SonarQube

SonarQube MCP Server

O SonarQube MCP Server é um servidor Model Context Protocol (MCP) que permite integração perfeita com o SonarQube Server ou Cloud para qualidade de código e segurança. Ele também suporta a análise de trechos de código diretamente no contexto do agente.

Configuração rápida

🚀 Gere sua configuração

A maneira mais rápida de começar é o Gerador de Configuração do SonarQube MCP Server – uma ferramenta interativa que produz uma configuração pronta para uso no seu cliente de agente de IA preferido.

Configuração manual

Se você prefere configurar as coisas por conta própria, o método mais simples é usar nossa imagem de contêiner em sonarsource/sonarqube-mcp. Use sonarsource/sonarqube-mcp para atualizações automáticas (com --pull=always), ou fixe uma versão (ex.: sonarsource/sonarqube-mcp:1.19.0.2785) para implantações reproduzíveis. Leia abaixo se quiser compilar localmente.

Observação: Embora os exemplos abaixo usem docker, qualquer runtime de contêiner compatível com OCI funciona (ex.: Podman, nerdctl). Basta substituir docker pela sua ferramenta preferida.

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": ["run", "--init", "--pull=always", "-i", "--rm", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_ORG", "sonarsource/sonarqube-mcp"],
      "env": {
        "SONARQUBE_TOKEN": "<YOUR_TOKEN>",
        "SONARQUBE_ORG": "<YOUR_ORG>"
      }
    }
  }
}

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": ["run", "--init", "--pull=always", "-i", "--rm", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_URL", "sonarsource/sonarqube-mcp"],
      "env": {
        "SONARQUBE_TOKEN": "<YOUR_USER_TOKEN>",
        "SONARQUBE_URL": "<YOUR_SERVER_URL>"
      }
    }
  }
}

claude mcp add sonarqube \
  --env SONARQUBE_TOKEN=$SONAR_TOKEN \
  --env SONARQUBE_ORG=$SONAR_ORG \
  -- docker run --init --pull=always -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_ORG sonarsource/sonarqube-mcp

claude mcp add sonarqube \
  --env SONARQUBE_TOKEN=$SONAR_USER_TOKEN \
  --env SONARQUBE_URL=$SONAR_URL \
  -- docker run --init --pull=always -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_URL sonarsource/sonarqube-mcp

[mcp_servers.sonarqube]
command = "docker"
args = ["run", "--init", "--pull=always", "--rm", "-i", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_ORG", "sonarsource/sonarqube-mcp"]
env = { "SONARQUBE_TOKEN" = "<YOUR_USER_TOKEN>", "SONARQUBE_ORG" = "<YOUR_ORG>" }

[mcp_servers.sonarqube]
command = "docker"
args = ["run", "--init", "--pull=always", "--rm", "-i", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_URL", "sonarsource/sonarqube-mcp"]
env = { "SONARQUBE_TOKEN" = "<YOUR_TOKEN>", "SONARQUBE_URL" = "<YOUR_SERVER_URL>" }

gemini extensions install https://github.com/SonarSource/sonarqube-agent-plugins

/mcp add

Server Name: sonarqube
Server Type: Local (Press 1)
Command: docker
Arguments: run, --init, --pull=always, --rm, -i, -e, SONARQUBE_TOKEN, -e, SONARQUBE_ORG, sonarsource/sonarqube-mcp
Environment Variables: SONARQUBE_TOKEN=<YOUR_TOKEN>,SONARQUBE_ORG=<YOUR_ORG>
Tools: *

Server Name: sonarqube
Server Type: Local (Press 1)
Command: docker
Arguments: run, --init, --pull=always, --rm, -i, -e, SONARQUBE_TOKEN, -e, SONARQUBE_URL, sonarsource/sonarqube-mcp
Environment Variables: SONARQUBE_TOKEN=<YOUR_USER_TOKEN>,SONARQUBE_URL=<YOUR_SERVER_URL>
Tools: *

{
  "mcpServers": {
    "sonarqube": {
      "type": "local",
      "command": "docker",
      "args": [
        "run",
        "--init",
        "--pull=always",
        "--rm",
        "-i",
        "-e",
        "SONARQUBE_TOKEN",
        "-e",
        "SONARQUBE_ORG",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_TOKEN": "COPILOT_MCP_SONARQUBE_TOKEN",
        "SONARQUBE_ORG": "COPILOT_MCP_SONARQUBE_ORG"
      },
      "tools": ["*"]
    }
  }
}

{
  "mcpServers": {
    "sonarqube": {
      "type": "local",
      "command": "docker",
      "args": [
        "run",
        "--init",
        "--pull=always",
        "--rm",
        "-i",
        "-e",
        "SONARQUBE_TOKEN",
        "-e",
        "SONARQUBE_URL",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_TOKEN": "COPILOT_MCP_SONARQUBE_USER_TOKEN",
        "SONARQUBE_URL": "COPILOT_MCP_SONARQUBE_URL"
      },
      "tools": ["*"]
    }
  }
}

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": [
        "run",
        "--init",
        "--pull=always",
        "-i",
        "--rm",
        "-e", 
        "SONARQUBE_TOKEN",
        "-e",
        "SONARQUBE_ORG",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_TOKEN": "<YOUR_TOKEN>",
        "SONARQUBE_ORG": "<YOUR_ORG>"
      },
      "disabled": false,
      "autoApprove": []
    }
  }
}

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": [
        "run",
        "--init",
        "--pull=always",
        "-i",
        "--rm",
        "-e", 
        "SONARQUBE_TOKEN",
        "-e",
        "SONARQUBE_URL",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_TOKEN": "<YOUR_USER_TOKEN>",
        "SONARQUBE_URL": "<YOUR_SERVER_URL>"
      },
      "disabled": false,
      "autoApprove": []
    }
  }
}

{
  "sonarqube_token": "YOUR_SONARQUBE_TOKEN",
  "sonarqube_org": "SONARQUBE_ORGANIZATION_KEY",
  "docker_path": "DOCKER_PATH"
}

{
  "sonarqube_token": "YOUR_SONARQUBE_USER_TOKEN",
  "sonarqube_url": "YOUR_SONARQUBE_SERVER_URL",
  "docker_path": "DOCKER_PATH"
}

💡 Dica: Recomendamos puxar a imagem mais recente regularmente ou antes de relatar problemas para garantir que você tenha os recursos e correções mais atualizados.

