SonarQube

Servidor MCP de SonarQube

El Servidor MCP de SonarQube es un servidor de Protocolo de Contexto de Modelo (MCP) que permite una integración perfecta con SonarQube Server o Cloud para la calidad y seguridad del código. También admite el análisis de fragmentos de código directamente en el contexto del agente.

Configuración rápida

🚀 Genera tu configuración

La forma más rápida de empezar es el Generador de Configuración del Servidor MCP de SonarQube, una herramienta interactiva que produce una configuración lista para usar para tu cliente de agente de IA preferido.

Configuración manual

Si prefieres configurar las cosas tú mismo, el método más sencillo es usar nuestra imagen de contenedor en sonarsource/sonarqube-mcp. Usa sonarsource/sonarqube-mcp para actualizaciones automáticas (con --pull=always), o fija una etiqueta de versión (p. ej., sonarsource/sonarqube-mcp:1.19.0.2785) para despliegues reproducibles. Lee a continuación si quieres compilarlo localmente.

Nota: Aunque los ejemplos a continuación usan docker, cualquier runtime de contenedor compatible con OCI funciona (p. ej., Podman, nerdctl). Simplemente reemplaza docker con tu herramienta preferida.

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": ["run", "--init", "--pull=always", "-i", "--rm", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_ORG", "sonarsource/sonarqube-mcp"],
      "env": {
        "SONARQUBE_TOKEN": "<YOUR_TOKEN>",
        "SONARQUBE_ORG": "<YOUR_ORG>"
      }
    }
  }
}

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": ["run", "--init", "--pull=always", "-i", "--rm", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_URL", "sonarsource/sonarqube-mcp"],
      "env": {
        "SONARQUBE_TOKEN": "<YOUR_USER_TOKEN>",
        "SONARQUBE_URL": "<YOUR_SERVER_URL>"
      }
    }
  }
}

claude mcp add sonarqube \
  --env SONARQUBE_TOKEN=$SONAR_TOKEN \
  --env SONARQUBE_ORG=$SONAR_ORG \
  -- docker run --init --pull=always -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_ORG sonarsource/sonarqube-mcp

claude mcp add sonarqube \
  --env SONARQUBE_TOKEN=$SONAR_USER_TOKEN \
  --env SONARQUBE_URL=$SONAR_URL \
  -- docker run --init --pull=always -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_URL sonarsource/sonarqube-mcp

[mcp_servers.sonarqube]
command = "docker"
args = ["run", "--init", "--pull=always", "--rm", "-i", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_ORG", "sonarsource/sonarqube-mcp"]
env = { "SONARQUBE_TOKEN" = "<YOUR_USER_TOKEN>", "SONARQUBE_ORG" = "<YOUR_ORG>" }

[mcp_servers.sonarqube]
command = "docker"
args = ["run", "--init", "--pull=always", "--rm", "-i", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_URL", "sonarsource/sonarqube-mcp"]
env = { "SONARQUBE_TOKEN" = "<YOUR_TOKEN>", "SONARQUBE_URL" = "<YOUR_SERVER_URL>" }

gemini extensions install https://github.com/SonarSource/sonarqube-agent-plugins

/mcp add

Server Name: sonarqube
Server Type: Local (Press 1)
Command: docker
Arguments: run, --init, --pull=always, --rm, -i, -e, SONARQUBE_TOKEN, -e, SONARQUBE_ORG, sonarsource/sonarqube-mcp
Environment Variables: SONARQUBE_TOKEN=<YOUR_TOKEN>,SONARQUBE_ORG=<YOUR_ORG>
Tools: *

Server Name: sonarqube
Server Type: Local (Press 1)
Command: docker
Arguments: run, --init, --pull=always, --rm, -i, -e, SONARQUBE_TOKEN, -e, SONARQUBE_URL, sonarsource/sonarqube-mcp
Environment Variables: SONARQUBE_TOKEN=<YOUR_USER_TOKEN>,SONARQUBE_URL=<YOUR_SERVER_URL>
Tools: *

{
  "mcpServers": {
    "sonarqube": {
      "type": "local",
      "command": "docker",
      "args": [
        "run",
        "--init",
        "--pull=always",
        "--rm",
        "-i",
        "-e",
        "SONARQUBE_TOKEN",
        "-e",
        "SONARQUBE_ORG",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_TOKEN": "COPILOT_MCP_SONARQUBE_TOKEN",
        "SONARQUBE_ORG": "COPILOT_MCP_SONARQUBE_ORG"
      },
      "tools": ["*"]
    }
  }
}

{
  "mcpServers": {
    "sonarqube": {
      "type": "local",
      "command": "docker",
      "args": [
        "run",
        "--init",
        "--pull=always",
        "--rm",
        "-i",
        "-e",
        "SONARQUBE_TOKEN",
        "-e",
        "SONARQUBE_URL",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_TOKEN": "COPILOT_MCP_SONARQUBE_USER_TOKEN",
        "SONARQUBE_URL": "COPILOT_MCP_SONARQUBE_URL"
      },
      "tools": ["*"]
    }
  }
}

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": [
        "run",
        "--init",
        "--pull=always",
        "-i",
        "--rm",
        "-e", 
        "SONARQUBE_TOKEN",
        "-e",
        "SONARQUBE_ORG",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_TOKEN": "<YOUR_TOKEN>",
        "SONARQUBE_ORG": "<YOUR_ORG>"
      },
      "disabled": false,
      "autoApprove": []
    }
  }
}

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": [
        "run",
        "--init",
        "--pull=always",
        "-i",
        "--rm",
        "-e", 
        "SONARQUBE_TOKEN",
        "-e",
        "SONARQUBE_URL",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_TOKEN": "<YOUR_USER_TOKEN>",
        "SONARQUBE_URL": "<YOUR_SERVER_URL>"
      },
      "disabled": false,
      "autoApprove": []
    }
  }
}

{
  "sonarqube_token": "YOUR_SONARQUBE_TOKEN",
  "sonarqube_org": "SONARQUBE_ORGANIZATION_KEY",
  "docker_path": "DOCKER_PATH"
}

{
  "sonarqube_token": "YOUR_SONARQUBE_USER_TOKEN",
  "sonarqube_url": "YOUR_SONARQUBE_SERVER_URL",
  "docker_path": "DOCKER_PATH"
}

💡 Consejo: Recomendamos extraer la imagen más reciente regularmente o antes de reportar problemas para asegurarte de tener las funciones y correcciones más actualizadas.

