONARQUBE_PROJECT_KEY definiert ist)
  • branch - Optionaler Branchname für eine branchbasierte Analyse. Verwenden Sie list_branches, um gültige Namen zu ermitteln - String
  • pullRequest - Optionaler Pull-Request-Schlüssel bzw. optionale ID. Verwenden Sie list_pull_requests, um gültige Schlüssel zu ermitteln - String
  • maxCoverage - Maximaler Abdeckungsschwellenwert (0–100). Gibt nur Dateien mit einer Abdeckung <= diesem Wert zurück - Number
  • pageIndex - Seitenindex (beginnend bei 1, Standard: 1) - Number
  • pageSize - Seitengröße (Standard: 100, maximal: 500) - Number

• get_file_coverage_details - Ruft zeilenweise Abdeckungsinformationen für eine bestimmte Datei ab, einschließlich der genauen nicht abgedeckten Zeilen und der Zeilen mit teilweise abgedeckten Verzweigungen. Mit diesem Tool lässt sich genau ermitteln, wo Testabdeckung hinzugefügt werden sollte. Verwenden Sie es, nachdem Sie mit search_files_by_coverage Dateien mit geringer Abdeckung ermittelt haben.

  • key - Dateischlüssel (z. B. my_project:src/foo/Bar.java) - Erforderlicher String
  • branch - Optionaler Branchname für eine branchbasierte Analyse. Verwenden Sie list_branches, um gültige Namen zu ermitteln - String
  • pullRequest - Optionaler Pull-Request-Schlüssel bzw. optionale ID. Verwenden Sie list_pull_requests, um gültige Schlüssel zu ermitteln - String
  • from - Erste zu analysierende Zeile (beginnend bei 1, Standard: 1) - Number
  • to - Letzte zu analysierende Zeile (einschließlich). Wenn nicht angegeben, werden alle Zeilen zurückgegeben - Number

Abhängigkeitsrisiken

Hinweis: Für Abhängigkeitsrisiken ist SonarQube Advanced Security erforderlich. Auf SonarQube Server ist Version 2025.4 Enterprise oder höher erforderlich.

• search_dependency_risks - Sucht nach Problemen der Software Composition Analysis (Abhängigkeitsrisiken) eines SonarQube-Projekts und den Releases, die im analysierten Projekt, in der Anwendung oder im Portfolio vorkommen.
  • organization - Organisationsschlüssel von SonarQube Cloud - Optionaler String, nur Cloud
  • projectKey - Projektschlüssel - Erforderlicher String (Wird ignoriert, wenn SONARQUBE_PROJECT_KEY definiert ist)
  • branch - Optionaler Branchname für eine branchbasierte Analyse. Verwenden Sie list_branches, um gültige Namen zu ermitteln - String
  • pullRequest - Optionaler Pull-Request-Schlüssel bzw. optionale ID. Verwenden Sie list_pull_requests, um gültige Schlüssel zu ermitteln - String
  • pageIndex - Optionaler Seitenindex (beginnend bei 1, Standard: 1) - Integer
  • pageSize - Optionale Seitengröße. Muss größer als 0 und kleiner oder gleich 500 sein (Standard: 100) - Integer

Unternehmen

Hinweis: Unternehmen sind nur bei einer Verbindung mit SonarQube Cloud verfügbar.

• list_enterprises - Listet die Unternehmen in SonarQube Cloud auf, auf die Sie Zugriff haben. Verwenden Sie dieses Tool, um Unternehmens-IDs zu ermitteln, die mit anderen Tools verwendet werden können.
  • enterpriseKey - Optionaler Unternehmensschlüssel zum Filtern der Ergebnisse - String

Probleme

• change_sonar_issue_status - Ändert den Status eines SonarQube-Problems in „accept“, „falsepositive“ oder „reopen“.

  • key - Problemschlüssel - Erforderlicher String
  • status - Neuer Status des Problems - Erforderlicher Enum {"accept", "falsepositive", "reopen"}
  • comment - Optionaler Kommentar zur Erläuterung der Statusänderung - String

• search_sonar_issues_in_projects - Sucht nach SonarQube-Problemen in den Projekten meiner Organisation.