Instalação manual

Você pode instalar manualmente o servidor MCP do SonarQube copiando o trecho a seguir no arquivo de configuração de servidores MCP:

• Para conectar com o SonarQube Cloud:

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run",
      "--init",
      "--pull=always",
      "-i",
      "--rm",
      "-e",
      "SONARQUBE_TOKEN",
      "-e",
      "SONARQUBE_ORG",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_ORG": "<org>"
    }
  }
}

• Para conectar com o SonarQube Server:

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run",
      "--init",
      "--pull=always",
      "-i",
      "--rm",
      "-e",
      "SONARQUBE_TOKEN",
      "-e",
      "SONARQUBE_URL",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

Integração com o SonarQube for IDE

O SonarQube MCP Server pode ser integrado ao SonarQube for IDE para aprimorar ainda mais seu fluxo de trabalho de desenvolvimento, fornecendo melhor análise de código e insights diretamente no seu IDE.

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run",
      "--init",
      "--pull=always",
      "-i",
      "--rm",
      "-e",
      "SONARQUBE_TOKEN",
      "-e",
      "SONARQUBE_ORG",
      "-e",
      "SONARQUBE_IDE_PORT",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_ORG": "<org>",
      "SONARQUBE_IDE_PORT": "<64120-64130>"
    }
  }
}

Configuração

Dependendo do seu ambiente, você deve fornecer variáveis de ambiente específicas.

Base

Você deve adicionar a seguinte variável ao executar o MCP Server:

Montagem do Workspace (Reduzindo o Consumo de Contexto)

Por padrão, a ferramenta de análise analyze_code_snippet exige que o agente passe o conteúdo completo do arquivo como um argumento fileContent. Para arquivos grandes ou ao analisar muitos arquivos em uma sessão, isso aumenta significativamente o uso da janela de contexto e o custo. Solução: monte o diretório do seu projeto no contêiner em /app/mcp-workspace. Quando essa montagem for detectada, o servidor lê os arquivos diretamente do disco usando o argumento filePath relativo ao projeto — o conteúdo do arquivo nunca passa pelo contexto do agente.

{
  "args": [
    "run", "-i", "--rm", "--init", "--pull=always",
    "-e", "SONARQUBE_TOKEN",
    "-e", "SONARQUBE_ORG",
    "-v", "/path/to/your/project:/app/mcp-workspace",
    "sonarsource/sonarqube-mcp"
  ]
}

Quando a montagem está ativa:

• run_advanced_code_analysis fica disponível se sua organização tiver direito a ele
• analyze_code_snippet: filePath é obrigatório e fileContent não é usado — o servidor resolve o arquivo da mesma forma

Ativação Seletiva de Ferramentas

Por padrão, apenas conjuntos de ferramentas importantes são habilitados para reduzir a sobrecarga de contexto. Você pode habilitar conjuntos de ferramentas adicionais conforme necessário.

docker run --init --pull=always -i --rm \
  -e SONARQUBE_TOKEN="<token>" \
  -e SONARQUBE_ORG="<org>" \
  -e SONARQUBE_TOOLSETS="analysis,issues,quality-gates" \
  sonarsource/sonarqube-mcp

docker run --init --pull=always -i --rm \
  -e SONARQUBE_TOKEN="<token>" \
  -e SONARQUBE_ORG="<org>" \
  -e SONARQUBE_READ_ONLY="true" \
  sonarsource/sonarqube-mcp

SonarQube Cloud

Para habilitar a funcionalidade completa, as seguintes variáveis de ambiente devem ser definidas antes de iniciar o servidor:

Exemplos:

• SonarQube Cloud: Apenas SONARQUBE_TOKEN e SONARQUBE_ORG são necessários
• SonarQube Cloud US: Defina SONARQUBE_TOKEN, SONARQUBE_ORG e SONARQUBE_URL=https://sonarqube.us

SonarQube Server

⚠️ A conexão com o SonarQube Server requer um token do tipo USER e não funcionará corretamente se tokens de projeto ou tokens globais forem usados. 💡 Dica de Configuração (modo stdio): A presença de SONARQUBE_ORG determina se você está se conectando ao SonarQube Cloud ou ao Server. Se SONARQUBE_ORG estiver definido, o SonarQube Cloud é usado; caso contrário, o SonarQube Server é usado.

Modos de Transporte

A especificação MCP define dois mecanismos de transporte: Stdio e HTTP Streamable. O SonarQube MCP Server suporta ambos:

Nota: HTTP Streamable é o transporte de rede MCP atual. O transporte HTTP somente SSE, mais antigo, das versões anteriores do MCP está obsoleto e não é suportado.

1. Stdio (Padrão - Recomendado para Desenvolvimento Local)

O modo recomendado para desenvolvimento local e configurações de usuário único, usado pela maioria dos clientes MCP.

Exemplo - Docker com SonarQube Cloud:

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": ["run", "--init", "--pull=always", "-i", "--rm", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_ORG", "sonarsource/sonarqube-mcp"],
      "env": {
        "SONARQUBE_TOKEN": "<your-token>",
        "SONARQUBE_ORG": "<your-org>"
      }
    }
  }
}

2. HTTP (HTTP Streamable)

Transporte HTTP Streamable não criptografado. Use HTTPS para implantações multiusuário.

⚠️ Não Recomendado: Use Stdio para desenvolvimento local ou HTTPS (HTTP Streamable) para implantações de produção multiusuário.

