SonarQube

SonarQube MCP サーバー

SonarQube MCP サーバーは、コード品質とセキュリティのために SonarQube Server または Cloud とのシームレスな統合を可能にする Model Context Protocol (MCP) サーバーです。 また、エージェントコンテキスト内でコードスニペットを直接解析することもサポートしています。

クイックセットアップ

🚀 設定を生成する

最も速く始める方法は、SonarQube MCP Server Configuration Generator です。これは、お好みの AI エージェントクライアント向けのすぐに使える設定を生成する対話型ツールです。

手動セットアップ

自分で設定を構成したい場合は、sonarsource/sonarqube-mcp のコンテナイメージを使用するのが最も簡単な方法です。自動更新には sonarsource/sonarqube-mcp を（--pull=always と併用）、再現可能なデプロイにはバージョンタグ（例: sonarsource/sonarqube-mcp:1.19.0.2785）を指定してください。ローカルでビルドしたい場合は以下をお読みください。

注: 以下の例では docker を使用していますが、OCI 互換のコンテナランタイム（例: Podman、nerdctl）であればどれでも動作します。docker を任意のツールに置き換えてください。

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": ["run", "--init", "--pull=always", "-i", "--rm", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_ORG", "sonarsource/sonarqube-mcp"],
      "env": {
        "SONARQUBE_TOKEN": "<YOUR_TOKEN>",
        "SONARQUBE_ORG": "<YOUR_ORG>"
      }
    }
  }
}

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": ["run", "--init", "--pull=always", "-i", "--rm", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_URL", "sonarsource/sonarqube-mcp"],
      "env": {
        "SONARQUBE_TOKEN": "<YOUR_USER_TOKEN>",
        "SONARQUBE_URL": "<YOUR_SERVER_URL>"
      }
    }
  }
}

claude mcp add sonarqube \
  --env SONARQUBE_TOKEN=$SONAR_TOKEN \
  --env SONARQUBE_ORG=$SONAR_ORG \
  -- docker run --init --pull=always -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_ORG sonarsource/sonarqube-mcp

claude mcp add sonarqube \
  --env SONARQUBE_TOKEN=$SONAR_USER_TOKEN \
  --env SONARQUBE_URL=$SONAR_URL \
  -- docker run --init --pull=always -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_URL sonarsource/sonarqube-mcp

[mcp_servers.sonarqube]
command = "docker"
args = ["run", "--init", "--pull=always", "--rm", "-i", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_ORG", "sonarsource/sonarqube-mcp"]
env = { "SONARQUBE_TOKEN" = "<YOUR_USER_TOKEN>", "SONARQUBE_ORG" = "<YOUR_ORG>" }

[mcp_servers.sonarqube]
command = "docker"
args = ["run", "--init", "--pull=always", "--rm", "-i", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_URL", "sonarsource/sonarqube-mcp"]
env = { "SONARQUBE_TOKEN" = "<YOUR_TOKEN>", "SONARQUBE_URL" = "<YOUR_SERVER_URL>" }

gemini extensions install https://github.com/SonarSource/sonarqube-agent-plugins

/mcp add

Server Name: sonarqube
Server Type: Local (Press 1)
Command: docker
Arguments: run, --init, --pull=always, --rm, -i, -e, SONARQUBE_TOKEN, -e, SONARQUBE_ORG, sonarsource/sonarqube-mcp
Environment Variables: SONARQUBE_TOKEN=<YOUR_TOKEN>,SONARQUBE_ORG=<YOUR_ORG>
Tools: *

Server Name: sonarqube
Server Type: Local (Press 1)
Command: docker
Arguments: run, --init, --pull=always, --rm, -i, -e, SONARQUBE_TOKEN, -e, SONARQUBE_URL, sonarsource/sonarqube-mcp
Environment Variables: SONARQUBE_TOKEN=<YOUR_USER_TOKEN>,SONARQUBE_URL=<YOUR_SERVER_URL>
Tools: *

{
  "mcpServers": {
    "sonarqube": {
      "type": "local",
      "command": "docker",
      "args": [
        "run",
        "--init",
        "--pull=always",
        "--rm",
        "-i",
        "-e",
        "SONARQUBE_TOKEN",
        "-e",
        "SONARQUBE_ORG",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_TOKEN": "COPILOT_MCP_SONARQUBE_TOKEN",
        "SONARQUBE_ORG": "COPILOT_MCP_SONARQUBE_ORG"
      },
      "tools": ["*"]
    }
  }
}

{
  "mcpServers": {
    "sonarqube": {
      "type": "local",
      "command": "docker",
      "args": [
        "run",
        "--init",
        "--pull=always",
        "--rm",
        "-i",
        "-e",
        "SONARQUBE_TOKEN",
        "-e",
        "SONARQUBE_URL",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_TOKEN": "COPILOT_MCP_SONARQUBE_USER_TOKEN",
        "SONARQUBE_URL": "COPILOT_MCP_SONARQUBE_URL"
      },
      "tools": ["*"]
    }
  }
}

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": [
        "run",
        "--init",
        "--pull=always",
        "-i",
        "--rm",
        "-e", 
        "SONARQUBE_TOKEN",
        "-e",
        "SONARQUBE_ORG",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_TOKEN": "<YOUR_TOKEN>",
        "SONARQUBE_ORG": "<YOUR_ORG>"
      },
      "disabled": false,
      "autoApprove": []
    }
  }
}

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": [
        "run",
        "--init",
        "--pull=always",
        "-i",
        "--rm",
        "-e", 
        "SONARQUBE_TOKEN",
        "-e",
        "SONARQUBE_URL",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_TOKEN": "<YOUR_USER_TOKEN>",
        "SONARQUBE_URL": "<YOUR_SERVER_URL>"
      },
      "disabled": false,
      "autoApprove": []
    }
  }
}

{
  "sonarqube_token": "YOUR_SONARQUBE_TOKEN",
  "sonarqube_org": "SONARQUBE_ORGANIZATION_KEY",
  "docker_path": "DOCKER_PATH"
}