Instalación manual

Puedes instalar manualmente el servidor MCP de SonarQube copiando el siguiente fragmento en el archivo de configuración de servidores MCP:

• Para conectarte con SonarQube Cloud:

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run",
      "--init",
      "--pull=always",
      "-i",
      "--rm",
      "-e",
      "SONARQUBE_TOKEN",
      "-e",
      "SONARQUBE_ORG",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_ORG": "<org>"
    }
  }
}

• Para conectarte con SonarQube Server:

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run",
      "--init",
      "--pull=always",
      "-i",
      "--rm",
      "-e",
      "SONARQUBE_TOKEN",
      "-e",
      "SONARQUBE_URL",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

Integración con SonarQube for IDE

El Servidor MCP de SonarQube puede integrarse con SonarQube for IDE para mejorar aún más tu flujo de trabajo de desarrollo, proporcionando un mejor análisis de código e información directamente dentro de tu IDE.

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run",
      "--init",
      "--pull=always",
      "-i",
      "--rm",
      "-e",
      "SONARQUBE_TOKEN",
      "-e",
      "SONARQUBE_ORG",
      "-e",
      "SONARQUBE_IDE_PORT",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_ORG": "<org>",
      "SONARQUBE_IDE_PORT": "<64120-64130>"
    }
  }
}

Configuración

Dependiendo de tu entorno, debes proporcionar variables de entorno específicas.

Base

Debes agregar la siguiente variable al ejecutar el Servidor MCP:

Montaje del Espacio de Trabajo (Reducción de la Sobrecarga de Contexto)

Por defecto, la herramienta de análisis analyze_code_snippet requiere que el agente pase el contenido completo del archivo como argumento fileContent. Para archivos grandes o al analizar muchos archivos en una sesión, esto aumenta significativamente el uso de la ventana de contexto y el costo. Solución: monte su directorio de proyecto en el contenedor en /app/mcp-workspace. Cuando se detecta este montaje, el servidor lee los archivos directamente desde el disco usando el argumento filePath relativo al proyecto — el contenido de los archivos nunca pasa por el contexto del agente.

{
  "args": [
    "run", "-i", "--rm", "--init", "--pull=always",
    "-e", "SONARQUBE_TOKEN",
    "-e", "SONARQUBE_ORG",
    "-v", "/path/to/your/project:/app/mcp-workspace",
    "sonarsource/sonarqube-mcp"
  ]
}

Cuando el montaje está activo:

• run_advanced_code_analysis estará disponible si su organización tiene derecho a ello
• analyze_code_snippet: filePath es obligatorio y fileContent no se utiliza — el servidor resuelve el archivo de la misma manera

Habilitación selectiva de conjuntos de herramientas

Por defecto, solo se habilitan los conjuntos de herramientas importantes para reducir la sobrecarga de contexto. Puede habilitar conjuntos de herramientas adicionales según sea necesario.

docker run --init --pull=always -i --rm \
  -e SONARQUBE_TOKEN="<token>" \
  -e SONARQUBE_ORG="<org>" \
  -e SONARQUBE_TOOLSETS="analysis,issues,quality-gates" \
  sonarsource/sonarqube-mcp

docker run --init --pull=always -i --rm \
  -e SONARQUBE_TOKEN="<token>" \
  -e SONARQUBE_ORG="<org>" \
  -e SONARQUBE_READ_ONLY="true" \
  sonarsource/sonarqube-mcp

SonarQube Cloud

Para habilitar la funcionalidad completa, se deben establecer las siguientes variables de entorno antes de iniciar el servidor:

Ejemplos:

• SonarQube Cloud: Solo se necesitan SONARQUBE_TOKEN y SONARQUBE_ORG
• SonarQube Cloud US: Establezca SONARQUBE_TOKEN, SONARQUBE_ORG y SONARQUBE_URL=https://sonarqube.us

SonarQube Server

⚠️ La conexión a SonarQube Server requiere un token de tipo USER y no funcionará correctamente si se utilizan tokens de proyecto o tokens globales. 💡 Consejo de configuración (modo stdio): La presencia de SONARQUBE_ORG determina si te estás conectando a SonarQube Cloud o Server. Si SONARQUBE_ORG está configurado, se usa SonarQube Cloud; de lo contrario, se usa SonarQube Server.

Modos de transporte

La especificación MCP define dos mecanismos de transporte: Stdio y Streamable HTTP. El servidor MCP de SonarQube soporta ambos:

Nota: Streamable HTTP es el transporte de red MCP actual. El transporte HTTP solo SSE de versiones anteriores de MCP está obsoleto y no es compatible.

1. Stdio (Predeterminado - Recomendado para desarrollo local)

El modo recomendado para desarrollo local y configuraciones de un solo usuario, utilizado por la mayoría de los clientes MCP.

Ejemplo - Docker con SonarQube Cloud:

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": ["run", "--init", "--pull=always", "-i", "--rm", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_ORG", "sonarsource/sonarqube-mcp"],
      "env": {
        "SONARQUBE_TOKEN": "<your-token>",
        "SONARQUBE_ORG": "<your-org>"
      }
    }
  }
}

2. HTTP (Streamable HTTP)

Transporte Streamable HTTP sin cifrar. Use HTTPS en su lugar para implementaciones multiusuario.

⚠️ No recomendado: Use Stdio para desarrollo local o HTTPS (Streamable HTTP) para implementaciones de producción multiusuario.