  • organization - Organisationsschlüssel von SonarQube Cloud - Optionaler String, nur Cloud
  • projectKeys - Optionale Liste der SonarQube-Projektschlüssel - String[]
  • branch - Optionaler Branchname für eine branchbasierte Analyse. Verwenden Sie list_branches, um gültige Namen zu ermitteln - String
  • pullRequest - Optionaler Pull-Request-Schlüssel bzw. optionale ID. Verwenden Sie list_pull_requests, um gültige Schlüssel zu ermitteln - String
  • severities - Optionale Liste der Schweregrade, nach denen gefiltert werden soll. Mögliche Werte: INFO, LOW, MEDIUM, HIGH, BLOCKER - String[]
  • impactSoftwareQualities - Optionale Liste der Softwarequalitäten, nach denen gefiltert werden soll. Mögliche Werte: MAINTAINABILITY, RELIABILITY, SECURITY - String[]
  • issueStatuses - Optionale Liste der Problemstatus, nach denen gefiltert werden soll. Mögliche Werte: OPEN, CONFIRMED, FALSE_POSITIVE, ACCEPTED, FIXED, IN_SANDBOX - String[]
  • tags - Optionale Liste der Problem-Tags, nach denen gefiltert werden soll. Tags werden kleingeschrieben - String[]
  • inNewCodePeriod - Gibt nur Probleme im Zeitraum für neuen Code zurück. Erfordert genau einen Eintrag in projectKeys und files - Boolean
  • issueKey - Optionaler Problemschlüssel zum Abrufen eines bestimmten Problems - String
  • pageIndex - Optionaler Seitenindex (beginnend bei 1, Standard: 1) - Integer
  • pageSize - Optionale Seitengröße. Muss größer als 0 und kleiner oder gleich 500 sein (Standard: 100) - Integer

Sicherheits-Hotspots

• search_security_hotspots - Sucht nach Sicherheits-Hotspots in einem SonarQube-Projekt.

  • projectKey - Projekt- oder Anwendungsschlüssel - Erforderlicher String (Wird ignoriert, wenn SONARQUBE_PROJECT_KEY definiert ist)
  • hotspotKeys - Durch Kommas getrennte Liste bestimmter Sicherheits-Hotspot-Schlüssel, die abgerufen werden sollen - String[]
  • branch - Optionaler Branchname für eine branchbasierte Analyse. Verwenden Sie list_branches, um gültige Namen zu ermitteln - String
  • pullRequest - Optionaler Pull-Request-Schlüssel bzw. optionale ID. Verwenden Sie list_pull_requests, um gültige Schlüssel zu ermitteln - String
  • files - Optionale Liste der Dateipfade, nach denen gefiltert werden soll - String[]
  • status - Optionaler Statusfilter: TO_REVIEW, REVIEWED - String
  • resolution - Optionaler Auflösungsfilter: FIXED, SAFE, ACKNOWLEDGED - String
  • sinceLeakPeriod - Filtert Hotspots, die seit dem Zeitraum für neuen Code erstellt wurden - Boolean
  • onlyMine - Zeigt nur mir zugewiesene Hotspots an - Boolean
  • pageIndex - Optionaler Seitenindex (beginnend bei 1, Standard: 1) - Integer
  • pageSize - Optionale Seitengröße. Muss größer als 0 und kleiner oder gleich 500 sein (Standard: 100) - Integer

• show_security_hotspot - Ruft detaillierte Informationen zu einem bestimmten Sicherheits-Hotspot ab, einschließlich Regeldetails, Codekontext, Abläufen und Kommentaren.

  • hotspotKey - Sicherheits-Hotspot-Schlüssel - Erforderlicher String

• change_security_hotspot_status - Überprüft einen Sicherheits-Hotspot, indem sein Status geändert wird. Beim Setzen des Status auf REVIEWED muss eine Auflösung angegeben werden (FIXED, SAFE oder ACKNOWLEDGED).