{
  "sonarqube_token": "YOUR_SONARQUBE_USER_TOKEN",
  "sonarqube_url": "YOUR_SONARQUBE_SERVER_URL",
  "docker_path": "DOCKER_PATH"
}

💡 ヒント: 最新の機能と修正を確実に利用できるよう、最新イメージを定期的にプルするか、問題を報告する前にプルすることをお勧めします。

手動インストール

MCP サーバー設定ファイルに以下のスニペットをコピーして、SonarQube MCP サーバーを手動でインストールできます:

• SonarQube Cloud に接続する場合:

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run",
      "--init",
      "--pull=always",
      "-i",
      "--rm",
      "-e",
      "SONARQUBE_TOKEN",
      "-e",
      "SONARQUBE_ORG",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_ORG": "<org>"
    }
  }
}

• SonarQube Server に接続する場合:

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run",
      "--init",
      "--pull=always",
      "-i",
      "--rm",
      "-e",
      "SONARQUBE_TOKEN",
      "-e",
      "SONARQUBE_URL",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

SonarQube for IDE との統合

SonarQube MCP サーバーは SonarQube for IDE と統合でき、開発ワークフローをさらに強化し、IDE 内で直接より良いコード解析とインサイトを提供します。

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run",
      "--init",
      "--pull=always",
      "-i",
      "--rm",
      "-e",
      "SONARQUBE_TOKEN",
      "-e",
      "SONARQUBE_ORG",
      "-e",
      "SONARQUBE_IDE_PORT",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_ORG": "<org>",
      "SONARQUBE_IDE_PORT": "<64120-64130>"
    }
  }
}

設定

環境に応じて、特定の環境変数を指定する必要があります。

基本

MCP サーバーを実行する際は、以下の変数を追加する必要があります:

ワークスペースマウント（コンテキスト肥大化の削減）

デフォルトでは、解析ツール analyze_code_snippet はエージェントがファイルの完全な内容を fileContent 引数として渡すことを要求します。大きなファイルやセッション内で多くのファイルを解析する場合、これによりコンテキストウィンドウの使用量とコストが大幅に増加します。 解決策： プロジェクトディレクトリを /app/mcp-workspace でコンテナにマウントします。このマウントが検出されると、サーバーはプロジェクト相対の filePath 引数を使用してディスクから直接ファイルを読み取ります。ファイルの内容がエージェントのコンテキストを経由することはありません。

{
  "args": [
    "run", "-i", "--rm", "--init", "--pull=always",
    "-e", "SONARQUBE_TOKEN",
    "-e", "SONARQUBE_ORG",
    "-v", "/path/to/your/project:/app/mcp-workspace",
    "sonarsource/sonarqube-mcp"
  ]
}

マウントがアクティブな場合：

• 組織が権限を持っている場合、run_advanced_code_analysis が利用可能になります
• analyze_code_snippet：filePath が必須で、fileContent は使用されません — サーバーは同じ方法でファイルを解決します

ツールセットの選択的有効化

デフォルトでは、コンテキストのオーバーヘッドを減らすために、重要なツールセットのみが有効になっています。必要に応じて追加のツールセットを有効にできます。

docker run --init --pull=always -i --rm \
  -e SONARQUBE_TOKEN="<token>" \
  -e SONARQUBE_ORG="<org>" \
  -e SONARQUBE_TOOLSETS="analysis,issues,quality-gates" \
  sonarsource/sonarqube-mcp

docker run --init --pull=always -i --rm \
  -e SONARQUBE_TOKEN="<token>" \
  -e SONARQUBE_ORG="<org>" \
  -e SONARQUBE_READ_ONLY="true" \
  sonarsource/sonarqube-mcp

SonarQube Cloud

完全な機能を有効にするには、サーバーを起動する前に次の環境変数を設定する必要があります：

例：

• SonarQube Cloud：SONARQUBE_TOKEN と SONARQUBE_ORG のみが必要です
• SonarQube Cloud US：SONARQUBE_TOKEN、SONARQUBE_ORG、SONARQUBE_URL=https://sonarqube.us を設定します

SonarQube Server

⚠️ SonarQube Server への接続には USER タイプのトークンが必要です。プロジェクトトークンまたはグローバルトークンを使用すると正しく機能しません。 💡 設定のヒント（stdio モード）: SONARQUBE_ORG の有無によって、SonarQube Cloud に接続するか Server に接続するかが決まります。SONARQUBE_ORG が設定されている場合は SonarQube Cloud が使用され、それ以外の場合は SonarQube Server が使用されます。

トランスポートモード

MCP 仕様 では、Stdio と Streamable HTTP の2つのトランスポートメカニズムが定義されています。SonarQube MCP Server は両方をサポートしています:

注: Streamable HTTP は現在の MCP ネットワークトランスポートです。以前の MCP バージョンの SSE のみの HTTP トランスポートは非推奨であり、サポートされていません。

1. Stdio（デフォルト - ローカル開発に推奨）

ローカル開発およびシングルユーザー環境に推奨されるモードで、ほとんどの MCP クライアントで使用されます。

例 - SonarQube Cloud を使用した Docker:

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": ["run", "--init", "--pull=always", "-i", "--rm", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_ORG", "sonarsource/sonarqube-mcp"],
      "env": {
        "SONARQUBE_TOKEN": "<your-token>",
        "SONARQUBE_ORG": "<your-org>"
      }
    }
  }
}

2. HTTP（Streamable HTTP）

暗号化されていない Streamable HTTP トランスポート。マルチユーザー展開では代わりに HTTPS を使用してください。

⚠️ 推奨されません: ローカル開発には Stdio を、マルチユーザーの本番展開には HTTPS（Streamable HTTP） を使用してください。

注: Streamable HTTP モード（HTTP または HTTPS）では、サーバーはステートレスです。各クライアントリクエストには、ユーザー自身の SonarQube トークンを保持する Authorization: Bearer <token> ヘッダーを含める必要があります。SonarQube Cloud の場合、組織は次のように解決されます:

• サーバー起動時に SONARQUBE_ORG が設定されている場合、すべてのリクエストはその組織にルーティングされます。クライアントは SONARQUBE_ORG ヘッダーを送信してはいけません。送信するとエラーになります。
• サーバー起動時に SONARQUBE_ORG が設定されていない場合、各クライアントはすべてのリクエストで SONARQUBE_ORG ヘッダーを必ず提供する必要があります。 クライアントは、SONARQUBE_TOOLSETS および/または SONARQUBE_READ_ONLY ヘッダーを提供することで、リクエストごとに表示されるツールを絞り込むこともできます。これらはサーバーレベルの設定に追加のフィルタリングを適用します。スコープを縮小することしかできず、拡大することはできません。 リクエスト間でセッション状態は維持されません。

非推奨: SONARQUBE_TOKEN リクエストヘッダーは後方互換性のために引き続き受け入れられますが、将来のバージョンで削除される予定です。Authorization: Bearer <token> に移行してください。

3. HTTPS（TLS 上の Streamable HTTP）（マルチユーザーの本番展開に推奨）

TLS 暗号化による安全な Streamable HTTP トランスポート。SSL 証明書が必要です。

✅ 本番環境に推奨: Streamable HTTP で複数ユーザー向けに MCP サーバーを展開する場合は HTTPS を使用してください。サーバーはセキュリティのためデフォルトで 127.0.0.1（localhost）にバインドします。

SSL 証明書の設定（オプション）:

例 - SonarQube Cloud を使用した Docker:

注: コンテナ内で実行する場合は、SONARQUBE_HTTP_HOST=0.0.0.0 を設定してコンテナがすべてのインターフェースでリッスンし、ランタイムのポートマッピングが機能するようにし、SONARQUBE_MCP_IN_CONTAINER=true を設定してサーバーにコンテナ内であることを伝えてください。公式 Docker イメージは後者を自動設定します。他の OCI ランタイム（Podman、Kubernetes、Nomad など）を使用する場合は自分で設定してください。ホスト側のポートフラグは、外部からサーバーに到達できるユーザーを制御します。SONARQUBE_HTTP_HOST=0.0.0.0 はサーバーがコンテナ内のどこでリッスンするかのみを制御します。ブラウザの CORS はデフォルトで localhost オリジンを引き続き許可します。

マシン上でローカルに実行されているサーバー（localhost からのみアクセス可能）の場合:

docker run --init --pull=always -p 127.0.0.1:8443:8443 \
  -v $(pwd)/keystore.p12:/etc/ssl/mcp/keystore.p12:ro \
  -e SONARQUBE_TRANSPORT=https \
  -e SONARQUBE_HTTP_HOST=0.0.0.0 \
  -e SONARQUBE_HTTP_PORT=8443 \
  -e SONARQUBE_TOKEN="<init-token>" \
  -e SONARQUBE_ORG="<your-org>" \
  sonarsource/sonarqube-mcp

ネットワークからアクセス可能なサーバー（リモート展開）の場合:

docker run --init --pull=always -p 8443:8443 \
  -v $(pwd)/keystore.p12:/etc/ssl/mcp/keystore.p12:ro \
  -e SONARQUBE_TRANSPORT=https \
  -e SONARQUBE_HTTP_HOST=0.0.0.0 \
  -e SONARQUBE_HTTP_PORT=8443 \
  -e SONARQUBE_TOKEN="<init-token>" \
  -e SONARQUBE_ORG="<your-org>" \
  sonarsource/sonarqube-mcp

クライアント設定（SonarQube Cloud）:

{
  "mcpServers": {
    "sonarqube-https": {
      "url": "https://your-server:8443/mcp",
      "headers": {
        "Authorization": "Bearer <your-token>",
        "SONARQUBE_ORG": "<your-org>",
        "SONARQUBE_TOOLSETS": "issues,quality-gates",
        "SONARQUBE_READ_ONLY": "true"
      }
    }
  }
}

クライアント設定（SonarQube Server）:

{
  "mcpServers": {
    "sonarqube-https": {
      "url": "https://your-server:8443/mcp",
      "headers": {
        "Authorization": "Bearer <your-token>",
        "SONARQUBE_TOOLSETS": "issues,quality-gates",
        "SONARQUBE_READ_ONLY": "true"
      }
    }
  }
}

注: SONARQUBE_TOOLSETS と SONARQUBE_READ_ONLY は、その特定のリクエストに対してサーバーレベルのツールセットを絞り込むオプションのリクエストごとのヘッダーです。スコープを縮小することしかできません。サーバーが起動されたときの設定を超えてツールセットを有効化したり、制限を解除したりすることはできません。

注: ローカル開発には、代わりに Stdio トランスポート（デフォルト）を使用してください。HTTPS Streamable HTTP は、適切な SSL 証明書を使用したマルチユーザーの本番展開を目的としています。

サービスエンドポイント

Streamable HTTP モード（http または https）で実行している場合、サーバーは /mcp の MCP エンドポイントに加えて、認証不要のサービスエンドポイントをいくつか公開します。これらはサービス間の使用（監視、オーケストレーション、クライアント互換性チェック）を目的としており、Authorization ヘッダーは必要ありません。

これらのエンドポイントは、Stdio トランスポートで実行している場合は利用できません。

カスタム証明書

SonQube Server が自己署名証明書またはプライベート認証局（CA）の証明書を使用している場合、コンテナにカスタム証明書を追加して自動的にインストールさせることができます。

docker run --init --pull=always -i --rm \
  -v /path/to/your/certificates/:/usr/local/share/ca-certificates/:ro \
  -e SONARQUBE_TOKEN="<token>" \
  -e SONARQUBE_URL="<url>" \
  sonarsource/sonarqube-mcp