Nota: En modo Streamable HTTP (HTTP o HTTPS), el servidor no tiene estado: cada solicitud del cliente debe incluir un encabezado Authorization: Bearer <token> que contenga el token de SonarQube del usuario. Para SonarQube Cloud, la organización se resuelve de la siguiente manera:

• Si SONARQUBE_ORG está configurado al iniciar el servidor, todas las solicitudes se enrutan a esa organización. Los clientes no deben enviar un encabezado SONARQUBE_ORG; hacerlo resultará en un error.
• Si SONARQUBE_ORG no está configurado al iniciar el servidor, cada cliente debe proporcionar un encabezado SONARQUBE_ORG en cada solicitud. Los clientes también pueden limitar las herramientas visibles por solicitud proporcionando encabezados SONARQUBE_TOOLSETS y/o SONARQUBE_READ_ONLY; estos aplican filtros adicionales sobre la configuración a nivel de servidor: solo pueden reducir el alcance, nunca expandirlo. No se mantiene estado de sesión entre solicitudes.

Obsoleto: El encabezado de solicitud SONARQUBE_TOKEN todavía se acepta por compatibilidad con versiones anteriores, pero se eliminará en una versión futura. Migra a Authorization: Bearer <token>.

3. HTTPS (Streamable HTTP sobre TLS) (Recomendado para implementaciones de producción multiusuario)

Transporte Streamable HTTP seguro con cifrado TLS. Requiere certificados SSL.

✅ Recomendado para producción: Use HTTPS al implementar el servidor MCP para múltiples usuarios a través de Streamable HTTP. El servidor se vincula a 127.0.0.1 (localhost) por defecto por seguridad.

Configuración de certificado SSL (Opcional):

Ejemplo - Docker con SonarQube Cloud:

Nota: Cuando se ejecuta en un contenedor, establece SONARQUBE_HTTP_HOST=0.0.0.0 para que el contenedor escuche en todas las interfaces y el mapeo de puertos del runtime funcione, y establece SONARQUBE_MCP_IN_CONTAINER=true para indicar al servidor que está dentro de un contenedor. La imagen oficial de Docker establece esto último automáticamente; configúralo tú mismo cuando uses otros runtimes OCI (Podman, Kubernetes, Nomad, etc.). El indicador de puerto del lado del host controla quién puede acceder al servidor desde fuera del contenedor. SONARQUBE_HTTP_HOST=0.0.0.0 solo controla dónde escucha el servidor dentro del contenedor: el CORS del navegador aún permite orígenes localhost por defecto.

Para un servidor que se ejecuta localmente en tu máquina (accesible solo desde localhost):

docker run --init --pull=always -p 127.0.0.1:8443:8443 \
  -v $(pwd)/keystore.p12:/etc/ssl/mcp/keystore.p12:ro \
  -e SONARQUBE_TRANSPORT=https \
  -e SONARQUBE_HTTP_HOST=0.0.0.0 \
  -e SONARQUBE_HTTP_PORT=8443 \
  -e SONARQUBE_TOKEN="<init-token>" \
  -e SONARQUBE_ORG="<your-org>" \
  sonarsource/sonarqube-mcp

Para un servidor accesible desde la red (implementaciones remotas):

docker run --init --pull=always -p 8443:8443 \
  -v $(pwd)/keystore.p12:/etc/ssl/mcp/keystore.p12:ro \
  -e SONARQUBE_TRANSPORT=https \
  -e SONARQUBE_HTTP_HOST=0.0.0.0 \
  -e SONARQUBE_HTTP_PORT=8443 \
  -e SONARQUBE_TOKEN="<init-token>" \
  -e SONARQUBE_ORG="<your-org>" \
  sonarsource/sonarqube-mcp

Configuración del cliente (SonarQube Cloud):

{
  "mcpServers": {
    "sonarqube-https": {
      "url": "https://your-server:8443/mcp",
      "headers": {
        "Authorization": "Bearer <your-token>",
        "SONARQUBE_ORG": "<your-org>",
        "SONARQUBE_TOOLSETS": "issues,quality-gates",
        "SONARQUBE_READ_ONLY": "true"
      }
    }
  }
}

Configuración del cliente (SonarQube Server):

{
  "mcpServers": {
    "sonarqube-https": {
      "url": "https://your-server:8443/mcp",
      "headers": {
        "Authorization": "Bearer <your-token>",
        "SONARQUBE_TOOLSETS": "issues,quality-gates",
        "SONARQUBE_READ_ONLY": "true"
      }
    }
  }
}

Nota: SONARQUBE_TOOLSETS y SONARQUBE_READ_ONLY son encabezados opcionales por solicitud que limitan el conjunto de herramientas a nivel de servidor para esa solicitud específica. Solo pueden reducir el alcance: no pueden habilitar conjuntos de herramientas ni levantar restricciones más allá de lo que el servidor fue lanzado.

Nota: Para desarrollo local, use el transporte Stdio en su lugar (el predeterminado). HTTPS Streamable HTTP está destinado a implementaciones de producción multiusuario con certificados SSL adecuados.

Puntos de conexión de servicio

Cuando se ejecuta en modo Streamable HTTP (http o https), el servidor expone algunos puntos de conexión de servicio no autenticados además del punto de conexión MCP en /mcp. Estos están destinados para uso de servicio a servicio (monitoreo, orquestación, comprobaciones de compatibilidad del cliente) y no requieren un encabezado Authorization.

Estos puntos de conexión no están disponibles cuando se ejecuta con el transporte Stdio.