  • hotspotKey - Sicherheits-Hotspot-Schlüssel - Erforderlicher String
  • status - Neuer Status - Erforderlicher Enum {"TO_REVIEW", "REVIEWED"}
  • resolution - Auflösung, wenn der Status REVIEWED ist - Enum {"FIXED", "SAFE", "ACKNOWLEDGED"}
  • comment - Optionaler Kommentar zur Überprüfung - String

Sprachen

• list_languages - Listet alle Programmiersprachen auf, die von dieser SonarQube-Instanz unterstützt werden.
  • q - Optionales Muster, mit dem Sprachschlüssel bzw. -namen abgeglichen werden - String

Messwerte

• get_component_measures - Ruft SonarQube-Messwerte für eine Komponente (Projekt, Verzeichnis, Datei) ab.
  • projectKey - Der Projektschlüssel - Erforderlicher String, wenn SONARQUBE_PROJECT_KEY nicht konfiguriert ist
  • branch - Optionaler Branchname für eine branchbasierte Analyse. Verwenden Sie list_branches, um gültige Namen zu ermitteln - String
  • metricKeys - Optionale abzurufende Metrikschlüssel (z. B. ncloc, complexity, violations, coverage) - String[]
  • pullRequest - Optionaler Pull-Request-Schlüssel bzw. optionale ID. Verwenden Sie list_pull_requests, um gültige Schlüssel zu ermitteln - String

Metriken

• search_metrics - Sucht nach SonarQube-Metriken.
  • pageIndex - Optionaler Seitenindex (beginnend bei 1, Standard: 1) - Integer
  • pageSize - Optionale Seitengröße. Muss größer als 0 und kleiner oder gleich 500 sein (Standard: 100) - Integer

Portfolios

• list_portfolios - Listet Unternehmensportfolios in SonarQube mit Filter- und Paginierungsoptionen auf.

  Für SonarQube Server:

  • q - Optionale Suchanfrage zum Filtern von Portfolios nach Name oder Schlüssel - String
  • favorite - Bei true werden nur Favoritenportfolios zurückgegeben - Boolean
  • pageIndex - Optionale Seitennummer (beginnend bei 1, Standard: 1) - Integer
  • pageSize - Optionale Seitengröße, maximal 500 (Standard: 100) - Integer

  Für SonarQube Cloud:

  • enterpriseId – Enterprise-UUID. Kann nur weggelassen werden, wenn der Parameter 'favorite' mit dem Wert true angegeben wird – String
  • q – Optionale Suchanfrage zum Filtern von Portfolios nach Namen – String
  • favorite – Muss true sein, wenn der Parameter 'enterpriseId' weggelassen wird. Bei true werden nur Portfolios zurückgegeben, die vom angemeldeten Benutzer als Favoriten markiert wurden. Kann nicht true sein, wenn 'draft' true ist – Boolean
  • draft – Bei true werden nur Entwürfe zurückgegeben, die vom angemeldeten Benutzer erstellt wurden. Kann nicht true sein, wenn 'favorite' true ist – Boolean
  • pageIndex – Optionaler Index der abzurufenden Seite (Standard: 1) – Integer
  • pageSize – Optionale Größe der abzurufenden Seite (Standard: 50) – Integer

Projekte

• list_organizations – Listet die SonarQube Cloud-Organisationen auf, denen ein Benutzer angehört, einschließlich Schlüssel, Namen, IDs und UUIDs. Verwenden Sie einen zurückgegebenen Schlüssel als organization in nachfolgenden Tools.

• search_my_sonarqube_projects – Sucht nach SonarQube-Projekten. Die Antwort ist paginiert.

  • organization – SonarQube Cloud-Organisationsschlüssel – Optional String, nur Cloud
  • pageIndex – Optionaler, bei 1 beginnender Seitenindex (Standard: 1) – Integer
  • pageSize – Optionale Seitengröße. Muss größer als 0 und kleiner oder gleich 500 sein (Standard: 500) – Integer
  • q – Optionale Suchanfrage zum Filtern von Projekten nach Namen (Teilübereinstimmung) oder Schlüssel (exakte Übereinstimmung) – String

• list_branches – Listet analysierte Branches für ein Projekt auf.