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run",
      "--init",
      "--pull=always",
      "-i",
      "--rm",
      "-v",
      "/path/to/your/certificates/:/usr/local/share/ca-certificates/:ro",
      "-e",
      "SONARQUBE_TOKEN",
      "-e",
      "SONARQUBE_URL",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

プロキシ

SonarQube MCP Server は、標準の Java プロキシシステムプロパティを通じて HTTP および SOCKS5 プロキシをサポートしています。

クライアント証明書（相互 TLS）

SonarQube Server が TLS ハンドシェイク中にクライアントに証明書の提示を要求する場合（相互 TLS）、PKCS12 キーストアをコンテナにマウントし、JAVA_OPTS を介してその場所を渡すことで提供できます。

docker run --init --pull=always -i --rm \
  -v /path/to/client.p12:/etc/ssl/mcp/client.p12:ro \
  -e JAVA_OPTS="-Djavax.net.ssl.keyStore=/etc/ssl/mcp/client.p12 -Djavax.net.ssl.keyStoreType=PKCS12 -Djavax.net.ssl.keyStorePassword=<passphrase>" \
  -e SONARQUBE_TOKEN="<token>" \
  -e SONARQUBE_URL="<url>" \
  sonarsource/sonarqube-mcp

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run", "--init", "--pull=always", "-i", "--rm",
      "-v", "/path/to/client.p12:/etc/ssl/mcp/client.p12:ro",
      "-e", "JAVA_OPTS",
      "-e", "SONARQUBE_TOKEN",
      "-e", "SONARQUBE_URL",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "JAVA_OPTS": "-Djavax.net.ssl.keyStore=/etc/ssl/mcp/client.p12 -Djavax.net.ssl.keyStoreType=PKCS12 -Djavax.net.ssl.keyStorePassword=<passphrase>",
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

java \
  -Djavax.net.ssl.keyStore=/path/to/client.p12 \
  -Djavax.net.ssl.keyStoreType=PKCS12 \
  -Djavax.net.ssl.keyStorePassword=<passphrase> \
  -jar <path_to_sonarqube_mcp_server_jar>

{
  "sonarqube": {
    "command": "java",
    "args": [
      "-Djavax.net.ssl.keyStore=/path/to/client.p12",
      "-Djavax.net.ssl.keyStoreType=PKCS12",
      "-Djavax.net.ssl.keyStorePassword=<passphrase>",
      "-jar",
      "<path_to_sonarqube_mcp_server_jar>"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

ツール

分析

• analyze_code_snippet - SonarQubeアナライザーを使用してファイルの内容を分析し、コード品質とセキュリティの問題を特定します。正確性のため、常にファイルの完全な内容を分析します。必要に応じて、特定のコードスニペットに結果をフィルタリングできます。

  非推奨： analyze_code_snippetは将来のリリースで削除される予定です。analyze_file_listを使用するにはSonarQube for IDEを接続するか、run_advanced_code_analysisを使用するには組織でVortex分析を有効にしてください（下記参照）。

  使用方法：

  • ワークスペースがマウントされている場合（推奨）：filePath（プロジェクト相対）を渡します — サーバーがファイルを直接読み取るため、ファイルの内容がエージェントのコンテキストウィンドウに入りません
  • ワークスペースがマウントされていない場合：完全なfileContentを渡してファイル全体を分析します（すべての問題を報告）
  • オプションのcodeSnippetを追加して結果をフィルタリングします - スニペット内の問題のみが報告されます（スニペットの位置は自動検出）

  パラメータ：

  • projectKey - SonarQubeプロジェクトキー - 必須の文字列 （SONARQUBE_PROJECT_KEYが定義されている場合は無視されます）
  • filePath - 分析するファイルのプロジェクト相対パス（例：src/main/java/MyClass.java）。ワークスペースが/app/mcp-workspaceにマウントされている場合に使用 - 文字列
  • fileContent - ファイルの完全な内容を文字列として指定。ワークスペースがマウントされていない場合に必須 - 文字列
  • codeSnippet - 問題をフィルタリングするコードスニペット（fileContentの内容と一致する必要があります） - 文字列
  • language - コードの言語（例：'java'、'python'、'js'、'ts'、'tsx'、'jsx'） - 文字列
  • scope - ファイルのスコープ：MAINまたはTEST（デフォルト：MAIN） - 文字列

  サポートされている言語： Java、Kotlin、Python、Ruby、Go、JavaScript（js、jsx）、TypeScript（ts、tsx）、JSP、PHP、XML、HTML、CSS、CloudFormation、Kubernetes、Terraform、Azure Resource Manager、Ansible、Docker、シークレット検出

SonarQube for IDEとの統合が有効な場合： （これら2つのツールは、analysisとideの両方のツールセットにタグ付けされています）

• analyze_file_list - SonarQube for IDEを使用して現在の作業ディレクトリ内のファイルを分析します。このツールは実行中のSonarQube for IDEインスタンスに接続し、ファイルのリストに対してコード品質分析を実行します。

  • file_absolute_paths - 分析する絶対ファイルパスのリスト - 必須のString[]

• toggle_automatic_analysis - SonarQube for IDEの自動分析を有効または無効にします。有効にすると、SonarQube for IDEは作業ディレクトリ内のファイルが変更されるたびに自動的に分析します。無効にすると、自動分析はオフになります。

  • enabled - 自動分析を有効または無効にする - 必須のブール値

SonarQube Cloud組織でVortex分析が有効な場合：

ワークスペースが/app/mcp-workspaceにマウントされている必要があります

• run_advanced_code_analysis - 単一のファイルに対してSonarQube CloudでVortex分析を実行します。組織はMCP設定から推測されます。
  • projectKey - プロジェクトのキー - 必須の文字列 （SONARQUBE_PROJECT_KEYが定義されている場合は無視されます）
  • branch - 最新の分析コンテキストを取得するために使用されるブランチ名 - 必須の文字列
  • filePath - 分析するファイルのプロジェクト相対パス（例：src/main/java/MyClass.java）。 - 必須の文字列
  • fileScope - ファイルの由来スコープを定義します：'MAIN'または'TEST'（デフォルト：MAIN） - 文字列