Certificados personalizados

Si tu servidor SonarQube Server utiliza un certificado autofirmado o un certificado de una Autoridad de Certificación (CA) privada, puedes agregar certificados personalizados al contenedor que se instalarán automáticamente.

docker run --init --pull=always -i --rm \
  -v /path/to/your/certificates/:/usr/local/share/ca-certificates/:ro \
  -e SONARQUBE_TOKEN="<token>" \
  -e SONARQUBE_URL="<url>" \
  sonarsource/sonarqube-mcp

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run",
      "--init",
      "--pull=always",
      "-i",
      "--rm",
      "-v",
      "/path/to/your/certificates/:/usr/local/share/ca-certificates/:ro",
      "-e",
      "SONARQUBE_TOKEN",
      "-e",
      "SONARQUBE_URL",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

Proxy

El servidor MCP de SonarQube admite proxies HTTP y SOCKS5 a través de propiedades estándar del sistema Java.

Certificado de cliente (TLS mutuo)

Si tu servidor SonarQube Server requiere que los clientes presenten un certificado durante el protocolo de enlace TLS (TLS mutuo), puedes proporcionar un almacén de claves PKCS12 montándolo en el contenedor y pasando su ubicación a través de JAVA_OPTS.

docker run --init --pull=always -i --rm \
  -v /path/to/client.p12:/etc/ssl/mcp/client.p12:ro \
  -e JAVA_OPTS="-Djavax.net.ssl.keyStore=/etc/ssl/mcp/client.p12 -Djavax.net.ssl.keyStoreType=PKCS12 -Djavax.net.ssl.keyStorePassword=<passphrase>" \
  -e SONARQUBE_TOKEN="<token>" \
  -e SONARQUBE_URL="<url>" \
  sonarsource/sonarqube-mcp

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run", "--init", "--pull=always", "-i", "--rm",
      "-v", "/path/to/client.p12:/etc/ssl/mcp/client.p12:ro",
      "-e", "JAVA_OPTS",
      "-e", "SONARQUBE_TOKEN",
      "-e", "SONARQUBE_URL",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "JAVA_OPTS": "-Djavax.net.ssl.keyStore=/etc/ssl/mcp/client.p12 -Djavax.net.ssl.keyStoreType=PKCS12 -Djavax.net.ssl.keyStorePassword=<passphrase>",
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

java \
  -Djavax.net.ssl.keyStore=/path/to/client.p12 \
  -Djavax.net.ssl.keyStoreType=PKCS12 \
  -Djavax.net.ssl.keyStorePassword=<passphrase> \
  -jar <path_to_sonarqube_mcp_server_jar>

{
  "sonarqube": {
    "command": "java",
    "args": [
      "-Djavax.net.ssl.keyStore=/path/to/client.p12",
      "-Djavax.net.ssl.keyStoreType=PKCS12",
      "-Djavax.net.ssl.keyStorePassword=<passphrase>",
      "-jar",
      "<path_to_sonarqube_mcp_server_jar>"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

Herramientas

Análisis

• analyze_code_snippet - Analizar el contenido de archivos con los analizadores de SonarQube para identificar problemas de calidad y seguridad del código. Siempre analiza el contenido completo del archivo para mayor precisión. Opcionalmente, filtra los resultados a un fragmento de código específico.

  Obsoleto: analyze_code_snippet se eliminará en una versión futura. Conecte SonarQube for IDE para usar analyze_file_list, o habilite el análisis Vortex para su organización para usar run_advanced_code_analysis (ver más abajo).

  Uso:

  • Con el espacio de trabajo montado (recomendado): pase filePath (relativo al proyecto) — el servidor lee el archivo directamente, manteniendo el contenido del archivo fuera del contexto del agente
  • Sin montaje del espacio de trabajo: pase el fileContent completo para el análisis del archivo completo (informa todos los problemas)
  • Agregue opcionalmente codeSnippet para filtrar resultados: solo se informarán los problemas dentro del fragmento (la ubicación del fragmento se detecta automáticamente)

  Parámetros:

  • projectKey - La clave del proyecto SonarQube - String requerida (Ignorada cuando SONARQUBE_PROJECT_KEY está definida)
  • filePath - Ruta relativa al proyecto del archivo a analizar (p. ej., src/main/java/MyClass.java). Se usa cuando el espacio de trabajo está montado en /app/mcp-workspace - String
  • fileContent - Contenido completo del archivo como cadena. Se requiere cuando el espacio de trabajo no está montado - String
  • codeSnippet - Fragmento de código para filtrar problemas (debe coincidir con el contenido en fileContent) - String
  • language - Lenguaje del código (p. ej., 'java', 'python', 'js', 'ts', 'tsx', 'jsx') - String
  • scope - Alcance del archivo: MAIN o TEST (por defecto: MAIN) - String

  Lenguajes compatibles: Java, Kotlin, Python, Ruby, Go, JavaScript (js, jsx), TypeScript (ts, tsx), JSP, PHP, XML, HTML, CSS, CloudFormation, Kubernetes, Terraform, Azure Resource Manager, Ansible, Docker, Detección de secretos

Cuando la integración con SonarQube for IDE está habilitada: (estas dos herramientas están etiquetadas tanto en el conjunto de herramientas analysis como en el ide)

• analyze_file_list - Analizar archivos en el directorio de trabajo actual usando SonarQube for IDE. Esta herramienta se conecta a una instancia en ejecución de SonarQube for IDE para realizar análisis de calidad de código en una lista de archivos.

  • file_absolute_paths - Lista de rutas absolutas de archivos a analizar - String[] requerido

• toggle_automatic_analysis - Habilitar o deshabilitar el análisis automático de SonarQube for IDE. Cuando está habilitado, SonarQube for IDE analizará automáticamente los archivos a medida que se modifiquen en el directorio de trabajo. Cuando está deshabilitado, el análisis automático se desactiva.