  • SonarQube Cloud: Gibt langlebige (LONG) und kurzlebige (SHORT) Branches mit den Feldern type und mergeBranch zurück. Optionaler Filter branchTypes: ALL (Standard), LONG oder SHORT.
  • SonarQube Server: Gibt alle analysierten Branches zurück (Name, Quality Gate, Analysedatum). Kein Filter type, mergeBranch oder branchTypes.
  • Verwenden Sie die zurückgegebenen Branch-Namen als Parameter branch für andere Tools. Für Pull-Request-Analysen verwenden Sie stattdessen list_pull_requests.
  • projectKey – Projektschlüssel (z. B. my_project) – Required String (Wird ignoriert, wenn SONARQUBE_PROJECT_KEY definiert ist)
  • branchTypes – (nur SonarQube Cloud) Optionaler Filter: ALL (Standard), LONG oder SHORT – Enum {"ALL", "LONG", "SHORT"}

• list_pull_requests – Listet alle Pull Requests für ein Projekt auf. Verwenden Sie dieses Tool, um Pull Requests für PR-dekorierte Analysen (Coverage, Issues, Quality Gate) zu ermitteln. Gibt den Pull-Request-Schlüssel bzw. die ID zurück, der bzw. die mit anderen Tools verwendet werden kann. Für branchbasierte Analysen ohne Pull Requests verwenden Sie stattdessen list_branches.

  • projectKey – Projektschlüssel (z. B. my_project) – Required String (Wird ignoriert, wenn SONARQUBE_PROJECT_KEY definiert ist)

Quality Gates

• get_project_quality_gate_status – Ruft den Quality-Gate-Status des SonarQube-Projekts ab.

  • analysisId – Optionale Analyse-ID – String
  • branch – Optionaler Branch-Name für branchbasierte Analysen. Verwenden Sie list_branches, um gültige Namen zu ermitteln – String
  • projectId – Optionale Projekt-ID – String
  • projectKey – Optionaler Projektschlüssel – String
  • pullRequest – Optionaler Pull-Request-Schlüssel bzw. optionale Pull-Request-ID. Verwenden Sie list_pull_requests, um gültige Schlüssel zu ermitteln – String

• list_quality_gates – Listet alle Quality Gates in meinem SonarQube auf.

  • organization – SonarQube Cloud-Organisationsschlüssel – Optional String, nur Cloud

Regeln

• show_rule – Zeigt detaillierte Informationen zu einer SonarQube-Regel an.
  • organization – SonarQube Cloud-Organisationsschlüssel – Optional String, nur Cloud
  • key – Regelschlüssel – Required String

Duplikate

• search_duplicated_files – Sucht in einem SonarQube-Projekt nach Dateien mit Code-Duplikaten. Ruft standardmäßig automatisch alle Dateien mit Duplikaten über alle Seiten hinweg ab (maximal 10.000 Dateien). Gibt nur Dateien mit Duplikaten zurück.

  • projectKey – Projektschlüssel – Required String (Wird ignoriert, wenn SONARQUBE_PROJECT_KEY definiert ist)
  • branch – Optionaler Branch-Name für branchbasierte Analysen. Verwenden Sie list_branches, um gültige Namen zu ermitteln – String
  • pullRequest – Optionaler Pull-Request-Schlüssel bzw. optionale Pull-Request-ID. Verwenden Sie list_pull_requests, um gültige Schlüssel zu ermitteln – String
  • pageSize – Optionale Anzahl der Ergebnisse pro Seite für die manuelle Paginierung (max.: 500). Wenn nicht angegeben, werden automatisch alle Dateien mit Duplikaten abgerufen – Integer
  • pageIndex – Optionale Seitennummer für die manuelle Paginierung (beginnt bei 1). Wenn nicht angegeben, werden automatisch alle Dateien mit Duplikaten abgerufen – Integer

• get_duplications – Ruft Duplikate für eine Datei ab. Erfordert die Browse-Berechtigung für das Projekt der Datei.