カバレッジ

• search_files_by_coverage - カバレッジ順（昇順 - カバレッジが低い順）に並べ替えられたプロジェクト内のファイルを検索します。このツールは、テストカバレッジの改善が必要なファイルを特定するのに役立ちます。

  • projectKey - 検索するプロジェクトキー - 必須の文字列 （SONARQUBE_PROJECT_KEYが定義されている場合は無視されます）
  • branch - ブランチベースの分析用のオプションのブランチ名。有効な名前を見つけるにはlist_branchesを使用 - 文字列
  • pullRequest - オプションのプルリクエストキー/ID。有効なキーを見つけるにはlist_pull_requestsを使用 - 文字列
  • maxCoverage - 最大カバレッジしきい値（0〜100）。カバレッジがこの値以下のファイルのみを返します - 数値
  • pageIndex - ページインデックス（1ベース、デフォルト：1） - 数値
  • pageSize - ページサイズ（デフォルト：100、最大：500） - 数値

• get_file_coverage_details - 特定のファイルの行ごとのカバレッジ情報を取得します。カバレッジがない正確な行と、部分的にカバーされているブランチを特定します。このツールは、テストカバレッジを追加する正確な場所を特定するのに役立ちます。search_files_by_coverageでカバレッジが低いファイルを特定した後に使用します。

  • key - ファイルキー（例：my_project:src/foo/Bar.java） - 必須の文字列
  • branch - ブランチベースの分析用のオプションのブランチ名。有効な名前を見つけるにはlist_branchesを使用 - 文字列
  • pullRequest - オプションのプルリクエストキー/ID。有効なキーを見つけるにはlist_pull_requestsを使用 - 文字列
  • from - 分析する最初の行（1ベース、デフォルト：1） - 数値
  • to - 分析する最後の行（両端を含む）。指定しない場合、すべての行が返されます - 数値

依存関係リスク

注：依存関係リスクは、SonarQube Advanced Securityが有効なSonarQube Server 2025.4 Enterprise以上に接続している場合にのみ利用できます。

• search_dependency_risks - SonarQubeプロジェクトのソフトウェア構成分析の問題（依存関係リスク）を、分析対象のプロジェクト、アプリケーション、またはポートフォリオに含まれるリリースと組み合わせて検索します。
  • projectKey - プロジェクトキー - 必須の文字列 （SONARQUBE_PROJECT_KEYが定義されている場合は無視されます）
  • branch - ブランチベースの分析用のオプションのブランチ名。有効な名前を見つけるにはlist_branchesを使用 - 文字列
  • pullRequest - オプションのプルリクエストキー/ID。有効なキーを見つけるにはlist_pull_requestsを使用 - 文字列
  • pageIndex - オプションのページインデックス（1ベース、デフォルト：1） - 整数
  • pageSize - オプションのページサイズ。0より大きく500以下である必要があります（デフォルト：100） - 整数

エンタープライズ

注：エンタープライズはSonarQube Cloudに接続している場合にのみ利用できます。

• list_enterprises - アクセス権のあるSonarQube Cloudで利用可能なエンタープライズを一覧表示します。このツールを使用して、他のツールで使用できるエンタープライズIDを確認します。
  • enterpriseKey - 結果をフィルタリングするオプションのエンタープライズキー - 文字列

問題

• change_sonar_issue_status - SonarQubeの問題のステータスを"accept"、"falsepositive"に変更するか、問題を"reopen"します。

  • key - 問題キー - 必須の文字列
  • status - 新しい問題のステータス - 必須の列挙型 {"accept", "falsepositive", "reopen"}

• search_sonar_issues_in_projects - 組織のプロジェクト内のSonarQubeの問題を検索します。

  • projectKeys - オプションのSonarQubeプロジェクトキーのリスト - String[]
  • branch - ブランチベースの分析用のオプションのブランチ名。有効な名前を見つけるにはlist_branchesを使用 - 文字列
  • pullRequest - オプションのプルリクエストキー/ID。有効なキーを見つけるにはlist_pull_requestsを使用 - 文字列
  • severities - フィルタリングするオプションの重大度のリスト。指定可能な値：INFO、LOW、MEDIUM、HIGH、BLOCKER - String[]
  • impactSoftwareQualities - フィルタリングするオプションのソフトウェア品質のリスト。指定可能な値：MAINTAINABILITY、RELIABILITY、SECURITY - String[]
  • issueStatuses - フィルタリングするオプションの問題ステータスのリスト。指定可能な値：OPEN、CONFIRMED、FALSE_POSITIVE、ACCEPTED、FIXED、IN_SANDBOX - String[]
  • issueKey - 特定の問題を取得するためのオプションの問題キー - 文字列
  • pageIndex - オプションの1ベースのページインデックス（デフォルト：1） - 整数
  • pageSize - オプションのページサイズ。0より大きく500以下である必要があります（デフォルト：100） - 整数

セキュリティホットスポット

• search_security_hotspots - SonarQubeプロジェクト内のセキュリティホットスポットを検索します。

  • projectKey - プロジェクトまたはアプリケーションキー - 必須の文字列 （SONARQUBE_PROJECT_KEYが定義されている場合は無視されます）
  • hotspotKeys - 取得する特定のセキュリティホットスポットキーのカンマ区切りリスト - String[]
  • branch - ブランチベースの分析用のオプションのブランチ名。有効な名前を見つけるにはlist_branchesを使用 - 文字列
  • pullRequest - オプションのプルリクエストキー/ID。有効なキーを見つけるにはlist_pull_requestsを使用 - 文字列
  • files - フィルタリングするオプションのファイルパスのリスト - String[]
  • status - オプションのステータスフィルター：TO_REVIEW、REVIEWED - 文字列
  • resolution - オプションの解決フィルター：FIXED、SAFE、ACKNOWLEDGED - 文字列
  • sinceLeakPeriod - リーク期間（新規コード）以降に作成されたホットスポットをフィルタリング - ブール値
  • onlyMine - 自分に割り当てられたホットスポットのみを表示 - ブール値
  • pageIndex - オプションの1ベースのページインデックス（デフォルト：1） - 整数
  • pageSize - オプションのページサイズ。0より大きく500以下である必要があります（デフォルト：100） - 整数