  • enabled - Habilitar o deshabilitar el análisis automático - Boolean requerido

Cuando el análisis Vortex está habilitado para su organización de SonarQube Cloud:

Requiere tener el espacio de trabajo montado en /app/mcp-workspace

• run_advanced_code_analysis - Ejecutar análisis Vortex en SonarQube Cloud para un solo archivo. La organización se infiere de la configuración de MCP.
  • projectKey - La clave del proyecto - String requerida (Ignorada cuando SONARQUBE_PROJECT_KEY está definida)
  • branch - Nombre de la rama utilizado para recuperar el contexto de análisis más reciente - String requerida
  • filePath - Ruta relativa al proyecto del archivo a analizar (p. ej., src/main/java/MyClass.java). - String requerida
  • fileScope - Define en qué alcance se origina el archivo: 'MAIN' o 'TEST' (por defecto: MAIN) - String

Cobertura

• search_files_by_coverage - Buscar archivos en un proyecto ordenados por cobertura (ascendente: la peor cobertura primero). Esta herramienta ayuda a identificar archivos que necesitan mejoras de cobertura de pruebas.

  • projectKey - La clave del proyecto para buscar - String requerida (Ignorada cuando SONARQUBE_PROJECT_KEY está definida)
  • branch - Nombre de rama opcional para análisis basado en ramas. Use list_branches para descubrir nombres válidos - String
  • pullRequest - Clave/ID de solicitud de extracción opcional. Use list_pull_requests para descubrir claves válidas - String
  • maxCoverage - Umbral máximo de cobertura (0-100). Solo devuelve archivos con cobertura <= este valor - Number
  • pageIndex - Índice de página (base 1, por defecto: 1) - Number
  • pageSize - Tamaño de página (por defecto: 100, máximo: 500) - Number

• get_file_coverage_details - Obtener información de cobertura línea por línea para un archivo específico, incluyendo qué líneas exactas no están cubiertas y cuáles tienen ramas parcialmente cubiertas. Esta herramienta ayuda a identificar con precisión dónde agregar cobertura de pruebas. Úsela después de identificar archivos con baja cobertura mediante search_files_by_coverage.

  • key - Clave del archivo (p. ej., my_project:src/foo/Bar.java) - String requerida
  • branch - Nombre de rama opcional para análisis basado en ramas. Use list_branches para descubrir nombres válidos - String
  • pullRequest - Clave/ID de solicitud de extracción opcional. Use list_pull_requests para descubrir claves válidas - String
  • from - Primera línea a analizar (base 1, por defecto: 1) - Number
  • to - Última línea a analizar (inclusive). Si no se especifica, se devuelven todas las líneas - Number

Riesgos de dependencias

Nota: Los riesgos de dependencias solo están disponibles cuando se conecta a SonarQube Server 2025.4 Enterprise o superior con SonarQube Advanced Security habilitado.

• search_dependency_risks - Buscar problemas de análisis de composición de software (riesgos de dependencias) de un proyecto de SonarQube, junto con las versiones que aparecen en el proyecto, aplicación o portafolio analizado.
  • projectKey - Clave del proyecto - String requerida (Ignorada cuando SONARQUBE_PROJECT_KEY está definida)
  • branch - Nombre de rama opcional para análisis basado en ramas. Use list_branches para descubrir nombres válidos - String
  • pullRequest - Clave/ID de solicitud de extracción opcional. Use list_pull_requests para descubrir claves válidas - String
  • pageIndex - Índice de página opcional (base 1, por defecto: 1) - Integer
  • pageSize - Tamaño de página opcional. Debe ser mayor que 0 y menor o igual a 500 (por defecto: 100) - Integer

Empresas

Nota: Las empresas solo están disponibles cuando se conecta a SonarQube Cloud.

• list_enterprises - Listar las empresas disponibles en SonarQube Cloud a las que tiene acceso. Use esta herramienta para descubrir IDs de empresa que pueden usarse con otras herramientas.
  • enterpriseKey - Clave de empresa opcional para filtrar resultados - String

Problemas

• change_sonar_issue_status - Cambiar el estado de un problema de SonarQube a "accept", "falsepositive" o "reopen" un problema.

  • key - Clave del problema - String requerida
  • status - Nuevo estado del problema - Enum requerido {"accept", "falsepositive", "reopen"}

• search_sonar_issues_in_projects - Buscar problemas de SonarQube en los proyectos de mi organización.

  • projectKeys - Lista opcional de claves de proyectos de SonarQube - String[]
  • branch - Nombre de rama opcional para análisis basado en ramas. Use list_branches para descubrir nombres válidos - String
  • pullRequest - Clave/ID de solicitud de extracción opcional. Use list_pull_requests para descubrir claves válidas - String
  • severities - Lista opcional de severidades para filtrar. Valores posibles: INFO, LOW, MEDIUM, HIGH, BLOCKER - String[]
  • impactSoftwareQualities - Lista opcional de calidades de software para filtrar. Valores posibles: MAINTAINABILITY, RELIABILITY, SECURITY - String[]
  • issueStatuses - Lista opcional de estados de problema para filtrar. Valores posibles: OPEN, CONFIRMED, FALSE_POSITIVE, ACCEPTED, FIXED, IN_SANDBOX - String[]
  • issueKey - Clave de problema opcional para obtener un problema específico - String
  • pageIndex - Índice de página opcional (base 1, por defecto: 1) - Integer
  • pageSize - Tamaño de página opcional. Debe ser mayor que 0 y menor o igual a 500 (por defecto: 100) - Integer

Puntos calientes de seguridad

• search_security_hotspots - Buscar puntos calientes de seguridad en un proyecto de SonarQube.

  • projectKey - Clave de proyecto o aplicación - String requerida (Ignorada cuando SONARQUBE_PROJECT_KEY está definida)
  • hotspotKeys - Lista separada por comas de claves específicas de puntos calientes de seguridad para recuperar - String[]
  • branch - Nombre de rama opcional para análisis basado en ramas. Use list_branches para descubrir nombres válidos - String
  • pullRequest - Clave/ID de solicitud de extracción opcional. Use list_pull_requests para descubrir claves válidas - String
  • files - Lista opcional de rutas de archivos para filtrar - String[]
  • status - Filtro de estado opcional: TO_REVIEW, REVIEWED - String
  • resolution - Filtro de resolución opcional: FIXED, SAFE, ACKNOWLEDGED - String
  • sinceLeakPeriod - Filtrar puntos calientes creados desde el período de fuga (código nuevo) - Boolean
  • onlyMine - Mostrar solo puntos calientes asignados a mí - Boolean
  • pageIndex - Índice de página opcional (base 1, por defecto: 1) - Integer
  • pageSize - Tamaño de página opcional. Debe ser mayor que 0 y menor o igual a 500 (por defecto: 100) - Integer

• show_security_hotspot - Obtener información detallada sobre un punto caliente de seguridad específico, incluidos detalles de la regla, contexto del código, flujos y comentarios.