  • key – Dateischlüssel – Required String
  • branch – Optionaler Branch-Name für branchbasierte Analysen. Verwenden Sie list_branches, um gültige Namen zu ermitteln – String
  • pullRequest – Optionaler Pull-Request-Schlüssel bzw. optionale Pull-Request-ID. Verwenden Sie list_pull_requests, um gültige Schlüssel zu ermitteln – String

Quellen

• get_raw_source – Ruft den Quellcode als Rohtext aus SonarQube ab. Erfordert die Berechtigung 'See Source Code' für die Datei.

  • key – Dateischlüssel – Required String
  • branch – Optionaler Branch-Name für branchbasierte Analysen. Verwenden Sie list_branches, um gültige Namen zu ermitteln – String
  • pullRequest – Optionaler Pull-Request-Schlüssel bzw. optionale Pull-Request-ID. Verwenden Sie list_pull_requests, um gültige Schlüssel zu ermitteln – String

• get_scm_info – Ruft SCM-Informationen zu SonarQube-Quelldateien ab. Erfordert die Berechtigung See Source Code für das Projekt der Datei.

  • key – Dateischlüssel – Required String
  • commits_by_line – Gruppiert Zeilen nach SCM-Commit, wenn der Wert false ist; andernfalls werden Commits für jede Zeile angezeigt – String
  • from – Erste zurückzugebende Zeile. Beginnt bei 1 – Number
  • to – Letzte zurückzugebende Zeile (einschließlich) – Number

System

Hinweis: System-Tools sind nur verfügbar, wenn eine Verbindung zu SonarQube Server hergestellt wird.

• get_system_health – Ruft den Integritätsstatus der SonarQube Server-Instanz ab. Gibt GREEN (voll funktionsfähig), YELLOW (nutzbar, aber Aufmerksamkeit erforderlich) oder RED (nicht funktionsfähig) zurück.

• get_system_info – Ruft detaillierte Informationen zur Systemkonfiguration von SonarQube Server ab, einschließlich JVM-Status, Datenbank, Suchindizes und Einstellungen. Erfordert die Berechtigung 'Administer'.

• get_system_logs – Ruft die Systemprotokolle von SonarQube Server im Klartext ab. Erfordert die Systemadministrationsberechtigung.

  • name – Optionaler Name der abzurufenden Protokolle. Mögliche Werte: access, app, ce, deprecation, es, web. Standard: app – String

• ping_system – Sendet einen Ping an das SonarQube Server-System, um zu prüfen, ob es erreichbar ist. Gibt 'pong' als Klartext zurück.

• get_system_status – Ruft Statusinformationen zu SonarQube Server ab. Gibt den Status (STARTING, UP, DOWN, RESTARTING, DB_MIGRATION_NEEDED, DB_MIGRATION_RUNNING), die Version und die ID zurück.

Webhooks

• create_webhook – Erstellt einen neuen Webhook für die SonarQube-Organisation oder das Projekt. Erfordert die Berechtigung 'Administer' für das angegebene Projekt oder die globale Berechtigung 'Administer'.

  • organization – SonarQube Cloud-Organisationsschlüssel – Optional String, nur Cloud
  • name – Webhook-Name – Required String
  • url – Webhook-URL – Required String
  • projectKey – Optionaler Projektschlüssel für einen projektspezifischen Webhook – String
  • secret – Optionales Webhook-Secret zum Sichern der Webhook-Nutzlast – String

• list_webhooks – Listet alle Webhooks für die SonarQube-Organisation oder das Projekt auf. Erfordert die Berechtigung 'Administer' für das angegebene Projekt oder die globale Berechtigung 'Administer'.

  • organization – SonarQube Cloud-Organisationsschlüssel – Optional String, nur Cloud
  • projectKey – Optionaler Projektschlüssel zum Auflisten projektspezifischer Webhooks – String

Kontextanreicherung

# macOS/Linux (Bash/Zsh)
export SONARQUBE_TOKEN="{<YourUserToken>}"

{
  "mcpServers": {
    "sonarqube-mcp-server": {
      "command": "docker",
      "args": [
        "run", "-i", "--rm", "--pull=always",
        "-e", "SONARQUBE_URL",
        "-e", "SONARQUBE_TOKEN",
        "-e", "SONARQUBE_ORG",
        "-e", "SONARQUBE_PROJECT_KEY",
        "-e", "SONARQUBE_TOOLSETS",
        "-v", "/ABSOLUTE/PATH/TO/YOUR/PROJECT:/app/mcp-workspace:rw",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_URL": "https://sonarcloud.io",
        "SONARQUBE_ORG": "<YourOrganizationKey>",
        "SONARQUBE_PROJECT_KEY": "<YourProjectKey>",
        "SONARQUBE_TOOLSETS": "cag"
      }
    }
  }
}