Nota: No modo HTTP Streamable (HTTP ou HTTPS), o servidor é sem estado — cada solicitação do cliente deve incluir um cabeçalho Authorization: Bearer <token> com o token SonarQube do próprio usuário. Para o SonarQube Cloud, a organização é resolvida da seguinte forma:

• Se SONARQUBE_ORG for definido na inicialização do servidor, todas as solicitações são roteadas para essa organização. Os clientes não devem enviar um cabeçalho SONARQUBE_ORG — fazer isso resultará em erro.
• Se SONARQUBE_ORG não for definido na inicialização do servidor, cada cliente deve fornecer um cabeçalho SONARQUBE_ORG em cada solicitação. Os clientes também podem restringir as ferramentas visíveis por solicitação, fornecendo cabeçalhos SONARQUBE_TOOLSETS e/ou SONARQUBE_READ_ONLY; eles aplicam filtros adicionais além da configuração do nível do servidor — eles só podem reduzir o escopo, nunca expandi-lo. Nenhum estado de sessão é mantido entre solicitações.

Obsoleto: O cabeçalho de solicitação SONARQUBE_TOKEN ainda é aceito para compatibilidade retroativa, mas será removido em uma versão futura. Migre para Authorization: Bearer <token>.

3. HTTPS (HTTP Streamable sobre TLS) (Recomendado para Implantações de Produção Multiusuário)

Transporte HTTP Streamable seguro com criptografia TLS. Requer certificados SSL.

✅ Recomendado para Produção: Use HTTPS ao implantar o servidor MCP para vários usuários via HTTP Streamable. O servidor vincula-se a 127.0.0.1 (localhost) por padrão por segurança.

Configuração de Certificado SSL (Opcional):

Exemplo - Docker com SonarQube Cloud:

Nota: Ao executar em um contêiner, defina SONARQUBE_HTTP_HOST=0.0.0.0 para que o contêiner escute em todas as interfaces e o mapeamento de porta do runtime funcione, e defina SONARQUBE_MCP_IN_CONTAINER=true para informar ao servidor que ele está dentro de um contêiner. A imagem oficial do Docker define o último automaticamente; defina você mesmo ao usar outros runtimes OCI (Podman, Kubernetes, Nomad, etc.). A flag de porta do lado do host controla quem pode alcançar o servidor de fora do contêiner. SONARQUBE_HTTP_HOST=0.0.0.0 apenas controla onde o servidor escuta dentro do contêiner — o CORS do navegador ainda permite origens localhost por padrão.

Para um servidor executando localmente na sua máquina (acessível somente a partir do localhost):

docker run --init --pull=always -p 127.0.0.1:8443:8443 \
  -v $(pwd)/keystore.p12:/etc/ssl/mcp/keystore.p12:ro \
  -e SONARQUBE_TRANSPORT=https \
  -e SONARQUBE_HTTP_HOST=0.0.0.0 \
  -e SONARQUBE_HTTP_PORT=8443 \
  -e SONARQUBE_TOKEN="<init-token>" \
  -e SONARQUBE_ORG="<your-org>" \
  sonarsource/sonarqube-mcp

Para um servidor acessível pela rede (implantações remotas):

docker run --init --pull=always -p 8443:8443 \
  -v $(pwd)/keystore.p12:/etc/ssl/mcp/keystore.p12:ro \
  -e SONARQUBE_TRANSPORT=https \
  -e SONARQUBE_HTTP_HOST=0.0.0.0 \
  -e SONARQUBE_HTTP_PORT=8443 \
  -e SONARQUBE_TOKEN="<init-token>" \
  -e SONARQUBE_ORG="<your-org>" \
  sonarsource/sonarqube-mcp

Configuração do Cliente (SonarQube Cloud):

{
  "mcpServers": {
    "sonarqube-https": {
      "url": "https://your-server:8443/mcp",
      "headers": {
        "Authorization": "Bearer <your-token>",
        "SONARQUBE_ORG": "<your-org>",
        "SONARQUBE_TOOLSETS": "issues,quality-gates",
        "SONARQUBE_READ_ONLY": "true"
      }
    }
  }
}

Configuração do Cliente (SonarQube Server):

{
  "mcpServers": {
    "sonarqube-https": {
      "url": "https://your-server:8443/mcp",
      "headers": {
        "Authorization": "Bearer <your-token>",
        "SONARQUBE_TOOLSETS": "issues,quality-gates",
        "SONARQUBE_READ_ONLY": "true"
      }
    }
  }
}

Nota: SONARQUBE_TOOLSETS e SONARQUBE_READ_ONLY são cabeçalhos opcionais por solicitação que restringem o conjunto de ferramentas do servidor para aquela solicitação específica. Eles só podem reduzir o escopo — não podem habilitar conjuntos de ferramentas ou remover restrições além do que o servidor foi iniciado.

Nota: Para desenvolvimento local, use o transporte Stdio em vez disso (o padrão). HTTPS Streamable HTTP destina-se a implantações de produção multiusuário com certificados SSL adequados.

Endpoints de Serviço

Quando executando no modo HTTP Streamable (http ou https), o servidor expõe alguns endpoints de serviço não autenticados além do endpoint MCP em /mcp. Eles são destinados ao uso serviço a serviço (monitoramento, orquestração, verificações de compatibilidade do cliente) e não exigem um cabeçalho Authorization.

Esses endpoints não estão disponíveis quando executados com o transporte Stdio.