  • hotspotKey - Clave del punto caliente de seguridad - String requerida

• change_security_hotspot_status - Revisar un punto caliente de seguridad cambiando su estado. Al marcarlo como REVIEWED, debe especificar una resolución (FIXED, SAFE o ACKNOWLEDGED).

  • hotspotKey - Clave del punto caliente de seguridad - String requerida
  • status - Nuevo estado - Enum requerido {"TO_REVIEW", "REVIEWED"}
  • resolution - Resolución cuando el estado es REVIEWED - Enum {"FIXED", "SAFE", "ACKNOWLEDGED"}
  • comment - Comentario de revisión opcional - String

Lenguajes

• list_languages - Listar todos los lenguajes de programación compatibles en esta instancia de SonarQube.
  • q - Patrón opcional para comparar claves/nombres de lenguajes - String

Medidas

• get_component_measures - Obtener medidas de SonarQube para un componente (proyecto, directorio, archivo).
  • projectKey - La clave del proyecto - String requerida cuando SONARQUBE_PROJECT_KEY no está configurada
  • branch - Nombre de rama opcional para análisis basado en ramas. Use list_branches para descubrir nombres válidos - String
  • metricKeys - Claves de métricas opcionales para recuperar (p. ej., ncloc, complexity, violations, coverage) - String[]
  • pullRequest - Clave/ID de solicitud de extracción opcional. Use list_pull_requests para descubrir claves válidas - String

Métricas

• search_metrics - Buscar métricas de SonarQube.
  • pageIndex - Índice de página opcional (base 1, por defecto: 1) - Integer
  • pageSize - Tamaño de página opcional. Debe ser mayor que 0 y menor o igual a 500 (por defecto: 100) - Integer

Portafolios

• list_portfolios - Lista los portafolios empresariales disponibles en SonarQube con opciones de filtrado y paginación.

  Para SonarQube Server:

  • q - Consulta de búsqueda opcional para filtrar portafolios por nombre o clave - String
  • favorite - Si es true, solo devuelve portafolios favoritos - Boolean
  • pageIndex - Número de página opcional basado en 1 (predeterminado: 1) - Integer
  • pageSize - Tamaño de página opcional, máximo 500 (predeterminado: 100) - Integer

  Para SonarQube Cloud:

  • enterpriseId - UUID de la empresa. Solo se puede omitir si el parámetro 'favorite' se proporciona con valor true - String
  • q - Consulta de búsqueda opcional para filtrar portafolios por nombre - String
  • favorite - Debe ser true si se omite el parámetro 'enterpriseId'. Si es true, solo devuelve los portafolios marcados como favoritos por el usuario conectado. No puede ser true cuando 'draft' es true - Boolean
  • draft - Si es true, solo devuelve los borradores creados por el usuario conectado. No puede ser true cuando 'favorite' es true - Boolean
  • pageIndex - Índice opcional de la página a obtener (predeterminado: 1) - Integer
  • pageSize - Tamaño opcional de la página a obtener (predeterminado: 50) - Integer

Proyectos

• search_my_sonarqube_projects - Busca proyectos de SonarQube. La respuesta está paginada.

  • pageIndex - Índice de página opcional basado en 1 (predeterminado: 1) - Integer
  • pageSize - Tamaño de página opcional. Debe ser mayor que 0 y menor o igual que 500 (predeterminado: 500) - Integer
  • q - Consulta de búsqueda opcional para filtrar proyectos por nombre (coincidencia parcial) o clave (coincidencia exacta) - String

• list_branches - Lista las ramas analizadas de un proyecto.

  • SonarQube Cloud: devuelve ramas de larga duración (LONG) y de corta duración (SHORT) con los campos type y mergeBranch. Filtro opcional branchTypes: ALL (predeterminado), LONG, o SHORT.
  • SonarQube Server: devuelve todas las ramas analizadas (nombre, calidad, fecha de análisis). Sin filtro type, mergeBranch, ni branchTypes.
  • Usa los nombres de rama devueltos como parámetro branch en otras herramientas. Para análisis de pull requests, usa list_pull_requests en su lugar.
  • projectKey - Clave del proyecto (p. ej., my_project) - String obligatorio (Se ignora cuando SONARQUBE_PROJECT_KEY está definido)
  • branchTypes - (Solo SonarQube Cloud) Filtro opcional: ALL (predeterminado), LONG, o SHORT - Enum {"ALL", "LONG", "SHORT"}

• list_pull_requests - Lista todos los pull requests de un proyecto. Usa esta herramienta para descubrir pull requests para análisis con decoración de PR (cobertura, problemas, calidad). Devuelve la clave/ID del pull request que se puede usar con otras herramientas. Para análisis basado en ramas sin pull requests, usa list_branches en su lugar.

  • projectKey - Clave del proyecto (p. ej., my_project) - String obligatorio (Se ignora cuando SONARQUBE_PROJECT_KEY está definido)

Quality Gates

• get_project_quality_gate_status - Obtiene el estado del Quality Gate para el proyecto de SonarQube.

  • analysisId - ID de análisis opcional - String
  • branch - Nombre de rama opcional para análisis basado en ramas. Usa list_branches para descubrir nombres válidos - String
  • projectId - ID de proyecto opcional - String
  • projectKey - Clave de proyecto opcional - String
  • pullRequest - Clave/ID de pull request opcional. Usa list_pull_requests para descubrir claves válidas - String

• list_quality_gates - Lista todos los quality gates en mi SonarQube.