Agentische Bereitschaft

Hinweis: Die Tools für agentische Bereitschaft sind nur in SonarQube Cloud verfügbar und setzen voraus, dass die Funktion für Ihre Organisation aktiviert ist.

Im stdio-Modus wird das Feature-Flag beim Start geprüft. Über HTTP/HTTPS fügen Sie agentic-readiness zur SONARQUBE_TOOLSETS des Servers hinzu, um die Tools zu aktivieren.

• start_agentic_readiness_assessment – Startet eine Bewertung der agentischen Bereitschaft für ein Projekt. Gibt sofort den Status PENDING und eine assessmentId zurück. Verwenden Sie get_agentic_readiness_assessment, um die Ergebnisse abzufragen.

  • projectKey – Der Projektschlüssel – Erforderlicher String (Wird ignoriert, wenn SONARQUBE_PROJECT_KEY definiert ist)
  • branch – Zu bewertender Branch. Lassen Sie den Wert weg, um den Standard-Branch des Projekts zu verwenden – String

• get_agentic_readiness_assessment – Ruft das Ergebnis einer Bewertung ab. Rufen Sie das Tool mit derselben assessmentId erneut auf, bis der Status COMPLETED, FAILED oder INTERRUPTED lautet. Nach Abschluss werden die Gesamtstufe und eine Aufschlüsselung nach Säulen mit empfohlenen Maßnahmen und Nachweisen zurückgegeben.

  • assessmentId – Die von start_agentic_readiness_assessment zurückgegebene Bewertungs-ID – Erforderlicher String

• list_agentic_readiness_assessments – Listet alle Bewertungen für ein Projekt auf, beginnend mit der neuesten. Verwenden Sie get_agentic_readiness_assessment für vollständige Ergebnisse auf Säulenebene.

  • projectKey – Der Projektschlüssel, für den Bewertungen aufgelistet werden sollen – Erforderlicher String (Wird ignoriert, wenn SONARQUBE_PROJECT_KEY definiert ist)
  • branch – Bewertungen nach Branchname filtern. Lassen Sie den Wert weg, um Bewertungen für alle Branches aufzulisten – String
  • pageIndex – 1-basierter Seitenindex (Standard: 1) – Number
  • pageSize – Anzahl der Elemente pro Seite, maximal 100 (Standard: 50) – Number

Architektur

Hinweis: Aktivieren Sie diese Tools mit SONARQUBE_TOOLSETS=architecture im stdio- oder HTTP/HTTPS-Modus. SonarQube Cloud erfordert einen Team- oder Enterprise-Plan. SonarQube Server erfordert Version 2026.6 oder höher und mindestens die Developer Edition; die Tools sind in älteren Versionen und im Community Build nicht verfügbar. Siehe Architektur-Workflows und Wiederherstellung.

• architecture_get – Liest aktuelle Abhängigkeiten, die vorgesehene Architektur, Projektdirektiven oder Findings (Abweichungen, Fehler und Code-Smells).

