SonarQube

Servidor MCP do SonarQube

O servidor MCP do SonarQube é um servidor do Model Context Protocol (MCP) que permite a integração perfeita com o SonarQube Server ou Cloud para qualidade e segurança do código. Ele também oferece suporte à análise de trechos de código diretamente no contexto do agente.

Comece pela configuração rápida ou saiba mais sobre a família de produtos SonarQube.

Configuração rápida

🚀 Gere sua configuração

A maneira mais rápida de começar é usar o Gerador de configuração do servidor MCP do SonarQube – uma ferramenta interativa que gera uma configuração pronta para uso para o cliente do seu agente de IA preferido.

Configuração manual

Se preferir configurar tudo por conta própria, o método mais simples é usar nossa imagem de contêiner em sonarsource/sonarqube-mcp. Use sonarsource/sonarqube-mcp para atualizações automáticas (com --pull=always) ou fixe uma tag de versão (por exemplo, sonarsource/sonarqube-mcp:1.19.0.2785) para implantações reproduzíveis. Algumas versões também são marcadas com a versão do SonarQube Server à qual estão alinhadas, no formato <SQS major>.<SQS minor>.<patch> (por exemplo, sonarsource/sonarqube-mcp:2026.5.0), em que o número do patch é incrementado a cada versão do MCP destinada àquela versão do SonarQube Server. Leia abaixo se quiser compilá-lo localmente.

Observação: embora os exemplos abaixo usem docker, qualquer ambiente de execução de contêiner compatível com OCI funciona (por exemplo, Podman, nerdctl). Basta substituir docker pela ferramenta de sua preferência.

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": ["run", "--init", "--pull=always", "-i", "--rm", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_ORG", "sonarsource/sonarqube-mcp"],
      "env": {
        "SONARQUBE_TOKEN": "<YOUR_TOKEN>",
        "SONARQUBE_ORG": "<YOUR_ORG>"
      }
    }
  }
}

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": ["run", "--init", "--pull=always", "-i", "--rm", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_URL", "sonarsource/sonarqube-mcp"],
      "env": {
        "SONARQUBE_TOKEN": "<YOUR_USER_TOKEN>",
        "SONARQUBE_URL": "<YOUR_SERVER_URL>"
      }
    }
  }
}

claude mcp add sonarqube \
  --env SONARQUBE_TOKEN=$SONAR_TOKEN \
  --env SONARQUBE_ORG=$SONAR_ORG \
  -- docker run --init --pull=always -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_ORG sonarsource/sonarqube-mcp

claude mcp add sonarqube \
  --env SONARQUBE_TOKEN=$SONAR_USER_TOKEN \
  --env SONARQUBE_URL=$SONAR_URL \
  -- docker run --init --pull=always -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_URL sonarsource/sonarqube-mcp

[mcp_servers.sonarqube]
command = "docker"
args = ["run", "--init", "--pull=always", "--rm", "-i", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_ORG", "sonarsource/sonarqube-mcp"]
env = { "SONARQUBE_TOKEN" = "<YOUR_USER_TOKEN>", "SONARQUBE_ORG" = "<YOUR_ORG>" }

[mcp_servers.sonarqube]
command = "docker"
args = ["run", "--init", "--pull=always", "--rm", "-i", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_URL", "sonarsource/sonarqube-mcp"]
env = { "SONARQUBE_TOKEN" = "<YOUR_TOKEN>", "SONARQUBE_URL" = "<YOUR_SERVER_URL>" }

gemini extensions install https://github.com/SonarSource/sonarqube-agent-plugins

/mcp add

Server Name: sonarqube
Server Type: Local (Press 1)
Command: docker
Arguments: run, --init, --pull=always, --rm, -i, -e, SONARQUBE_TOKEN, -e, SONARQUBE_ORG, sonarsource/sonarqube-mcp
Environment Variables: SONARQUBE_TOKEN=<YOUR_TOKEN>,SONARQUBE_ORG=<YOUR_ORG>
Tools: *

Server Name: sonarqube
Server Type: Local (Press 1)
Command: docker
Arguments: run, --init, --pull=always, --rm, -i, -e, SONARQUBE_TOKEN, -e, SONARQUBE_URL, sonarsource/sonarqube-mcp
Environment Variables: SONARQUBE_TOKEN=<YOUR_USER_TOKEN>,SONARQUBE_URL=<YOUR_SERVER_URL>
Tools: *

{
  "mcpServers": {
    "sonarqube": {
      "type": "local",
      "command": "docker",
      "args": [
        "run",
        "--init",
        "--pull=always",
        "--rm",
        "-i",
        "-e",
        "SONARQUBE_TOKEN",
        "-e",
        "SONARQUBE_ORG",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_TOKEN": "COPILOT_MCP_SONARQUBE_TOKEN",
        "SONARQUBE_ORG": "COPILOT_MCP_SONARQUBE_ORG"
      },
      "tools": ["*"]
    }
  }
}

{
  "mcpServers": {
    "sonarqube": {
      "type": "local",
      "command": "docker",
      "args": [
        "run",
        "--init",
        "--pull=always",
        "--rm",
        "-i",
        "-e",
        "SONARQUBE_TOKEN",
        "-e",
        "SONARQUBE_URL",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_TOKEN": "COPILOT_MCP_SONARQUBE_USER_TOKEN",
        "SONARQUBE_URL": "COPILOT_MCP_SONARQUBE_URL"
      },
      "tools": ["*"]
    }
  }
}