• show_security_hotspot - 特定のセキュリティホットスポットに関する詳細情報を取得します。ルールの詳細、コードコンテキスト、フロー、コメントが含まれます。

  • hotspotKey - セキュリティホットスポットキー - 必須の文字列

• change_security_hotspot_status - ステータスを変更してセキュリティホットスポットをレビューします。REVIEWEDとしてマークする場合、解決（FIXED、SAFE、またはACKNOWLEDGED）を指定する必要があります。

  • hotspotKey - セキュリティホットスポットキー - 必須の文字列
  • status - 新しいステータス - 必須の列挙型 {"TO_REVIEW", "REVIEWED"}
  • resolution - ステータスがREVIEWEDの場合の解決 - 列挙型 {"FIXED", "SAFE", "ACKNOWLEDGED"}
  • comment - オプションのレビューコメント - 文字列

言語

• list_languages - このSonarQubeインスタンスでサポートされているすべてのプログラミング言語を一覧表示します。
  • q - 言語キー/名前と照合するオプションのパターン - 文字列

メジャー

• get_component_measures - コンポーネント（プロジェクト、ディレクトリ、ファイル）のSonarQubeメジャーを取得します。
  • projectKey - プロジェクトキー - SONARQUBE_PROJECT_KEYが設定されていない場合は必須の文字列
  • branch - ブランチベースの分析用のオプションのブランチ名。有効な名前を見つけるにはlist_branchesを使用 - 文字列
  • metricKeys - 取得するオプションのメトリックキー（例：ncloc、complexity、violations、coverage） - String[]
  • pullRequest - オプションのプルリクエストキー/ID。有効なキーを見つけるにはlist_pull_requestsを使用 - 文字列

メトリクス

• search_metrics - SonarQubeメトリクスを検索します。
  • pageIndex - オプションの1ベースのページインデックス（デフォルト：1） - 整数
  • pageSize - オプションのページサイズ。0より大きく500以下である必要があります（デフォルト：100） - 整数

ポートフォリオ

• list_portfolios - SonarQubeで利用可能なエンタープライズポートフォリオを、フィルタリングおよびページネーションオプション付きで一覧表示します。

  SonarQube Serverの場合:

  • q - 名前またはキーでポートフォリオをフィルタリングするための任意の検索クエリ - String
  • favorite - trueの場合、お気に入りのポートフォリオのみを返します - Boolean
  • pageIndex - 1から始まる任意のページ番号（デフォルト: 1） - Integer
  • pageSize - 任意のページサイズ。最大500（デフォルト: 100） - Integer

  SonarQube Cloudの場合:

  • enterpriseId - エンタープライズUUID。'favorite' パラメータが true で指定されている場合のみ省略可能 - String
  • q - 名前でポートフォリオをフィルタリングするための任意の検索クエリ - String
  • favorite - 'enterpriseId' パラメータが省略されている場合は true である必要があります。true の場合、ログインユーザーがお気に入りに登録したポートフォリオのみを返します。'draft' が true の場合は true にできません - Boolean
  • draft - true の場合、ログインユーザーが作成したドラフトのみを返します。'favorite' が true の場合は true にできません - Boolean
  • pageIndex - 取得するページの任意のインデックス（デフォルト: 1） - Integer
  • pageSize - 取得するページの任意のサイズ（デフォルト: 50） - Integer

プロジェクト

• search_my_sonarqube_projects - SonarQubeプロジェクトを検索します。レスポンスはページネーションされます。

  • pageIndex - 1から始まる任意のページインデックス（デフォルト: 1） - Integer
  • pageSize - 任意のページサイズ。0より大きく500以下である必要があります（デフォルト: 500） - Integer
  • q - 名前（部分一致）またはキー（完全一致）でプロジェクトをフィルタリングするための任意の検索クエリ - String

• list_branches - プロジェクトの分析済みブランチを一覧表示します。

  • SonarQube Cloud: LONG（長期）ブランチとSHORT（短期）ブランチを、type および mergeBranch フィールド付きで返します。任意の branchTypes フィルター: ALL（デフォルト）、LONG、または SHORT。
  • SonarQube Server: 分析済みのすべてのブランチ（名前、品質ゲート、分析日）を返します。type、mergeBranch、または branchTypes フィルターはありません。
  • 返されたブランチ名を、他のツールの branch パラメータとして使用します。プルリクエスト分析の場合は、代わりに list_pull_requests を使用してください。
  • projectKey - プロジェクトキー（例: my_project） - 必須のString (SONARQUBE_PROJECT_KEY が定義されている場合は無視されます)
  • branchTypes - (SonarQube Cloudのみ) 任意のフィルター: ALL（デフォルト）、LONG、または SHORT - Enum {"ALL", "LONG", "SHORT"}

• list_pull_requests - プロジェクトのすべてのプルリクエストを一覧表示します。PR装飾分析（カバレッジ、問題、品質ゲート）用のプルリクエストを検出するには、このツールを使用します。他のツールで使用できるプルリクエストのキー/IDを返します。プルリクエストのないブランチベースの分析には、代わりに list_branches を使用してください。

  • projectKey - プロジェクトキー（例: my_project） - 必須のString (SONARQUBE_PROJECT_KEY が定義されている場合は無視されます)

品質ゲート

• get_project_quality_gate_status - SonarQubeプロジェクトの品質ゲートステータスを取得します。

  • analysisId - 任意の分析ID - String
  • branch - ブランチベースの分析用の任意のブランチ名。有効な名前を確認するには list_branches を使用してください - String
  • projectId - 任意のプロジェクトID - String
  • projectKey - 任意のプロジェクトキー - String
  • pullRequest - 任意のプルリクエストキー/ID。有効なキーを確認するには list_pull_requests を使用してください - String