Certificados Personalizados

Se o seu SonarQube Server usar um certificado autoassinado ou um certificado de uma Autoridade Certificadora (CA) privada, você pode adicionar certificados personalizados ao contêiner que serão instalados automaticamente.

docker run --init --pull=always -i --rm \
  -v /path/to/your/certificates/:/usr/local/share/ca-certificates/:ro \
  -e SONARQUBE_TOKEN="<token>" \
  -e SONARQUBE_URL="<url>" \
  sonarsource/sonarqube-mcp

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run",
      "--init",
      "--pull=always",
      "-i",
      "--rm",
      "-v",
      "/path/to/your/certificates/:/usr/local/share/ca-certificates/:ro",
      "-e",
      "SONARQUBE_TOKEN",
      "-e",
      "SONARQUBE_URL",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

Proxy

O SonarQube MCP Server suporta proxies HTTP e SOCKS5 por meio das propriedades padrão do sistema Java.

Certificado do Cliente (TLS Mútuo)

Se o seu SonarQube Server exigir que os clientes apresentem um certificado durante o handshake TLS (TLS mútuo), você pode fornecer um keystore PKCS12 montando-o no contêiner e passando sua localização via JAVA_OPTS.

docker run --init --pull=always -i --rm \
  -v /path/to/client.p12:/etc/ssl/mcp/client.p12:ro \
  -e JAVA_OPTS="-Djavax.net.ssl.keyStore=/etc/ssl/mcp/client.p12 -Djavax.net.ssl.keyStoreType=PKCS12 -Djavax.net.ssl.keyStorePassword=<passphrase>" \
  -e SONARQUBE_TOKEN="<token>" \
  -e SONARQUBE_URL="<url>" \
  sonarsource/sonarqube-mcp

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run", "--init", "--pull=always", "-i", "--rm",
      "-v", "/path/to/client.p12:/etc/ssl/mcp/client.p12:ro",
      "-e", "JAVA_OPTS",
      "-e", "SONARQUBE_TOKEN",
      "-e", "SONARQUBE_URL",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "JAVA_OPTS": "-Djavax.net.ssl.keyStore=/etc/ssl/mcp/client.p12 -Djavax.net.ssl.keyStoreType=PKCS12 -Djavax.net.ssl.keyStorePassword=<passphrase>",
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

java \
  -Djavax.net.ssl.keyStore=/path/to/client.p12 \
  -Djavax.net.ssl.keyStoreType=PKCS12 \
  -Djavax.net.ssl.keyStorePassword=<passphrase> \
  -jar <path_to_sonarqube_mcp_server_jar>

{
  "sonarqube": {
    "command": "java",
    "args": [
      "-Djavax.net.ssl.keyStore=/path/to/client.p12",
      "-Djavax.net.ssl.keyStoreType=PKCS12",
      "-Djavax.net.ssl.keyStorePassword=<passphrase>",
      "-jar",
      "<path_to_sonarqube_mcp_server_jar>"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

Ferramentas

Análise

• analyze_code_snippet - Analise o conteúdo do arquivo com os analisadores do SonarQube para identificar problemas de qualidade e segurança do código. Sempre analisa o conteúdo completo do arquivo para precisão. Opcionalmente, filtre os resultados para um trecho de código específico.

  Obsoleto: analyze_code_snippet será removido em uma versão futura. Conecte o SonarQube for IDE para usar analyze_file_list, ou habilite a análise Vortex para sua organização usar run_advanced_code_analysis (veja abaixo).

  Uso:

  • Com workspace montado (recomendado): passe filePath (relativo ao projeto) — o servidor lê o arquivo diretamente, mantendo o conteúdo do arquivo fora da janela de contexto do agente
  • Sem montagem de workspace: passe o fileContent completo para análise completa do arquivo (relata todos os problemas)
  • Adicione o codeSnippet opcional para filtrar resultados - apenas problemas dentro do trecho serão relatados (localização do trecho detectada automaticamente)

  Parâmetros:

  • projectKey - A chave do projeto SonarQube - String obrigatória (Ignorada quando SONARQUBE_PROJECT_KEY é definida)
  • filePath - Caminho relativo ao projeto do arquivo a analisar (por exemplo, src/main/java/MyClass.java). Usado quando o workspace está montado em /app/mcp-workspace - String
  • fileContent - Conteúdo completo do arquivo como uma string. Obrigatório quando o workspace não está montado - String
  • codeSnippet - Trecho de código para filtrar problemas (deve corresponder ao conteúdo em fileContent) - String
  • language - Linguagem do código (por exemplo, 'java', 'python', 'js', 'ts', 'tsx', 'jsx') - String
  • scope - Escopo do arquivo: MAIN ou TEST (padrão: MAIN) - String

  Linguagens suportadas: Java, Kotlin, Python, Ruby, Go, JavaScript (js, jsx), TypeScript (ts, tsx), JSP, PHP, XML, HTML, CSS, CloudFormation, Kubernetes, Terraform, Azure Resource Manager, Ansible, Docker, Detecção de segredos

Quando a integração com o SonarQube for IDE está habilitada: (essas duas ferramentas são marcadas em ambos os conjuntos de ferramentas analysis e ide)

• analyze_file_list - Analise arquivos no diretório de trabalho atual usando o SonarQube for IDE. Esta ferramenta se conecta a uma instância em execução do SonarQube for IDE para realizar análise de qualidade de código em uma lista de arquivos.

  • file_absolute_paths - Lista de caminhos absolutos de arquivos para analisar - String[] obrigatório

• toggle_automatic_analysis - Ative ou desative a análise automática do SonarQube for IDE. Quando habilitada, o SonarQube for IDE analisará automaticamente os arquivos à medida que forem modificados no diretório de trabalho. Quando desabilitada, a análise automática é desativada.