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": [
        "run",
        "--init",
        "--pull=always",
        "-i",
        "--rm",
        "-e", 
        "SONARQUBE_TOKEN",
        "-e",
        "SONARQUBE_ORG",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_TOKEN": "<YOUR_TOKEN>",
        "SONARQUBE_ORG": "<YOUR_ORG>"
      },
      "disabled": false,
      "autoApprove": []
    }
  }
}

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": [
        "run",
        "--init",
        "--pull=always",
        "-i",
        "--rm",
        "-e", 
        "SONARQUBE_TOKEN",
        "-e",
        "SONARQUBE_URL",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_TOKEN": "<YOUR_USER_TOKEN>",
        "SONARQUBE_URL": "<YOUR_SERVER_URL>"
      },
      "disabled": false,
      "autoApprove": []
    }
  }
}

{
  "sonarqube_token": "YOUR_SONARQUBE_TOKEN",
  "sonarqube_org": "SONARQUBE_ORGANIZATION_KEY",
  "docker_path": "DOCKER_PATH"
}

{
  "sonarqube_token": "YOUR_SONARQUBE_USER_TOKEN",
  "sonarqube_url": "YOUR_SONARQUBE_SERVER_URL",
  "docker_path": "DOCKER_PATH"
}

💡 Dica: recomendamos baixar a imagem mais recente regularmente ou antes de relatar problemas, para garantir que você tenha os recursos e as correções mais atualizados.

Instalação manual

Você pode instalar manualmente o servidor MCP do SonarQube copiando o trecho a seguir para o arquivo de configuração dos servidores MCP:

• Para se conectar ao SonarQube Cloud:

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run",
      "--init",
      "--pull=always",
      "-i",
      "--rm",
      "-e",
      "SONARQUBE_TOKEN",
      "-e",
      "SONARQUBE_ORG",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_ORG": "<org>"
    }
  }
}

• Para se conectar ao SonarQube Server:

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run",
      "--init",
      "--pull=always",
      "-i",
      "--rm",
      "-e",
      "SONARQUBE_TOKEN",
      "-e",
      "SONARQUBE_URL",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

Integração com o SonarQube for IDE

O servidor MCP do SonarQube pode se integrar ao SonarQube for IDE para aprimorar ainda mais seu fluxo de desenvolvimento, oferecendo análises e insights de código melhores diretamente no seu IDE.

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run",
      "--init",
      "--pull=always",
      "-i",
      "--rm",
      "-e",
      "SONARQUBE_TOKEN",
      "-e",
      "SONARQUBE_ORG",
      "-e",
      "SONARQUBE_IDE_PORT",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_ORG": "<org>",
      "SONARQUBE_IDE_PORT": "<64120-64130>"
    }
  }
}

Configuração

Dependendo do seu ambiente, você deve fornecer variáveis de ambiente específicas.

Básico

Você deve adicionar a seguinte variável ao executar o servidor MCP:

Montagem do espaço de trabalho (redução do excesso de contexto)

Por padrão, a ferramenta de análise analyze_code_snippet exige que o agente passe o conteúdo completo do arquivo como argumento fileContent. Para arquivos grandes ou ao analisar muitos arquivos em uma sessão, isso aumenta significativamente o uso da janela de contexto e o custo.

Solução: monte o diretório do projeto no contêiner em /app/mcp-workspace. Quando essa montagem é detectada, o servidor lê os arquivos diretamente do disco usando o argumento filePath relativo ao projeto — o conteúdo dos arquivos nunca passa pelo contexto do agente.

{
  "args": [
    "run", "-i", "--rm", "--init", "--pull=always",
    "-e", "SONARQUBE_TOKEN",
    "-e", "SONARQUBE_ORG",
    "-v", "/path/to/your/project:/app/mcp-workspace",
    "sonarsource/sonarqube-mcp"
  ]
}

Com uma montagem, as ferramentas de análise leem os arquivos diretamente usando filePath; fileContent não é necessário.

No stdio, a análise é selecionada na inicialização (sujeita aos conjuntos de ferramentas ativados):

• SonarQube Cloud: análise Vortex (run_advanced_code_analysis) com uma montagem do espaço de trabalho e pelo menos uma organização com direito de uso; análise local nos demais casos. A análise Vortex aceita apenas organizações com direito de uso.
• SonarQube Server: análise Vortex para instâncias com direito de uso (requer uma montagem do espaço de trabalho); análise local para instâncias sem Vortex.

A análise local usa o SonarQube for IDE se estiver conectado ou analyze_code_snippet. Sem uma montagem, a análise de trechos de código exige fileContent.

No Cloud stdio, SONARQUBE_ORG limita a verificação de direito de uso a essa organização. Para usar trechos de código em todas as organizações, defina SONARQUBE_FORCE_LOCAL_ANALYSIS=true, ative o conjunto de ferramentas analysis e reinicie. Essa configuração afeta apenas o Cloud stdio.

Por HTTP/HTTPS, Cloud e Server oferecem suporte a analyze_code_snippet quando o servidor MCP tem um SONARQUBE_TOKEN de inicialização e o conjunto de ferramentas analysis está ativado. O token de inicialização é necessário para inicializar o analisador (os downloads de plug-ins do Cloud são anônimos); as chamadas usam o token do chamador e, no Cloud, a organização selecionada para a solicitação para recuperar os perfis de qualidade e as regras ativas. Sem um token de inicialização, a análise de trechos de código e os downloads do analisador ficam desativados, mesmo com SONARQUBE_FORCE_LOCAL_ANALYSIS=true. Não é necessário ter direito de uso do Vortex.