  • target – current, intended, directives oder findings; die Verfügbarkeit hängt vom MCP- und Server-Build ab – Erforderlicher Enum
  • projectKey – Der Projektschlüssel – Erforderlicher String (Wird ignoriert, wenn SONARQUBE_PROJECT_KEY definiert ist)
  • organization – Organisationsschlüssel von SonarQube Cloud, wenn keine Organisation konfiguriert ist – Optionaler String, nur Cloud
  • component – Exakter aktueller Knotenschlüssel oder Pfad der vorgesehenen Gruppe; standardmäßig die oberste Ebene, wenn nicht angegeben – String
  • depth – Nur für aktuelle/vorgesehene Architektur: Ebenen unterhalb des Startpunkts; standardmäßig 1 für die aktuelle und alle für die vorgesehene Architektur – Number
  • language – Nur für aktuelle/vorgesehene Architektur/Findings: java, cs, js, ts oder py – Enum
  • directiveId – Vollständige Direktive anhand der UUID, einschließlich Beschreibung; anstelle der Seitennavigation verwenden – String
  • category / type – Nur für Findings: Abweichungen, Fehler oder Code-Smells nach ihrem angegebenen Typ filtern – Enum
  • pageIndex – Nur für Direktiven/Findings: 1-basierter Seitenindex (Standard: 1) – Number
  • pageSize – Direktiven: Zusammenfassungen, Standard/Maximum 50. Findings: Standard 50, Maximum 1000; 0 zählt nur – Number

• architecture_set – Ersetzt die gesamte vorgesehene Architektur oder erstellt, aktualisiert und löscht Projektdirektiven. Verfügbar in unterstützten Cloud- und Server-Builds, wenn Schreibvorgänge aktiviert sind.

  • target – intended oder directives – Erforderlicher Enum
  • projectKey – Der Projektschlüssel – Erforderlicher String (Wird ignoriert, wenn SONARQUBE_PROJECT_KEY definiert ist)
  • organization – Organisationsschlüssel von SonarQube Cloud, wenn keine Organisation konfiguriert ist – Optionaler String, nur Cloud
  • model – JSON-String: vollständiger Export der vorgesehenen Architektur oder models-Array (nicht angegebene Inhalte werden entfernt) oder Direktivenänderungen mit den Arrays create, update und delete – Erforderlicher String
  • dryRun – true zur Vorschau, false zum Anwenden – Erforderlicher Boolean
  • revision – Nur für die vorgesehene Architektur: Revision aus architecture_get; standardmäßig die Revision des vollständigen Exports. Beim Anwenden einer Löschung erforderlich – String

Beispiel-Prompts

Nachdem Sie den SonarQube MCP Server eingerichtet haben, finden Sie hier einige Beispiel-Prompts für gängige Szenarien aus der Praxis:

My quality gate is failing for my project. Can you help me understand why and fix the most critical issues?

The quality gate on my feature branch is red. What do I need to fix to get it passing before I can merge to main?

I'm about to merge my pull request <#247> for the <web-app> project. Can you check if there are any quality issues I should address first?

We're deploying to production tomorrow. Can you check the quality gate status and alert me to any critical issues in this branch?

I want to reduce technical debt in my project. What are the top issues I should prioritize?

Our code coverage dropped below 70%. Can you identify which files have the lowest coverage and help me improve it?

I have 15 new code smells in my latest commit. Can you explain what they are and help me fix them?

SonarQube flagged a critical security vulnerability in <AuthController.java>. What's the issue and how do I fix it?

We need to pass a security audit. Can you check all our projects for security vulnerabilities and create a prioritized list of what needs to be fixed?

Are there any known vulnerabilities in our dependencies? Check this project for dependency risks.

I just wrote this authentication function. Can you analyze it for security issues and code quality problems before I commit?

Review the changes in <src/database/migrations> for any potential bugs or security issues.

Give me a health report for my project: quality gate status, number of bugs, Security Hotspots, and code coverage.

Compare code quality between our main branch and the develop branch. Are we introducing new issues?

What are the most common rule violations across all our projects? We might need to update our coding standards.

Show me all the issues that were marked as false positives in the last month. Are we seeing patterns that suggest our rules need adjustment?

Build

Verwenden Sie vorzugsweise das Container-Image sonarsource/sonarqube-mcp.

Um den Server als eigenständige JAR-Datei ohne Docker auszuführen, laden Sie eine vorgefertigte Version aus dem SonarSource-Binärrepository herunter. Jede veröffentlichte Version wird dort als sonarqube-mcp-server-<version>.jar bereitgestellt (zum Beispiel sonarqube-mcp-server-1.19.0.2785.jar).