  • enabled - Ative ou desative a análise automática - Boolean obrigatório

Quando a análise Vortex está habilitada para sua organização SonarQube Cloud:

Requer ter o workspace montado em /app/mcp-workspace

• run_advanced_code_analysis - Execute a análise Vortex no SonarQube Cloud para um único arquivo. A organização é inferida da configuração MCP.
  • projectKey - A chave do projeto - String obrigatória (Ignorada quando SONARQUBE_PROJECT_KEY é definida)
  • branch - Nome do branch usado para recuperar o contexto de análise mais recente - String obrigatória
  • filePath - Caminho relativo ao projeto do arquivo a analisar (por exemplo, src/main/java/MyClass.java). - String obrigatória
  • fileScope - Define em qual escopo o arquivo se origina: 'MAIN' ou 'TEST' (padrão: MAIN) - String

Cobertura

• search_files_by_coverage - Pesquise arquivos em um projeto ordenados por cobertura (crescente - pior cobertura primeiro). Esta ferramenta ajuda a identificar arquivos que precisam de melhorias na cobertura de testes.

  • projectKey - A chave do projeto para pesquisar - String obrigatória (Ignorada quando SONARQUBE_PROJECT_KEY é definida)
  • branch - Nome do branch opcional para análise baseada em branch. Use list_branches para descobrir nomes válidos - String
  • pullRequest - Chave/ID de pull request opcional. Use list_pull_requests para descobrir chaves válidas - String
  • maxCoverage - Limite máximo de cobertura (0-100). Retorne apenas arquivos com cobertura <= este valor - Number
  • pageIndex - Índice da página (baseado em 1, padrão: 1) - Number
  • pageSize - Tamanho da página (padrão: 100, máx: 500) - Number

• get_file_coverage_details - Obtenha informações de cobertura linha por linha para um arquivo específico, incluindo quais linhas exatas não estão cobertas e quais têm ramificações parcialmente cobertas. Esta ferramenta ajuda a identificar precisamente onde adicionar cobertura de testes. Use após identificar arquivos com baixa cobertura via search_files_by_coverage.

  • key - Chave do arquivo (por exemplo, my_project:src/foo/Bar.java) - String obrigatória
  • branch - Nome do branch opcional para análise baseada em branch. Use list_branches para descobrir nomes válidos - String
  • pullRequest - Chave/ID de pull request opcional. Use list_pull_requests para descobrir chaves válidas - String
  • from - Primeira linha a analisar (baseado em 1, padrão: 1) - Number
  • to - Última linha a analisar (inclusiva). Se não especificada, todas as linhas são retornadas - Number

Riscos de Dependência

Nota: Os riscos de dependência estão disponíveis apenas ao conectar-se ao SonarQube Server 2025.4 Enterprise ou superior com o SonarQube Advanced Security habilitado.

• search_dependency_risks - Pesquise problemas de análise de composição de software (riscos de dependência) de um projeto SonarQube, emparelhados com versões que aparecem no projeto, aplicação ou portfólio analisado.
  • projectKey - Chave do projeto - String obrigatória (Ignorada quando SONARQUBE_PROJECT_KEY é definida)
  • branch - Nome do branch opcional para análise baseada em branch. Use list_branches para descobrir nomes válidos - String
  • pullRequest - Chave/ID de pull request opcional. Use list_pull_requests para descobrir chaves válidas - String
  • pageIndex - Índice de página opcional (baseado em 1, padrão: 1) - Integer
  • pageSize - Tamanho de página opcional. Deve ser maior que 0 e menor ou igual a 500 (padrão: 100) - Integer

Empresas

Nota: As empresas estão disponíveis apenas ao conectar-se ao SonarQube Cloud.

• list_enterprises - Liste as empresas disponíveis no SonarQube Cloud às quais você tem acesso. Use esta ferramenta para descobrir IDs de empresas que podem ser usados com outras ferramentas.
  • enterpriseKey - Chave de empresa opcional para filtrar resultados - String

Problemas

• change_sonar_issue_status - Altere o status de um problema do SonarQube para "accept", "falsepositive" ou para "reopen" um problema.

  • key - Chave do problema - String obrigatória
  • status - Novo status do problema - Enum obrigatório {"accept", "falsepositive", "reopen"}

• search_sonar_issues_in_projects - Pesquise problemas do SonarQube nos projetos da minha organização.

  • projectKeys - Lista opcional de chaves de projeto SonarQube - String[]
  • branch - Nome do branch opcional para análise baseada em branch. Use list_branches para descobrir nomes válidos - String
  • pullRequest - Chave/ID de pull request opcional. Use list_pull_requests para descobrir chaves válidas - String
  • severities - Lista opcional de severidades para filtrar. Valores possíveis: INFO, LOW, MEDIUM, HIGH, BLOCKER - String[]
  • impactSoftwareQualities - Lista opcional de qualidades de software para filtrar. Valores possíveis: MAINTAINABILITY, RELIABILITY, SECURITY - String[]
  • issueStatuses - Lista opcional de status de problemas para filtrar. Valores possíveis: OPEN, CONFIRMED, FALSE_POSITIVE, ACCEPTED, FIXED, IN_SANDBOX - String[]
  • issueKey - Chave de problema opcional para buscar um problema específico - String
  • pageIndex - Índice de página opcional baseado em 1 (padrão: 1) - Integer
  • pageSize - Tamanho de página opcional. Deve ser maior que 0 e menor ou igual a 500 (padrão: 100) - Integer

Hotspots de Segurança

• search_security_hotspots - Pesquise Hotspots de Segurança em um projeto SonarQube.

  • projectKey - Chave do projeto ou aplicação - String obrigatória (Ignorada quando SONARQUBE_PROJECT_KEY é definida)
  • hotspotKeys - Lista separada por vírgulas de chaves específicas de Security Hotspot para recuperar - String[]
  • branch - Nome do branch opcional para análise baseada em branch. Use list_branches para descobrir nomes válidos - String
  • pullRequest - Chave/ID de pull request opcional. Use list_pull_requests para descobrir chaves válidas - String
  • files - Lista opcional de caminhos de arquivo para filtrar - String[]
  • status - Filtro de status opcional: TO_REVIEW, REVIEWED - String
  • resolution - Filtro de resolução opcional: FIXED, SAFE, ACKNOWLEDGED - String
  • sinceLeakPeriod - Filtrar hotspots criados desde o período de vazamento (código novo) - Boolean
  • onlyMine - Mostrar apenas hotspots atribuídos a mim - Boolean
  • pageIndex - Índice de página opcional baseado em 1 (padrão: 1) - Integer
  • pageSize - Tamanho de página opcional. Deve ser maior que 0 e menor ou igual a 500 (padrão: 100) - Integer

• show_security_hotspot - Obtenha informações detalhadas sobre um Security Hotspot específico, incluindo detalhes da regra, contexto do código, fluxos e comentários.