Ativação seletiva de ferramentas

Os clientes MCP carregam todas as ferramentas ativadas — seus nomes, descrições e esquemas de entrada — no contexto do agente em cada conversa. Limitar essa lista com SONARQUBE_TOOLSETS reduz o uso de contexto e o custo de tokens de cada sessão.

Por padrão, apenas os conjuntos de ferramentas importantes são ativados. Ative conjuntos adicionais somente quando precisar deles.

docker run --init --pull=always -i --rm \
  -e SONARQUBE_TOKEN="<token>" \
  -e SONARQUBE_ORG="<org>" \
  -e SONARQUBE_TOOLSETS="analysis,issues,quality-gates" \
  sonarsource/sonarqube-mcp

docker run --init --pull=always -i --rm \
  -e SONARQUBE_TOKEN="<token>" \
  -e SONARQUBE_ORG="<org>" \
  -e SONARQUBE_READ_ONLY="true" \
  sonarsource/sonarqube-mcp

SonarQube Cloud

Para stdio, configure as seguintes variáveis de ambiente:

Exemplos:

• SonarQube Cloud: Somente SONARQUBE_TOKEN é obrigatório. SONARQUBE_ORG fixa a organização quando definido.
• SonarQube Cloud US: Defina SONARQUBE_TOKEN e SONARQUBE_URL=https://sonarqube.us; SONARQUBE_ORG é opcional.

SonarQube Server

Requisito de versão: É necessário usar o SonarQube Server 2025.1 (SQS) ou 25.1 (SonarQube Community Build) ou posterior. Na inicialização, o servidor MCP lê a versão da instância conectada e encerra com um erro se ela for muito antiga (por exemplo, versões legadas 9.x/10.x do Server e a versão 24.x do Community Build não são compatíveis). O SonarQube Cloud não está sujeito a essa verificação.

⚠️ A conexão com o SonarQube Server requer um token do tipo USER e não funcionará corretamente se forem usados tokens de projeto ou tokens globais.

💡 Dica de configuração (modo stdio): Um token sem URL usa o SonarQube Cloud por padrão. Defina SONARQUBE_URL para o SonarQube Server ou para outra região do Cloud. SONARQUBE_ORG fixa a organização do Cloud quando definido.

No stdio, definir SONARQUBE_ORG fixa a organização do Cloud. Os argumentos da ferramenta organization são omitidos dos esquemas e rejeitados, assim como projectKey quando SONARQUBE_PROJECT_KEY está definido.

Com SONARQUBE_ORG não definido, os agentes podem chamar list_organizations para descobrir as chaves, os nomes, os IDs e os UUIDs das organizações acessíveis à conta de usuário e, em seguida, passar uma chave como argumento opcional organization nas ferramentas que aceitam organizações. O stdio mantém como padrão uma organização detectada de forma exclusiva; se nenhuma ou várias organizações forem encontradas, ela permanece indefinida. Um argumento de ferramenta se aplica somente àquela chamada e nunca altera a organização padrão detectada. As consultas de perfis de snippets e regras usam a organização selecionada para aquela chamada.

Para solicitações HTTP/HTTPS com token, o SONARQUBE_ORG no nível do servidor continua sendo compatível por motivos de compatibilidade, mas está obsoleto e gera um aviso na inicialização. Ele fixa a organização para todas as solicitações e rejeita cabeçalhos de organização do cliente e argumentos organization de ferramentas. Quando nenhuma organização do servidor estiver configurada, um cabeçalho opcional SONARQUBE_ORG do cliente fixa a organização para aquela solicitação e não permite argumentos organization de ferramentas. Sem o cabeçalho, use o argumento da ferramenta. As ferramentas que exigem uma organização fornecem orientações para descobri-la quando todos esses valores estão ausentes. A descoberta de organizações e as ferramentas cujas APIs consomem apenas identificadores de recursos não exigem um argumento de organização. A pesquisa de problemas com suporte a organizações e as verificações de autorização para riscos de dependências usam a organização selecionada. Quando o OAuth está configurado, o SONARQUBE_ORG no nível do servidor é rejeitado. As solicitações OAuth também rejeitam cabeçalhos de organização; selecione as organizações por meio dos argumentos das ferramentas.

As ferramentas de contexto do Vortex usam a organização configurada ou detectada de forma exclusiva na inicialização. Os argumentos de organização em tempo de execução não reconfiguram o mecanismo de contexto intermediário; organizações indefinidas na inicialização ignoram esse proxy. A ferramenta integrada run_advanced_code_analysis verifica a autorização combinada do Vortex para a organização selecionada em cada invocação.

Modos de transporte

A especificação MCP define dois mecanismos de transporte: Stdio e Streamable HTTP. O SonarQube MCP Server oferece suporte a ambos:

Observação: Streamable HTTP é o transporte de rede MCP atual. O transporte HTTP antigo, somente com SSE, de versões anteriores do MCP está obsoleto e não é compatível.

1. Stdio (padrão — recomendado para desenvolvimento local)

O modo recomendado para desenvolvimento local e configurações de usuário único, usado pela maioria dos clientes MCP.

Exemplo — Docker com SonarQube Cloud:

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": ["run", "--init", "--pull=always", "-i", "--rm", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_ORG", "sonarsource/sonarqube-mcp"],
      "env": {
        "SONARQUBE_TOKEN": "<your-token>",
        "SONARQUBE_ORG": "<your-org>"
      }
    }
  }
}

2. HTTP (Streamable HTTP)

Transporte Streamable HTTP sem criptografia. Use HTTPS em vez disso para implantações multiusuário.