{
  "sonarqube": {
    "command": "java",
    "args": [
      "-jar",
      "<path_to_sonarqube_mcp_server_jar>"
    ],
    "env": {
      "STORAGE_PATH": "<path_to_your_mcp_storage>",
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_ORG": "<org>"
    }
  }
}

{
  "sonarqube": {
    "command": "java",
    "args": [
      "-jar",
      "<path_to_sonarqube_mcp_server_jar>"
    ],
    "env": {
      "STORAGE_PATH": "<path_to_your_mcp_storage>",
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

./gradlew clean build -x test

./gradlew :dependencies --write-locks
./gradlew :its:dependencies --write-locks

Fehlerbehebung

Anwendungsprotokolle werden standardmäßig in die Datei STORAGE_PATH/logs/mcp.log geschrieben. Um die Protokollierung in Dateien vollständig zu deaktivieren, setzen Sie SONARQUBE_LOG_TO_FILE_DISABLED=true.

Häufige Probleme

„Die SonarQube-Serverversion wird nicht unterstützt“

Der MCP-Server prüft beim Start die Version des verbundenen SonarQube Servers. Ist die Instanz älter als 2025.1 (SQS) oder 25.1 (SQCB), schlägt der Start mit folgender Meldung fehl:

SonarQube server version is not supported, minimal version is SQS 2025.1 or SQCB 25.1

Lösung: Aktualisieren Sie SonarQube Server auf eine unterstützte Version. Diese Prüfung gilt nur bei einer Verbindung mit SonarQube Server (SONARQUBE_URL ohne SONARQUBE_ORG), nicht für SonarQube Cloud.

„Funktion funktioniert nicht“ oder „Tools/Funktionalität fehlen“

Möglicherweise verwenden Sie ein veraltetes Docker-Image. Docker speichert Images lokal zwischen, sodass Sie Aktualisierungen nicht automatisch erhalten.

Lösung: Aktualisieren Sie auf die neueste Version:

docker pull sonarsource/sonarqube-mcp

Starten Sie nach dem Abrufen des neuesten Images Ihren MCP-Client neu, damit die aktualisierte Version verwendet wird.

Optional können Sie Ihrem docker run-Befehl das Flag --pull=always hinzufügen, damit stets geprüft wird, ob eine neuere Version verfügbar ist, und diese gegebenenfalls abgerufen wird:

docker run --init --pull=always -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_ORG sonarsource/sonarqube-mcp

„Ich möchte eine bestimmte Version festlegen“

Sehen Sie sich die verfügbaren Tags unter sonarsource/sonarqube-mcp an und geben Sie die gewünschte Version an:

docker pull sonarsource/sonarqube-mcp:1.19.0.2785

docker run --init -i --rm \
  -e SONARQUBE_TOKEN -e SONARQUBE_ORG \
  sonarsource/sonarqube-mcp:1.19.0.2785

Verwenden Sie in Ihrer MCP-Client-Konfiguration sonarsource/sonarqube-mcp:<version> anstelle von sonarsource/sonarqube-mcp und entfernen Sie --pull=always, damit Docker das Image nicht unbemerkt aktualisiert.

Daten und Telemetrie

Dieser Server erfasst anonyme Nutzungsdaten und sendet sie an SonarSource, um zur Verbesserung des Produkts beizutragen. Es werden weder Quellcode noch IP-Adressen erfasst, und SonarSource gibt die Daten nicht an Dritte weiter. Die Erfassung von Telemetriedaten kann mit der folgenden Systemeigenschaft oder Umgebungsvariable deaktiviert werden: TELEMETRY_DISABLED=true. Klicken Sie hier, um ein Beispiel der erfassten Daten zu sehen.

Lizenz

Copyright 2025 SonarSource.

Lizenziert unter der SONAR Source-Available License v1.0. Die Nutzung des SonarQube MCP Server gemäß dieser Dokumentation gilt als nicht wettbewerbsorientierter Zweck und ist daher gemäß der SSAL zulässig.

Ihre Nutzung von SonarQube über MCP unterliegt den Nutzungsbedingungen von SonarQube Cloud oder den Geschäftsbedingungen von SonarQube Server, einschließlich der ausschließlichen Nutzung der Ergebnisdaten für Ihre interne Softwareentwicklung.