Reglas

• show_rule - Muestra información detallada sobre una regla de SonarQube.
  • key - Clave de la regla - String obligatorio

Duplicaciones

• search_duplicated_files - Busca archivos con duplicaciones de código en un proyecto de SonarQube. Por defecto, obtiene automáticamente todos los archivos duplicados de todas las páginas (hasta 10 000 archivos como máximo). Devuelve solo archivos con duplicaciones.

  • projectKey - Clave del proyecto - String obligatorio (Se ignora cuando SONARQUBE_PROJECT_KEY está definido)
  • branch - Nombre de rama opcional para análisis basado en ramas. Usa list_branches para descubrir nombres válidos - String
  • pullRequest - Clave/ID de pull request opcional. Usa list_pull_requests para descubrir claves válidas - String
  • pageSize - Número opcional de resultados por página para paginación manual (máximo: 500). Si no se especifica, obtiene automáticamente todos los archivos duplicados - Integer
  • pageIndex - Número de página opcional para paginación manual (comienza en 1). Si no se especifica, obtiene automáticamente todos los archivos duplicados - Integer

• get_duplications - Obtiene las duplicaciones de un archivo. Requiere permiso de exploración en el proyecto del archivo.

  • key - Clave del archivo - String obligatorio
  • branch - Nombre de rama opcional para análisis basado en ramas. Usa list_branches para descubrir nombres válidos - String
  • pullRequest - Clave/ID de pull request opcional. Usa list_pull_requests para descubrir claves válidas - String

Fuentes

• get_raw_source - Obtiene el código fuente como texto plano desde SonarQube. Requiere permiso 'See Source Code' en el archivo.

  • key - Clave del archivo - String obligatorio
  • branch - Nombre de rama opcional para análisis basado en ramas. Usa list_branches para descubrir nombres válidos - String
  • pullRequest - Clave/ID de pull request opcional. Usa list_pull_requests para descubrir claves válidas - String

• get_scm_info - Obtiene información SCM de los archivos fuente de SonarQube. Requiere permiso See Source Code en el proyecto del archivo.

  • key - Clave del archivo - String obligatorio
  • commits_by_line - Agrupa líneas por commit de SCM si el valor es false; de lo contrario, muestra los commits por cada línea - String
  • from - Primera línea a devolver. Comienza en 1 - Number
  • to - Última línea a devolver (inclusive) - Number

Sistema

Nota: Las herramientas del sistema solo están disponibles al conectarse a SonarQube Server.

• get_system_health - Obtiene el estado de salud de la instancia de SonarQube Server. Devuelve GREEN (totalmente operativo), YELLOW (utilizable pero requiere atención) o RED (no operativo).

• get_system_info - Obtiene información detallada sobre la configuración del sistema de SonarQube Server, incluidos el estado de JVM, la base de datos, los índices de búsqueda y la configuración. Requiere permisos de 'Administer'.

• get_system_logs - Obtiene los registros del sistema de SonarQube Server en formato de texto plano. Requiere permisos de administración del sistema.

  • name - Nombre opcional de los registros a obtener. Valores posibles: access, app, ce, deprecation, es, web. Predeterminado: app - String

• ping_system - Hace ping al sistema de SonarQube Server para comprobar si está activo. Devuelve 'pong' como texto plano.

• get_system_status - Obtiene información de estado sobre SonarQube Server. Devuelve el estado (STARTING, UP, DOWN, RESTARTING, DB_MIGRATION_NEEDED, DB_MIGRATION_RUNNING), la versión y el ID.

Webhooks

• create_webhook - Crea un nuevo webhook para la organización o proyecto de SonarQube. Requiere permiso 'Administer' en el proyecto especificado, o permiso global 'Administer'.

  • name - Nombre del webhook - String obligatorio
  • url - URL del webhook - String obligatorio
  • projectKey - Clave de proyecto opcional para webhook específico del proyecto - String
  • secret - Secreto de webhook opcional para proteger el payload del webhook - String

• list_webhooks - Lista todos los webhooks de la organización o proyecto de SonarQube. Requiere permiso 'Administer' en el proyecto especificado, o permiso global 'Administer'.

  • projectKey - Clave de proyecto opcional para listar webhooks específicos del proyecto - String

Aumento de Contexto

# macOS/Linux (Bash/Zsh)
export SONARQUBE_TOKEN="{<YourUserToken>}"

{
  "mcpServers": {
    "sonarqube-mcp-server": {
      "command": "docker",
      "args": [
        "run", "-i", "--rm", "--pull=always",
        "-e", "SONARQUBE_URL",
        "-e", "SONARQUBE_TOKEN",
        "-e", "SONARQUBE_ORG",
        "-e", "SONARQUBE_PROJECT_KEY",
        "-e", "SONARQUBE_TOOLSETS",
        "-v", "/ABSOLUTE/PATH/TO/YOUR/PROJECT:/app/mcp-workspace:rw",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_URL": "https://sonarcloud.io",
        "SONARQUBE_ORG": "<YourOrganizationKey>",
        "SONARQUBE_PROJECT_KEY": "<YourProjectKey>",
        "SONARQUBE_TOOLSETS": "cag"
      }
    }
  }
}

Preparación para Agentes

Nota: Las herramientas de Preparación para Agentes solo están disponibles en SonarQube Cloud y requieren que la función esté habilitada para tu organización.

• start_agentic_readiness_assessment - Inicia una evaluación de preparación para agentes para un proyecto. Devuelve inmediatamente el estado PENDING y un assessmentId. Usa get_agentic_readiness_assessment para consultar los resultados.

  • projectKey - La clave del proyecto - String requerido (Se ignora cuando SONARQUBE_PROJECT_KEY está definido)
  • branch - Rama a evaluar. Omítelo para usar la rama predeterminada del proyecto - String

• get_agentic_readiness_assessment - Recupera el resultado de una evaluación. Vuelve a llamar con el mismo assessmentId hasta que el estado sea COMPLETED, FAILED o INTERRUPTED. Cuando se completa, devuelve el nivel general y un desglose por pilar con acciones recomendadas y evidencia.