⚠️ Não recomendado: Use Stdio para desenvolvimento local ou HTTPS (Streamable HTTP) para implantações de produção multiusuário.

• SONARQUBE_ORG é um cabeçalho de solicitação opcional que fixa a organização para essa solicitação. A configuração obsoleta no nível do servidor fixa a organização para todas as solicitações e rejeita cabeçalhos de organização do cliente e argumentos de organização das ferramentas.
• As ferramentas que reconhecem organizações aceitam um argumento opcional organization quando nem a configuração do servidor nem o cabeçalho da solicitação fixam a organização. O fornecimento do argumento quando a organização está fixa é rejeitado.
• Sem um padrão, os agentes podem chamar list_organizations usando apenas o token e, em seguida, passar a chave escolhida para as ferramentas subsequentes.

Os clientes também podem restringir as ferramentas visíveis por solicitação fornecendo os cabeçalhos SONARQUBE_TOOLSETS e/ou SONARQUBE_READ_ONLY; eles aplicam filtragem adicional sobre a configuração no nível do servidor — só podem reduzir o escopo, nunca ampliá-lo. Nenhum estado de sessão é mantido entre as solicitações.

Obsoleto: Para tokens do SonarQube, o cabeçalho de solicitação SONARQUBE_TOKEN ainda é aceito por compatibilidade com versões anteriores, mas será removido em uma versão futura. Migre para Authorization: Bearer <token>.

3. HTTPS (HTTP Streamable sobre TLS) (Recomendado para implantações de produção multiusuário)

Transporte HTTP Streamable seguro com criptografia TLS. Requer certificados SSL.

✅ Recomendado para produção: Use HTTPS ao implantar o servidor MCP para vários usuários por HTTP Streamable. Por segurança, o servidor se vincula a 127.0.0.1 (localhost) por padrão.

Configuração do certificado SSL (opcional):

Exemplo - Docker com SonarQube Cloud:

Observação: Ao executar em um contêiner, defina SONARQUBE_HTTP_HOST=0.0.0.0 para que o contêiner escute em todas as interfaces e o mapeamento de portas do ambiente de execução funcione, e defina SONARQUBE_MCP_IN_CONTAINER=true para informar ao servidor que ele está dentro de um contêiner. A imagem oficial do Docker define este último automaticamente; defina-o você mesmo ao usar outros ambientes de execução OCI (Podman, Kubernetes, Nomad etc.). A opção de porta do host controla quem pode acessar o servidor de fora do contêiner. SONARQUBE_HTTP_HOST=0.0.0.0 controla apenas onde o servidor escuta dentro do contêiner — o CORS do navegador ainda permite origens localhost por padrão.

Para um servidor em execução localmente na sua máquina (acessível apenas por localhost):

docker run --init --pull=always -p 127.0.0.1:8443:8443 \
  -v $(pwd)/keystore.p12:/etc/ssl/mcp/keystore.p12:ro \
  -e SONARQUBE_TRANSPORT=https \
  -e SONARQUBE_HTTP_HOST=0.0.0.0 \
  -e SONARQUBE_HTTP_PORT=8443 \
  sonarsource/sonarqube-mcp

Para um servidor acessível pela rede (implantações remotas):

docker run --init --pull=always -p 8443:8443 \
  -v $(pwd)/keystore.p12:/etc/ssl/mcp/keystore.p12:ro \
  -e SONARQUBE_TRANSPORT=https \
  -e SONARQUBE_HTTP_HOST=0.0.0.0 \
  -e SONARQUBE_HTTP_PORT=8443 \
  sonarsource/sonarqube-mcp

Configuração do cliente (SonarQube Cloud):

Para solicitações de token do SonarQube, defina opcionalmente SONARQUBE_ORG nos cabeçalhos do cliente para fixar a organização da solicitação ou omita-o para selecionar organizações por meio dos argumentos das ferramentas.

{
  "mcpServers": {
    "sonarqube-https": {
      "url": "https://your-server:8443/mcp",
      "headers": {
        "Authorization": "Bearer <your-token>",
        "SONARQUBE_TOOLSETS": "issues,quality-gates",
        "SONARQUBE_READ_ONLY": "true"
      }
    }
  }
}

Configuração do cliente (SonarQube Server):

{
  "mcpServers": {
    "sonarqube-https": {
      "url": "https://your-server:8443/mcp",
      "headers": {
        "Authorization": "Bearer <your-token>",
        "SONARQUBE_TOOLSETS": "issues,quality-gates",
        "SONARQUBE_READ_ONLY": "true"
      }
    }
  }
}

Observação: SONARQUBE_TOOLSETS e SONARQUBE_READ_ONLY são cabeçalhos opcionais por solicitação que restringem o conjunto de ferramentas no nível do servidor para essa solicitação específica. Eles só podem reduzir o escopo — não podem habilitar conjuntos de ferramentas nem remover restrições além do que foi definido ao iniciar o servidor.

Observação: Para desenvolvimento local, use o transporte Stdio (o padrão). O HTTP Streamable por HTTPS destina-se a implantações de produção multiusuário com certificados SSL adequados.

OAuth hospedado do SonarQube Cloud

O suporte a OAuth destina-se ao serviço MCP hospedado do SonarQube Cloud. Use um cliente MCP compatível com OAuth e entre quando solicitado; não é necessário configurar o servidor OAuth na configuração do cliente. Os clientes existentes que usam tokens do SonarQube continuam sendo compatíveis.