• list_quality_gates - 自分のSonarQube内のすべての品質ゲートを一覧表示します。

ルール

• show_rule - SonarQubeのルールに関する詳細情報を表示します。
  • key - ルールキー - 必須のString

重複

• search_duplicated_files - SonarQubeプロジェクト内でコード重複のあるファイルを検索します。デフォルトでは、全ページの重複ファイルを自動的に取得します（最大10,000ファイル）。重複のあるファイルのみを返します。

  • projectKey - プロジェクトキー - 必須のString (SONARQUBE_PROJECT_KEY が定義されている場合は無視されます)
  • branch - ブランチベースの分析用の任意のブランチ名。有効な名前を確認するには list_branches を使用してください - String
  • pullRequest - 任意のプルリクエストキー/ID。有効なキーを確認するには list_pull_requests を使用してください - String
  • pageSize - 手動ページネーション用の任意のページあたりの結果数（最大: 500）。指定しない場合は、すべての重複ファイルを自動取得します - Integer
  • pageIndex - 手動ページネーション用の任意のページ番号（1から開始）。指定しない場合は、すべての重複ファイルを自動取得します - Integer

• get_duplications - ファイルの重複を取得します。ファイルのプロジェクトに対する参照権限（Browse）が必要です。

  • key - ファイルキー - 必須のString
  • branch - ブランチベースの分析用の任意のブランチ名。有効な名前を確認するには list_branches を使用してください - String
  • pullRequest - 任意のプルリクエストキー/ID。有効なキーを確認するには list_pull_requests を使用してください - String

ソース

• get_raw_source - SonarQubeからソースコードを生テキストとして取得します。ファイルに対する「ソースコードの参照」権限が必要です。

  • key - ファイルキー - 必須のString
  • branch - ブランチベースの分析用の任意のブランチ名。有効な名前を確認するには list_branches を使用してください - String
  • pullRequest - 任意のプルリクエストキー/ID。有効なキーを確認するには list_pull_requests を使用してください - String

• get_scm_info - SonarQubeソースファイルのSCM情報を取得します。ファイルのプロジェクトに対するソースコード参照権限が必要です。

  • key - ファイルキー - 必須のString
  • commits_by_line - 値が false の場合はSCMコミットごとに行をグループ化し、それ以外の場合は各行のコミットを表示します - String
  • from - 返す最初の行。1から始まります - Number
  • to - 返す最後の行（両端を含む） - Number

システム

注: システムツールはSonarQube Serverに接続している場合のみ利用可能です。

• get_system_health - SonarQube Serverインスタンスのヘルスステータスを取得します。GREEN（完全に稼働）、YELLOW（使用可能だが注意が必要）、または RED（稼働していない）を返します。

• get_system_info - JVM状態、データベース、検索インデックス、設定など、SonarQube Serverシステム構成の詳細情報を取得します。「管理」権限が必要です。

• get_system_logs - SonarQube Serverのシステムログをプレーンテキスト形式で取得します。システム管理権限が必要です。

  • name - 取得するログの任意の名前。指定可能な値: access、app、ce、deprecation、es、web。デフォルト: app - String

• ping_system - SonarQube Serverシステムが稼働しているかどうかを確認するためのpingを実行します。プレーンテキストで 'pong' を返します。

• get_system_status - SonarQube Serverの状態情報を取得します。ステータス（STARTING、UP、DOWN、RESTARTING、DB_MIGRATION_NEEDED、DB_MIGRATION_RUNNING）、バージョン、およびIDを返します。

Webhook

• create_webhook - SonarQube組織またはプロジェクト用の新しいWebhookを作成します。指定されたプロジェクトに対する「管理」権限、またはグローバルな「管理」権限が必要です。

  • name - Webhook名 - 必須のString
  • url - Webhook URL - 必須のString
  • projectKey - プロジェクト固有のWebhook用の任意のプロジェクトキー - String
  • secret - Webhookペイロードを保護するための任意のWebhookシークレット - String

• list_webhooks - SonarQube組織またはプロジェクトのすべてのWebhookを一覧表示します。指定されたプロジェクトに対する「管理」権限、またはグローバルな「管理」権限が必要です。

  • projectKey - プロジェクト固有のWebhookを一覧表示するための任意のプロジェクトキー - String

コンテキスト拡張

# macOS/Linux (Bash/Zsh)
export SONARQUBE_TOKEN="{<YourUserToken>}"

{
  "mcpServers": {
    "sonarqube-mcp-server": {
      "command": "docker",
      "args": [
        "run", "-i", "--rm", "--pull=always",
        "-e", "SONARQUBE_URL",
        "-e", "SONARQUBE_TOKEN",
        "-e", "SONARQUBE_ORG",
        "-e", "SONARQUBE_PROJECT_KEY",
        "-e", "SONARQUBE_TOOLSETS",
        "-v", "/ABSOLUTE/PATH/TO/YOUR/PROJECT:/app/mcp-workspace:rw",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_URL": "https://sonarcloud.io",
        "SONARQUBE_ORG": "<YourOrganizationKey>",
        "SONARQUBE_PROJECT_KEY": "<YourProjectKey>",
        "SONARQUBE_TOOLSETS": "cag"
      }
    }
  }
}

エージェント対応（Agentic Readiness）

注: エージェント対応ツールはSonarQube Cloudでのみ利用可能であり、組織でこの機能を有効にする必要があります。

• start_agentic_readiness_assessment - プロジェクトのエージェント対応評価を開始します。ステータス PENDING と assessmentId を即座に返します。結果をポーリングするには get_agentic_readiness_assessment を使用します。

  • projectKey - プロジェクトキー - 必須の文字列 （SONARQUBE_PROJECT_KEY が定義されている場合は無視されます）
  • branch - 評価するブランチ。省略した場合はプロジェクトのデフォルトブランチを使用 - 文字列