  • hotspotKey - Chave do Security Hotspot - String obrigatória

• change_security_hotspot_status - Revise um Security Hotspot alterando seu status. Ao marcar como REVIEWED, você deve especificar uma resolução (FIXED, SAFE ou ACKNOWLEDGED).

  • hotspotKey - Chave do Security Hotspot - String obrigatória
  • status - Novo status - Enum obrigatório {"TO_REVIEW", "REVIEWED"}
  • resolution - Resolução quando o status é REVIEWED - Enum {"FIXED", "SAFE", "ACKNOWLEDGED"}
  • comment - Comentário de revisão opcional - String

Idiomas

• list_languages - Liste todos os idiomas de programação suportados nesta instância do SonarQube.
  • q - Padrão opcional para corresponder a chaves/nomes de idioma - String

Medidas

• get_component_measures - Obtenha medidas do SonarQube para um componente (projeto, diretório, arquivo).
  • projectKey - A chave do projeto - String obrigatória quando SONARQUBE_PROJECT_KEY não está configurado
  • branch - Nome do branch opcional para análise baseada em branch. Use list_branches para descobrir nomes válidos - String
  • metricKeys - Chaves de métrica opcionais para recuperar (por exemplo, ncloc, complexity, violations, coverage) - String[]
  • pullRequest - Chave/ID de pull request opcional. Use list_pull_requests para descobrir chaves válidas - String

Métricas

• search_metrics - Pesquise métricas do SonarQube.
  • pageIndex - Índice de página opcional baseado em 1 (padrão: 1) - Integer
  • pageSize - Tamanho de página opcional. Deve ser maior que 0 e menor ou igual a 500 (padrão: 100) - Integer

Portfólios

• list_portfolios - Lista os portfólios empresariais disponíveis no SonarQube com opções de filtragem e paginação.

  Para SonarQube Server:

  • q - Consulta de pesquisa opcional para filtrar portfólios por nome ou chave - String
  • favorite - Se verdadeiro, retorna apenas portfólios favoritos - Boolean
  • pageIndex - Número da página opcional baseado em 1 (padrão: 1) - Integer
  • pageSize - Tamanho da página opcional, máximo 500 (padrão: 100) - Integer

  Para SonarQube Cloud:

  • enterpriseId - UUID da empresa. Pode ser omitido somente se o parâmetro 'favorite' for fornecido com valor verdadeiro - String
  • q - Consulta de pesquisa opcional para filtrar portfólios por nome - String
  • favorite - Deve ser verdadeiro se o parâmetro 'enterpriseId' for omitido. Se verdadeiro, retorna apenas portfólios favoritos do usuário logado. Não pode ser verdadeiro quando 'draft' for verdadeiro - Boolean
  • draft - Se verdadeiro, retorna apenas rascunhos criados pelo usuário logado. Não pode ser verdadeiro quando 'favorite' for verdadeiro - Boolean
  • pageIndex - Índice opcional da página a buscar (padrão: 1) - Integer
  • pageSize - Tamanho opcional da página a buscar (padrão: 50) - Integer

Projetos

• search_my_sonarqube_projects - Encontra projetos SonarQube. A resposta é paginada.

  • pageIndex - Índice da página opcional baseado em 1 (padrão: 1) - Integer
  • pageSize - Tamanho da página opcional. Deve ser maior que 0 e menor ou igual a 500 (padrão: 500) - Integer
  • q - Consulta de pesquisa opcional para filtrar projetos por nome (correspondência parcial) ou chave (correspondência exata) - String

• list_branches - Lista ramificações analisadas para um projeto.

  • SonarQube Cloud: retorna ramificações de longa duração (LONG) e de curta duração (SHORT) com campos type e mergeBranch. Filtro opcional branchTypes: ALL (padrão), LONG ou SHORT.
  • SonarQube Server: retorna todas as ramificações analisadas (nome, quality gate, data de análise). Sem filtros type, mergeBranch ou branchTypes.
  • Use os nomes de ramificação retornados como parâmetro branch em outras ferramentas. Para análise de pull request, use list_pull_requests em vez disso.
  • projectKey - Chave do projeto (ex.: my_project) - String obrigatória (Ignorado quando SONARQUBE_PROJECT_KEY é definido)
  • branchTypes - (Somente SonarQube Cloud) Filtro opcional: ALL (padrão), LONG ou SHORT - Enum {"ALL", "LONG", "SHORT"}

• list_pull_requests - Lista todos os pull requests de um projeto. Use esta ferramenta para descobrir pull requests para análise decorada com PR (cobertura, problemas, quality gate). Retorna a chave/ID do pull request, que pode ser usada com outras ferramentas. Para análise baseada em ramificação sem pull requests, use list_branches em vez disso.

  • projectKey - Chave do projeto (ex.: my_project) - String obrigatória (Ignorado quando SONARQUBE_PROJECT_KEY é definido)

Portões de Qualidade

• get_project_quality_gate_status - Obtém o status do Quality Gate para o projeto SonarQube.

  • analysisId - ID de análise opcional - String
  • branch - Nome da ramificação opcional para análise baseada em ramificação. Use list_branches para descobrir nomes válidos - String
  • projectId - ID do projeto opcional - String
  • projectKey - Chave do projeto opcional - String
  • pullRequest - Chave/ID do pull request opcional. Use list_pull_requests para descobrir chaves válidas - String

• list_quality_gates - Lista todos os quality gates no meu SonarQube.