Os escopos mcp:tools:read e mcp:tools:write controlam de forma independente o acesso às ferramentas de leitura e gravação, sujeitos às suas permissões do Cloud. Use list_organizations e os argumentos organization das ferramentas para selecionar uma organização.

As implantações auto-hospedadas continuam usando tokens do SonarQube; o OAuth para SonarQube Server ainda não é compatível.

Endpoints de serviço

Ao executar no modo HTTP Streamable (http ou https), o servidor expõe alguns endpoints de serviço sem autenticação, além do endpoint MCP em /mcp. Eles destinam-se ao uso entre serviços (monitoramento, orquestração, verificações de compatibilidade de clientes) e não exigem um cabeçalho Authorization.

Esses endpoints não estão disponíveis ao executar com o transporte Stdio.

Certificados personalizados

Se o seu SonarQube Server usar um certificado autoassinado ou um certificado de uma Autoridade Certificadora (CA) privada, você poderá adicionar certificados personalizados ao contêiner, onde serão instalados automaticamente.

docker run --init --pull=always -i --rm \
  -v /path/to/your/certificates/:/usr/local/share/ca-certificates/:ro \
  -e SONARQUBE_TOKEN="<token>" \
  -e SONARQUBE_URL="<url>" \
  sonarsource/sonarqube-mcp

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run",
      "--init",
      "--pull=always",
      "-i",
      "--rm",
      "-v",
      "/path/to/your/certificates/:/usr/local/share/ca-certificates/:ro",
      "-e",
      "SONARQUBE_TOKEN",
      "-e",
      "SONARQUBE_URL",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

Proxy

O SonarQube MCP Server oferece suporte a proxies HTTP e SOCKS5 por meio das propriedades padrão do sistema de proxy do Java.

Certificado do cliente (TLS mútuo)

Se o seu SonarQube Server exigir que os clientes apresentem um certificado durante o handshake TLS (TLS mútuo), você poderá fornecer um keystore PKCS12 montando-o no contêiner e passando sua localização por meio de JAVA_OPTS.

docker run --init --pull=always -i --rm \
  -v /path/to/client.p12:/etc/ssl/mcp/client.p12:ro \
  -e JAVA_OPTS="-Djavax.net.ssl.keyStore=/etc/ssl/mcp/client.p12 -Djavax.net.ssl.keyStoreType=PKCS12 -Djavax.net.ssl.keyStorePassword=<passphrase>" \
  -e SONARQUBE_TOKEN="<token>" \
  -e SONARQUBE_URL="<url>" \
  sonarsource/sonarqube-mcp

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run", "--init", "--pull=always", "-i", "--rm",
      "-v", "/path/to/client.p12:/etc/ssl/mcp/client.p12:ro",
      "-e", "JAVA_OPTS",
      "-e", "SONARQUBE_TOKEN",
      "-e", "SONARQUBE_URL",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "JAVA_OPTS": "-Djavax.net.ssl.keyStore=/etc/ssl/mcp/client.p12 -Djavax.net.ssl.keyStoreType=PKCS12 -Djavax.net.ssl.keyStorePassword=<passphrase>",
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

java \
  -Djavax.net.ssl.keyStore=/path/to/client.p12 \
  -Djavax.net.ssl.keyStoreType=PKCS12 \
  -Djavax.net.ssl.keyStorePassword=<passphrase> \
  -jar <path_to_sonarqube_mcp_server_jar>

{
  "sonarqube": {
    "command": "java",
    "args": [
      "-Djavax.net.ssl.keyStore=/path/to/client.p12",
      "-Djavax.net.ssl.keyStoreType=PKCS12",
      "-Djavax.net.ssl.keyStorePassword=<passphrase>",
      "-jar",
      "<path_to_sonarqube_mcp_server_jar>"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

Ferramentas

Análise

• analyze_code_snippet - Analisa o conteúdo de arquivos com os analisadores do SonarQube para identificar problemas de qualidade e segurança do código. Sempre analisa o conteúdo completo do arquivo para garantir a precisão. Opcionalmente, filtra os resultados para um trecho de código específico.

  Obsoleto: analyze_code_snippet será removido em uma versão futura. Conecte o SonarQube for IDE para usar analyze_file_list, ou habilite a análise do Vortex para sua organização para usar run_advanced_code_analysis (veja abaixo).

  Uso:

  • Com workspace montado (recomendado): passe filePath (relativo ao projeto) — o servidor lê o arquivo diretamente, mantendo o conteúdo do arquivo fora da janela de contexto do agente
  • Sem workspace montado: passe o fileContent completo para analisar o arquivo inteiro (relata todos os problemas)
  • Adicione codeSnippet opcional para filtrar os resultados — somente os problemas dentro do trecho serão relatados (localização do trecho detectada automaticamente)

  Parâmetros:

  • organization - Chave da organização do SonarQube Cloud - String opcional, somente Cloud
  • projectKey - Chave do projeto do SonarQube - String obrigatória (Ignorada quando SONARQUBE_PROJECT_KEY estiver definido)
  • filePath - Caminho relativo ao projeto do arquivo a ser analisado (por exemplo, src/main/java/MyClass.java). Usado quando o workspace está montado em /app/mcp-workspace - String
  • fileContent - Conteúdo completo do arquivo como uma string. Obrigatório quando o workspace não está montado - String
  • codeSnippet - Trecho de código para filtrar problemas (deve corresponder ao conteúdo de fileContent) - String
  • language - Linguagem do código (por exemplo, 'java', 'python', 'js', 'ts', 'tsx', 'jsx') - String
  • scope - Escopo do arquivo: MAIN ou TEST (padrão: MAIN) - String

  Linguagens compatíveis: Java, Kotlin, Python, Ruby, Go, JavaScript (js, jsx), TypeScript (ts, tsx), JSP, PHP, XML, HTML, CSS, CloudFormation, Kubernetes, Terraform, Azure Resource Manager, Ansible, Docker, detecção de segredos

Quando a integração com o SonarQube for IDE estiver habilitada: (essas duas ferramentas são marcadas nos conjuntos de ferramentas analysis e ide)

• analyze_file_list - Analisa arquivos no diretório de trabalho atual usando o SonarQube for IDE. Esta ferramenta se conecta a uma instância em execução do SonarQube for IDE para realizar uma análise de qualidade do código em uma lista de arquivos.