• get_agentic_readiness_assessment - 評価の結果を取得します。ステータスが COMPLETED、FAILED、または INTERRUPTED になるまで、同じ assessmentId で再呼び出しします。完了すると、全体的なレベルと、推奨アクションとエビデンスを含むピラーごとの内訳を返します。

  • assessmentId - start_agentic_readiness_assessment によって返された評価ID - 必須の文字列

• list_agentic_readiness_assessments - プロジェクトのすべての評価を新しい順に一覧表示します。完全なピラーレベルの結果には get_agentic_readiness_assessment を使用します。

  • projectKey - 評価を一覧表示するプロジェクトキー - 必須の文字列 （SONARQUBE_PROJECT_KEY が定義されている場合は無視されます）
  • branch - ブランチ名で評価をフィルタリングします。省略した場合はすべてのブランチの評価を一覧表示 - 文字列
  • pageIndex - 1から始まるページインデックス（デフォルト: 1） - 数値
  • pageSize - 1ページあたりの項目数、最大100（デフォルト: 50） - 数値

プロンプトの例

SonarQube MCP Serverをセットアップしたら、一般的な実世界のシナリオ向けのプロンプトの例をいくつか示します:

My quality gate is failing for my project. Can you help me understand why and fix the most critical issues?

The quality gate on my feature branch is red. What do I need to fix to get it passing before I can merge to main?

I'm about to merge my pull request <#247> for the <web-app> project. Can you check if there are any quality issues I should address first?

We're deploying to production tomorrow. Can you check the quality gate status and alert me to any critical issues in this branch?

I want to reduce technical debt in my project. What are the top issues I should prioritize?

Our code coverage dropped below 70%. Can you identify which files have the lowest coverage and help me improve it?

I have 15 new code smells in my latest commit. Can you explain what they are and help me fix them?

SonarQube flagged a critical security vulnerability in <AuthController.java>. What's the issue and how do I fix it?

We need to pass a security audit. Can you check all our projects for security vulnerabilities and create a prioritized list of what needs to be fixed?

Are there any known vulnerabilities in our dependencies? Check this project for dependency risks.

I just wrote this authentication function. Can you analyze it for security issues and code quality problems before I commit?

Review the changes in <src/database/migrations> for any potential bugs or security issues.

Give me a health report for my project: quality gate status, number of bugs, Security Hotspots, and code coverage.

Compare code quality between our main branch and the develop branch. Are we introducing new issues?

What are the most common rule violations across all our projects? We might need to update our coding standards.

Show me all the issues that were marked as false positives in the last month. Are we seeing patterns that suggest our rules need adjustment?

ビルド

sonarsource/sonarqube-mcp コンテナイメージを推奨します。

Dockerを使用せずにスタンドアロンJARとしてサーバーを実行するには、SonarSourceバイナリリポジトリ からビルド済みリリースをダウンロードします。リリースされたすべてのバージョンは、sonarqube-mcp-server-<version>.jar として公開されています（例: sonarqube-mcp-server-1.19.0.2785.jar）。

{
  "sonarqube": {
    "command": "java",
    "args": [
      "-jar",
      "<path_to_sonarqube_mcp_server_jar>"
    ],
    "env": {
      "STORAGE_PATH": "<path_to_your_mcp_storage>",
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_ORG": "<org>"
    }
  }
}

{
  "sonarqube": {
    "command": "java",
    "args": [
      "-jar",
      "<path_to_sonarqube_mcp_server_jar>"
    ],
    "env": {
      "STORAGE_PATH": "<path_to_your_mcp_storage>",
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

./gradlew clean build -x test

./gradlew :dependencies --write-locks
./gradlew :its:dependencies --write-locks

トラブルシューティング

アプリケーションログは、デフォルトで STORAGE_PATH/logs/mcp.log ファイルに書き込まれます。ファイルログを完全に無効にするには、SONARQUBE_LOG_TO_FILE_DISABLED=true を設定します。

一般的な問題

「機能が動作しない」または「ツール/機能が不足している」

古いDockerイメージを実行している可能性があります。Dockerはイメージをローカルにキャッシュするため、更新を自動的に受け取ることはありません。

解決策: 最新バージョンに更新します:

docker pull sonarsource/sonarqube-mcp

最新のイメージをプルした後、MCPクライアントを再起動して更新されたバージョンを使用します。

必要に応じて、docker runコマンドに --pull=always フラグを追加して、常に最新バージョンをチェックしてプルします:

docker run --init --pull=always -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_ORG sonarsource/sonarqube-mcp

「特定のバージョンに固定したい」

sonarsource/sonarqube-mcp で利用可能なタグを参照し、必要なバージョンを指定します:

docker pull sonarsource/sonarqube-mcp:1.19.0.2785

docker run --init -i --rm \
  -e SONARQUBE_TOKEN -e SONARQUBE_ORG \
  sonarsource/sonarqube-mcp:1.19.0.2785

MCPクライアント設定で、sonarsource/sonarqube-mcp の代わりに sonarsource/sonarqube-mcp:<version> を使用し、Dockerがイメージを自動的にアップグレードしないように --pull=always を削除します。

データとテレメトリ

このサーバーは匿名の使用状況データを収集し、製品改善のためにSonarSourceに送信します。ソースコードやIPアドレスは収集されず、SonarSourceはデータを他者と共有しません。テレメトリの収集は、次のシステムプロパティまたは環境変数で無効にできます: TELEMETRY_DISABLED=true。収集されるデータのサンプルはこちらをクリックして確認できます。

ライセンス

Copyright 2025 SonarSource.

SONAR Source-Available License v1.0 に基づいてライセンスされています。このドキュメントに準拠してSonarQube MCP Serverを使用することは、非競争的目的（Non-Competitive Purpose）であり、SSALの下で許可されています。

MCPを介したSonarQubeの使用は、SonarQube Cloud利用規約 または SonarQube Server利用規約 に準拠します。これには、結果データ（Results Data）を社内ソフトウェア開発目的にのみ使用することが含まれます。