Regras

• show_rule - Mostra informações detalhadas sobre uma regra do SonarQube.
  • key - Chave da regra - String obrigatória

Duplicações

• search_duplicated_files - Procura arquivos com duplicações de código em um projeto SonarQube. Por padrão, busca automaticamente todos os arquivos duplicados em todas as páginas (até 10.000 arquivos no máximo). Retorna apenas arquivos com duplicações.

  • projectKey - Chave do projeto - String obrigatória (Ignorado quando SONARQUBE_PROJECT_KEY é definido)
  • branch - Nome da ramificação opcional para análise baseada em ramificação. Use list_branches para descobrir nomes válidos - String
  • pullRequest - Chave/ID do pull request opcional. Use list_pull_requests para descobrir chaves válidas - String
  • pageSize - Número opcional de resultados por página para paginação manual (máx.: 500). Se não especificado, busca automaticamente todos os arquivos duplicados - Integer
  • pageIndex - Número da página opcional para paginação manual (começa em 1). Se não especificado, busca automaticamente todos os arquivos duplicados - Integer

• get_duplications - Obtém duplicações de um arquivo. Exige permissão de Navegação no projeto do arquivo.

  • key - Chave do arquivo - String obrigatória
  • branch - Nome da ramificação opcional para análise baseada em ramificação. Use list_branches para descobrir nomes válidos - String
  • pullRequest - Chave/ID do pull request opcional. Use list_pull_requests para descobrir chaves válidas - String

Fontes

• get_raw_source - Obtém código-fonte como texto bruto do SonarQube. Exige permissão 'Ver Código-Fonte' no arquivo.

  • key - Chave do arquivo - String obrigatória
  • branch - Nome da ramificação opcional para análise baseada em ramificação. Use list_branches para descobrir nomes válidos - String
  • pullRequest - Chave/ID do pull request opcional. Use list_pull_requests para descobrir chaves válidas - String

• get_scm_info - Obtém informações de SCM dos arquivos-fonte do SonarQube. Exige permissão de Ver Código-Fonte no projeto do arquivo.

  • key - Chave do arquivo - String obrigatória
  • commits_by_line - Agrupa linhas por commit SCM se o valor for falso, caso contrário exibe commits para cada linha - String
  • from - Primeira linha a retornar. Começa em 1 - Number
  • to - Última linha a retornar (inclusiva) - Number

Sistema

Observação: as ferramentas do sistema estão disponíveis somente ao conectar ao SonarQube Server.

• get_system_health - Obtém o status de saúde da instância do SonarQube Server. Retorna GREEN (totalmente operacional), YELLOW (utilizável, mas requer atenção) ou RED (não operacional).

• get_system_info - Obtém informações detalhadas sobre a configuração do sistema do SonarQube Server, incluindo estado da JVM, banco de dados, índices de pesquisa e configurações. Exige permissões de 'Administrar'.

• get_system_logs - Obtém logs do sistema SonarQube Server em formato texto simples. Exige permissão de administração do sistema.

  • name - Nome opcional dos logs a obter. Valores possíveis: access, app, ce, deprecation, es, web. Padrão: app - String

• ping_system - Envia um ping para o sistema SonarQube Server para verificar se está ativo. Retorna 'pong' como texto simples.

• get_system_status - Obtém informações de estado sobre o SonarQube Server. Retorna status (STARTING, UP, DOWN, RESTARTING, DB_MIGRATION_NEEDED, DB_MIGRATION_RUNNING), versão e ID.

Webhooks

• create_webhook - Cria um novo webhook para a organização ou projeto SonarQube. Exige permissão 'Administrar' no projeto especificado, ou permissão global 'Administrar'.

  • name - Nome do webhook - String obrigatória
  • url - URL do webhook - String obrigatória
  • projectKey - Chave opcional do projeto para webhook específico do projeto - String
  • secret - Segredo opcional do webhook para proteger o payload do webhook - String

• list_webhooks - Lista todos os webhooks para a organização ou projeto SonarQube. Exige permissão 'Administrar' no projeto especificado, ou permissão global 'Administrar'.

  • projectKey - Chave opcional do projeto para listar webhooks específicos do projeto - String

Aumento de Contexto

# macOS/Linux (Bash/Zsh)
export SONARQUBE_TOKEN="{<YourUserToken>}"

{
  "mcpServers": {
    "sonarqube-mcp-server": {
      "command": "docker",
      "args": [
        "run", "-i", "--rm", "--pull=always",
        "-e", "SONARQUBE_URL",
        "-e", "SONARQUBE_TOKEN",
        "-e", "SONARQUBE_ORG",
        "-e", "SONARQUBE_PROJECT_KEY",
        "-e", "SONARQUBE_TOOLSETS",
        "-v", "/ABSOLUTE/PATH/TO/YOUR/PROJECT:/app/mcp-workspace:rw",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_URL": "https://sonarcloud.io",
        "SONARQUBE_ORG": "<YourOrganizationKey>",
        "SONARQUBE_PROJECT_KEY": "<YourProjectKey>",
        "SONARQUBE_TOOLSETS": "cag"
      }
    }
  }
}

Prontidão de Agentes

Nota: As ferramentas de Prontidão de Agentes estão disponíveis apenas no SonarQube Cloud e exigem que o recurso esteja habilitado para sua organização.

• start_agentic_readiness_assessment - Inicia uma avaliação de prontidão de agentes para um projeto. Retorna imediatamente com o status PENDING e um assessmentId. Use get_agentic_readiness_assessment para consultar os resultados.

  • projectKey - A chave do projeto - String obrigatória (Ignorada quando SONARQUBE_PROJECT_KEY é definido)
  • branch - Branch a ser avaliado. Omita para usar o branch padrão do projeto - String

• get_agentic_readiness_assessment - Recupera o resultado de uma avaliação. Chame novamente com o mesmo assessmentId até que o status seja COMPLETED, FAILED ou INTERRUPTED. Quando concluído, retorna o nível geral e um detalhamento por pilar com ações recomendadas e evidências.