  • file_absolute_paths - Lista de caminhos absolutos dos arquivos a serem analisados - String[] obrigatório

• toggle_automatic_analysis - Habilita ou desabilita a análise automática do SonarQube for IDE. Quando habilitada, o SonarQube for IDE analisa automaticamente os arquivos à medida que são modificados no diretório de trabalho. Quando desabilitada, a análise automática é desativada.

  • enabled - Habilita ou desabilita a análise automática - Boolean obrigatório

No SonarQube Server, stdio lista as ferramentas de contexto do Vortex e run_advanced_code_analysis quando os hubs CAG e A3S têm direito de uso.

Quando a análise do Vortex estiver disponível:

Requer que o workspace esteja montado em /app/mcp-workspace

• run_advanced_code_analysis - Executa a análise do Vortex em um único arquivo. O SonarQube Server usa o placeholder nil UUID.
  • organization - Chave da organização do SonarQube Cloud - String opcional, somente Cloud
  • projectKey - Chave do projeto - String obrigatória (Ignorada quando SONARQUBE_PROJECT_KEY estiver definido)
  • branch - Nome da branch usado para recuperar o contexto da análise mais recente - String obrigatório
  • filePath - Caminho relativo ao projeto do arquivo a ser analisado (por exemplo, src/main/java/MyClass.java). - String obrigatório
  • fileScope - Define o escopo de origem do arquivo: 'MAIN' ou 'TEST' (padrão: MAIN) - String

Cobertura

• search_files_by_coverage - Pesquisa arquivos em um projeto, ordenados por cobertura (crescente — primeiro a pior cobertura). Esta ferramenta ajuda a identificar arquivos que precisam de melhorias na cobertura de testes.

  • projectKey - Chave do projeto a pesquisar - String obrigatória (Ignorada quando SONARQUBE_PROJECT_KEY estiver definido)
  • branch - Nome opcional da branch para análise baseada em branch. Use list_branches para descobrir nomes válidos - String
  • pullRequest - Chave/ID opcional da pull request. Use list_pull_requests para descobrir chaves válidas - String
  • maxCoverage - Limite máximo de cobertura (0-100). Retorna somente arquivos com cobertura <= este valor - Number
  • pageIndex - Índice da página (baseado em 1, padrão: 1) - Number
  • pageSize - Tamanho da página (padrão: 100, máximo: 500) - Number

• get_file_coverage_details - Obtém informações de cobertura linha por linha de um arquivo específico, incluindo as linhas exatas sem cobertura e as que têm branches parcialmente cobertas. Esta ferramenta ajuda a identificar precisamente onde adicionar cobertura de testes. Use-a após identificar arquivos com baixa cobertura por meio de search_files_by_coverage.

  • key - Chave do arquivo (por exemplo, my_project:src/foo/Bar.java) - String obrigatória
  • branch - Nome opcional da branch para análise baseada em branch. Use list_branches para descobrir nomes válidos - String
  • pullRequest - Chave/ID opcional da pull request. Use list_pull_requests para descobrir chaves válidas - String
  • from - Primeira linha a analisar (baseada em 1, padrão: 1) - Number
  • to - Última linha a analisar (inclusiva). Se não especificada, todas as linhas serão retornadas - Number

Riscos de dependências

Observação: os riscos de dependências exigem o SonarQube Advanced Security. No SonarQube Server, é necessária a versão 2025.4 Enterprise ou superior.

• search_dependency_risks - Pesquisa problemas de análise de composição de software (riscos de dependências) de um projeto do SonarQube, associados a versões presentes no projeto, aplicativo ou portfólio analisado.
  • organization - Chave da organização do SonarQube Cloud - String opcional, somente Cloud
  • projectKey - Chave do projeto - String obrigatória (Ignorada quando SONARQUBE_PROJECT_KEY estiver definido)
  • branch - Nome opcional da branch para análise baseada em branch. Use list_branches para descobrir nomes válidos - String
  • pullRequest - Chave/ID opcional da pull request. Use list_pull_requests para descobrir chaves válidas - String
  • pageIndex - Índice opcional da página (baseado em 1, padrão: 1) - Integer
  • pageSize - Tamanho opcional da página. Deve ser maior que 0 e menor ou igual a 500 (padrão: 100) - Integer

Empresas

Observação: as empresas estão disponíveis somente ao se conectar ao SonarQube Cloud.

• list_enterprises - Lista as empresas disponíveis no SonarQube Cloud às quais você tem acesso. Use esta ferramenta para descobrir IDs de empresas que podem ser usados com outras ferramentas.
  • enterpriseKey - Chave opcional da empresa para filtrar os resultados - String

Problemas

• change_sonar_issue_status - Altera o status de um problema do SonarQube para "accept", "falsepositive" ou "reopen".