  • assessmentId - El ID de evaluación devuelto por start_agentic_readiness_assessment - String requerido

• list_agentic_readiness_assessments - Lista todas las evaluaciones para un proyecto, las más recientes primero. Usa get_agentic_readiness_assessment para obtener resultados completos a nivel de pilar.

  • projectKey - La clave del proyecto para listar evaluaciones - String requerido (Se ignora cuando SONARQUBE_PROJECT_KEY está definido)
  • branch - Filtra evaluaciones por nombre de rama. Omítelo para listar evaluaciones de todas las ramas - String
  • pageIndex - Índice de página basado en 1 (predeterminado: 1) - Number
  • pageSize - Número de elementos por página, máximo 100 (predeterminado: 50) - Number

Ejemplos de Prompts

Una vez que hayas configurado el Servidor MCP de SonarQube, aquí hay algunos ejemplos de prompts para escenarios comunes del mundo real:

My quality gate is failing for my project. Can you help me understand why and fix the most critical issues?

The quality gate on my feature branch is red. What do I need to fix to get it passing before I can merge to main?

I'm about to merge my pull request <#247> for the <web-app> project. Can you check if there are any quality issues I should address first?

We're deploying to production tomorrow. Can you check the quality gate status and alert me to any critical issues in this branch?

I want to reduce technical debt in my project. What are the top issues I should prioritize?

Our code coverage dropped below 70%. Can you identify which files have the lowest coverage and help me improve it?

I have 15 new code smells in my latest commit. Can you explain what they are and help me fix them?

SonarQube flagged a critical security vulnerability in <AuthController.java>. What's the issue and how do I fix it?

We need to pass a security audit. Can you check all our projects for security vulnerabilities and create a prioritized list of what needs to be fixed?

Are there any known vulnerabilities in our dependencies? Check this project for dependency risks.

I just wrote this authentication function. Can you analyze it for security issues and code quality problems before I commit?

Review the changes in <src/database/migrations> for any potential bugs or security issues.

Give me a health report for my project: quality gate status, number of bugs, Security Hotspots, and code coverage.

Compare code quality between our main branch and the develop branch. Are we introducing new issues?

What are the most common rule violations across all our projects? We might need to update our coding standards.

Show me all the issues that were marked as false positives in the last month. Are we seeing patterns that suggest our rules need adjustment?

Compilación

Prefiere la imagen de contenedor sonarsource/sonarqube-mcp.

Para ejecutar el servidor como un JAR independiente sin Docker, descarga una versión precompilada del repositorio de binarios de SonarSource. Cada versión publicada está disponible allí como sonarqube-mcp-server-<version>.jar (por ejemplo, sonarqube-mcp-server-1.19.0.2785.jar).

{
  "sonarqube": {
    "command": "java",
    "args": [
      "-jar",
      "<path_to_sonarqube_mcp_server_jar>"
    ],
    "env": {
      "STORAGE_PATH": "<path_to_your_mcp_storage>",
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_ORG": "<org>"
    }
  }
}

{
  "sonarqube": {
    "command": "java",
    "args": [
      "-jar",
      "<path_to_sonarqube_mcp_server_jar>"
    ],
    "env": {
      "STORAGE_PATH": "<path_to_your_mcp_storage>",
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

./gradlew clean build -x test

./gradlew :dependencies --write-locks
./gradlew :its:dependencies --write-locks

Solución de Problemas

Los registros de la aplicación se escriben en el archivo STORAGE_PATH/logs/mcp.log por defecto. Para deshabilitar por completo el registro en archivo, establece SONARQUBE_LOG_TO_FILE_DISABLED=true.

Problemas Comunes

"La función no funciona" o "Faltan herramientas/funcionalidades"

Puede que estés ejecutando una imagen Docker desactualizada. Docker almacena imágenes en caché localmente, por lo que no recibirás actualizaciones automáticamente.

Solución: Actualiza a la versión más reciente:

docker pull sonarsource/sonarqube-mcp

Después de obtener la última imagen, reinicia tu cliente MCP para usar la versión actualizada.

Opcionalmente, añade la bandera --pull=always a tu comando docker run para verificar siempre y descargar la última versión:

docker run --init --pull=always -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_ORG sonarsource/sonarqube-mcp

"Quiero fijar una versión específica"

Explora las etiquetas disponibles en sonarsource/sonarqube-mcp y referencia la versión que desees:

docker pull sonarsource/sonarqube-mcp:1.19.0.2785

docker run --init -i --rm \
  -e SONARQUBE_TOKEN -e SONARQUBE_ORG \
  sonarsource/sonarqube-mcp:1.19.0.2785

En la configuración de tu cliente MCP, usa sonarsource/sonarqube-mcp:<version> en lugar de sonarsource/sonarqube-mcp y elimina --pull=always para que Docker no actualice la imagen silenciosamente.

Datos y Telemetría

Este servidor recopila datos de uso anónimos y los envía a SonarSource para ayudar a mejorar el producto. No se recopila código fuente ni dirección IP, y SonarSource no comparte los datos con nadie más. La recopilación de telemetría se puede deshabilitar con la siguiente propiedad del sistema o variable de entorno: TELEMETRY_DISABLED=true. Haz clic aquí para ver una muestra de los datos que se recopilan.

Licencia

Copyright 2025 SonarSource.

Licenciado bajo la Licencia de Código Disponible de SONAR v1.0. El uso del Servidor MCP de SonarQube de acuerdo con esta documentación es un Propósito No Competitivo y, por lo tanto, está permitido bajo la SSAL.

Tu uso de SonarQube a través de MCP se rige por los Términos de Servicio de SonarQube Cloud o los Términos y Condiciones de SonarQube Server, incluido el uso de los Datos de Resultados únicamente para tus fines internos de desarrollo de software.