  • assessmentId - O ID da avaliação retornado por start_agentic_readiness_assessment - String obrigatória

• list_agentic_readiness_assessments - Lista todas as avaliações de um projeto, da mais recente para a mais antiga. Use get_agentic_readiness_assessment para obter resultados completos por pilar.

  • projectKey - A chave do projeto para listar as avaliações - String obrigatória (Ignorada quando SONARQUBE_PROJECT_KEY é definido)
  • branch - Filtra avaliações por nome do branch. Omita para listar avaliações de todos os branches - String
  • pageIndex - Índice de página baseado em 1 (padrão: 1) - Number
  • pageSize - Número de itens por página, máx. 100 (padrão: 50) - Number

Exemplos de Prompts

Depois de configurar o SonarQube MCP Server, aqui estão alguns exemplos de prompts para cenários comuns do mundo real:

My quality gate is failing for my project. Can you help me understand why and fix the most critical issues?

The quality gate on my feature branch is red. What do I need to fix to get it passing before I can merge to main?

I'm about to merge my pull request <#247> for the <web-app> project. Can you check if there are any quality issues I should address first?

We're deploying to production tomorrow. Can you check the quality gate status and alert me to any critical issues in this branch?

I want to reduce technical debt in my project. What are the top issues I should prioritize?

Our code coverage dropped below 70%. Can you identify which files have the lowest coverage and help me improve it?

I have 15 new code smells in my latest commit. Can you explain what they are and help me fix them?

SonarQube flagged a critical security vulnerability in <AuthController.java>. What's the issue and how do I fix it?

We need to pass a security audit. Can you check all our projects for security vulnerabilities and create a prioritized list of what needs to be fixed?

Are there any known vulnerabilities in our dependencies? Check this project for dependency risks.

I just wrote this authentication function. Can you analyze it for security issues and code quality problems before I commit?

Review the changes in <src/database/migrations> for any potential bugs or security issues.

Give me a health report for my project: quality gate status, number of bugs, Security Hotspots, and code coverage.

Compare code quality between our main branch and the develop branch. Are we introducing new issues?

What are the most common rule violations across all our projects? We might need to update our coding standards.

Show me all the issues that were marked as false positives in the last month. Are we seeing patterns that suggest our rules need adjustment?

Build

Prefira a imagem de contêiner sonarsource/sonarqube-mcp.

Para executar o servidor como um JAR autônomo sem Docker, baixe uma versão pré-compilada do repositório de binários do SonarSource. Cada versão lançada é publicada lá como sonarqube-mcp-server-<version>.jar (por exemplo, sonarqube-mcp-server-1.19.0.2785.jar).

{
  "sonarqube": {
    "command": "java",
    "args": [
      "-jar",
      "<path_to_sonarqube_mcp_server_jar>"
    ],
    "env": {
      "STORAGE_PATH": "<path_to_your_mcp_storage>",
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_ORG": "<org>"
    }
  }
}

{
  "sonarqube": {
    "command": "java",
    "args": [
      "-jar",
      "<path_to_sonarqube_mcp_server_jar>"
    ],
    "env": {
      "STORAGE_PATH": "<path_to_your_mcp_storage>",
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

./gradlew clean build -x test

./gradlew :dependencies --write-locks
./gradlew :its:dependencies --write-locks

Solução de Problemas

Os logs do aplicativo são gravados no arquivo STORAGE_PATH/logs/mcp.log por padrão. Para desabilitar completamente o log em arquivo, defina SONARQUBE_LOG_TO_FILE_DISABLED=true.

Problemas Comuns

"O recurso não está funcionando" ou "Ferramentas/funcionalidades ausentes"

Você pode estar executando uma imagem Docker desatualizada. O Docker armazena imagens em cache localmente, então você não receberá atualizações automaticamente.

Solução: Atualize para a versão mais recente:

docker pull sonarsource/sonarqube-mcp

Após baixar a imagem mais recente, reinicie seu cliente MCP para usar a versão atualizada.

Opcionalmente, adicione o sinalizador --pull=always ao seu comando docker run para sempre verificar e baixar a versão mais recente:

docker run --init --pull=always -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_ORG sonarsource/sonarqube-mcp

"Quero fixar uma versão específica"

Navegue pelas tags disponíveis em sonarsource/sonarqube-mcp e referencie a versão desejada:

docker pull sonarsource/sonarqube-mcp:1.19.0.2785

docker run --init -i --rm \
  -e SONARQUBE_TOKEN -e SONARQUBE_ORG \
  sonarsource/sonarqube-mcp:1.19.0.2785

Na configuração do seu cliente MCP, use sonarsource/sonarqube-mcp:<version> em vez de sonarsource/sonarqube-mcp e remova --pull=always para que o Docker não atualize a imagem silenciosamente.

Dados e telemetria

Este servidor coleta dados de uso anônimos e os envia à SonarSource para ajudar a melhorar o produto. Nenhum código-fonte ou endereço IP é coletado, e a SonarSource não compartilha os dados com mais ninguém. A coleta de telemetria pode ser desabilitada com a seguinte propriedade de sistema ou variável de ambiente: TELEMETRY_DISABLED=true. Clique aqui para ver uma amostra dos dados coletados.

Licença

Copyright 2025 SonarSource.

Licenciado sob a SONAR Source-Available License v1.0. Usar o SonarQube MCP Server em conformidade com esta documentação é uma Finalidade Não Competitiva e, portanto, permitido sob a SSAL.

Seu uso do SonarQube via MCP é regido pelos Termos de Serviço do SonarQube Cloud ou Termos e Condições do SonarQube Server, incluindo o uso dos Dados de Resultados exclusivamente para fins internos de desenvolvimento de software.