  • key - Chave do problema - String obrigatória
  • status - Novo status do problema - Enum obrigatório {"accept", "falsepositive", "reopen"}
  • comment - Comentário opcional explicando a alteração de status - String

• search_sonar_issues_in_projects - Pesquisa problemas do SonarQube nos projetos da minha organização.

  • organization - Chave da organização do SonarQube Cloud - String opcional, somente Cloud
  • projectKeys - Lista opcional de chaves de projetos do SonarQube - String[]
  • branch - Nome opcional da branch para análise baseada em branch. Use list_branches para descobrir nomes válidos - String
  • pullRequest - Chave/ID opcional da pull request. Use list_pull_requests para descobrir chaves válidas - String
  • severities - Lista opcional de severidades para filtrar. Valores possíveis: INFO, LOW, MEDIUM, HIGH, BLOCKER - String[]
  • impactSoftwareQualities - Lista opcional de qualidades de software para filtrar. Valores possíveis: MAINTAINABILITY, RELIABILITY, SECURITY - String[]
  • issueStatuses - Lista opcional de status de problemas para filtrar. Valores possíveis: OPEN, CONFIRMED, FALSE_POSITIVE, ACCEPTED, FIXED, IN_SANDBOX - String[]
  • tags - Lista opcional de tags de problemas para filtrar. As tags estão em letras minúsculas - String[]
  • inNewCodePeriod - Retorna somente problemas no período de código novo. Exige exatamente uma entrada entre projectKeys e files - Boolean
  • issueKey - Chave opcional do problema para buscar um problema específico - String
  • pageIndex - Índice opcional da página, baseado em 1 (padrão: 1) - Integer
  • pageSize - Tamanho opcional da página. Deve ser maior que 0 e menor ou igual a 500 (padrão: 100) - Integer

Hotspots de segurança

• search_security_hotspots - Pesquisa hotspots de segurança em um projeto do SonarQube.

  • projectKey - Chave do projeto ou aplicativo - String obrigatória (Ignorada quando SONARQUBE_PROJECT_KEY estiver definido)
  • hotspotKeys - Lista separada por vírgulas de chaves específicas de hotspots de segurança a recuperar - String[]
  • branch - Nome opcional da branch para análise baseada em branch. Use list_branches para descobrir nomes válidos - String
  • pullRequest - Chave/ID opcional da pull request. Use list_pull_requests para descobrir chaves válidas - String
  • files - Lista opcional de caminhos de arquivos para filtrar - String[]
  • status - Filtro opcional de status: TO_REVIEW, REVIEWED - String
  • resolution - Filtro opcional de resolução: FIXED, SAFE, ACKNOWLEDGED - String
  • sinceLeakPeriod - Filtra hotspots criados desde o período de referência (código novo) - Boolean
  • onlyMine - Mostra somente hotspots atribuídos a mim - Boolean
  • pageIndex - Índice opcional da página, baseado em 1 (padrão: 1) - Integer
  • pageSize - Tamanho opcional da página. Deve ser maior que 0 e menor ou igual a 500 (padrão: 100) - Integer

• show_security_hotspot - Obtém informações detalhadas sobre um hotspot de segurança específico, incluindo detalhes da regra, contexto do código, fluxos e comentários.

  • hotspotKey - Chave do hotspot de segurança - String obrigatória

• change_security_hotspot_status - Revisa um hotspot de segurança alterando seu status. Ao marcá-lo como REVIEWED, é necessário especificar uma resolução (FIXED, SAFE ou ACKNOWLEDGED).

  • hotspotKey - Chave do hotspot de segurança - String obrigatória
  • status - Novo status - Enum obrigatório {"TO_REVIEW", "REVIEWED"}
  • resolution - Resolução quando o status for REVIEWED - Enum {"FIXED", "SAFE", "ACKNOWLEDGED"}
  • comment - Comentário opcional da revisão - String

Linguagens

• list_languages - Lista todas as linguagens de programação compatíveis com esta instância do SonarQube.
  • q - Padrão opcional para corresponder às chaves/nomes das linguagens - String

Métricas

• get_component_measures - Obtém métricas do SonarQube para um componente (projeto, diretório, arquivo).
  • projectKey - Chave do projeto - String obrigatória quando SONARQUBE_PROJECT_KEY não estiver configurado
  • branch - Nome opcional da branch para análise baseada em branch. Use list_branches para descobrir nomes válidos - String
  • metricKeys - Chaves opcionais das métricas a recuperar (por exemplo, ncloc, complexity, violations, coverage) - String[]
  • pullRequest - Chave/ID opcional da pull request. Use list_pull_requests para descobrir chaves válidas - String

Métricas

• search_metrics - Pesquisa métricas do SonarQube.
  • pageIndex - Índice opcional da página, baseado em 1 (padrão: 1) - Integer
  • pageSize - Tamanho opcional da página. Deve ser maior que 0 e menor ou igual a 500 (padrão: 100) - Integer

Portfólios

• list_portfolios - Lista portfólios empresariais disponíveis no SonarQube, com opções de filtragem e paginação.

  Para SonarQube Server:

  • q - Consulta de pesquisa opcional para filtrar portfólios por nome ou chave - String
  • favorite - Se true, retorna somente portfólios favoritos - Boolean
  • pageIndex - Número opcional da página, baseado em 1 (padrão: 1) - Integer
  • pageSize - Tamanho opcional da página, máximo de 500 (padrão: 100) - Integer Para SonarQube Cloud:
  • enterpriseId - UUID da empresa. Pode ser omitido somente se o parâmetro 'favorite' for fornecido com o valor true - String
  • q - Consulta de pesquisa opcional para filtrar portfólios por nome - String
  • favorite - Deve ser true se o parâmetro 'enterpriseId' for omitido. Se true, retorna somente os portfólios favoritados pelo usuário conectado. Não pode ser true quando 'draft' for true - Boolean
  • draft - Se true, retorna somente os rascunhos criados pelo usuário conectado. Não pode ser true quando 'favorite' for true - Boolean
  • pageIndex - Índice opcional da página a buscar (padrão: 1) - Integer
  • pageSize - Tamanho opcional da página a buscar (padrão: 50) - Integer

Projetos

• list_organizations - Lista as organizações do SonarQube Cloud das quais um usuário é membro, incluindo chaves, nomes, IDs e UUIDs. Use uma chave retornada como organization em ferramentas subsequentes.

• search_my_sonarqube_projects - Encontra projetos do SonarQube. A resposta é paginada.

  • organization - Chave da organização do SonarQube Cloud - Optional String, Cloud only
  • pageIndex - Índice opcional da página, começando em 1 (padrão: 1) - Integer
  • pageSize - Tamanho opcional da página. Deve ser maior que 0 e menor ou igual a 500 (padrão: 500) - Integer
  • q - Consulta de pesquisa opcional para filtrar projetos por nome (correspondência parcial) ou chave (correspondência exata) - String

• list_branches - Lista as branches analisadas de um projeto.

  • SonarQube Cloud: retorna branches de longa duração (LONG) e de curta duração (SHORT) com os campos type e mergeBranch. Filtro opcional branchTypes: ALL (padrão), LONG ou SHORT.
  • SonarQube Server: retorna todas as branches analisadas (nome, quality gate, data da análise). Não há filtro type, mergeBranch ou branchTypes.
  • Use os nomes de branches retornados como parâmetro branch em outras ferramentas. Para análise de pull request, use list_pull_requests.
  • projectKey - Chave do projeto (por exemplo, my_project) - Required String (Ignorado quando SONARQUBE_PROJECT_KEY está definido)
  • branchTypes - (Somente SonarQube Cloud) Filtro opcional: ALL (padrão), LONG ou SHORT - Enum {"ALL", "LONG", "SHORT"}

• list_pull_requests - Lista todas as pull requests de um projeto. Use esta ferramenta para descobrir pull requests de análises com decoração de PR (cobertura, problemas, quality gate). Retorna a chave/ID da pull request, que pode ser usada com outras ferramentas. Para análises baseadas em branches sem pull requests, use list_branches.

  • projectKey - Chave do projeto (por exemplo, my_project) - Required String (Ignorado quando SONARQUBE_PROJECT_KEY está definido)

Quality Gates

• get_project_quality_gate_status - Obtém o status do Quality Gate do projeto SonarQube.

  • analysisId - ID opcional da análise - String
  • branch - Nome opcional da branch para análise baseada em branch. Use list_branches para descobrir nomes válidos - String
  • projectId - ID opcional do projeto - String
  • projectKey - Chave opcional do projeto - String
  • pullRequest - Chave/ID opcional da pull request. Use list_pull_requests para descobrir chaves válidas - String

• list_quality_gates - Lista todos os quality gates no meu SonarQube.

  • organization - Chave da organização do SonarQube Cloud - Optional String, Cloud only

Regras

• show_rule - Exibe informações detalhadas sobre uma regra do SonarQube.
  • organization - Chave da organização do SonarQube Cloud - Optional String, Cloud only
  • key - Chave da regra - Required String

Duplicações

• search_duplicated_files - Pesquisa arquivos com duplicações de código em um projeto SonarQube. Por padrão, busca automaticamente todos os arquivos duplicados em todas as páginas (até o máximo de 10.000 arquivos). Retorna somente arquivos com duplicações.

  • projectKey - Chave do projeto - Required String (Ignorado quando SONARQUBE_PROJECT_KEY está definido)
  • branch - Nome opcional da branch para análise baseada em branch. Use list_branches para descobrir nomes válidos - String
  • pullRequest - Chave/ID opcional da pull request. Use list_pull_requests para descobrir chaves válidas - String
  • pageSize - Número opcional de resultados por página para paginação manual (máx.: 500). Se não for especificado, busca automaticamente todos os arquivos duplicados - Integer
  • pageIndex - Número opcional da página para paginação manual (começa em 1). Se não for especificado, busca automaticamente todos os arquivos duplicados - Integer

• get_duplications - Obtém as duplicações de um arquivo. Requer permissão Browse no projeto do arquivo.

  • key - Chave do arquivo - Required String
  • branch - Nome opcional da branch para análise baseada em branch. Use list_branches para descobrir nomes válidos - String
  • pullRequest - Chave/ID opcional da pull request. Use list_pull_requests para descobrir chaves válidas - String

Fontes

• get_raw_source - Obtém o código-fonte como texto bruto do SonarQube. Requer a permissão 'See Source Code' no arquivo.

  • key - Chave do arquivo - Required String
  • branch - Nome opcional da branch para análise baseada em branch. Use list_branches para descobrir nomes válidos - String
  • pullRequest - Chave/ID opcional da pull request. Use list_pull_requests para descobrir chaves válidas - String

• get_scm_info - Obtém informações de SCM dos arquivos-fonte do SonarQube. Requer a permissão See Source Code no projeto do arquivo.

  • key - Chave do arquivo - Required String
  • commits_by_line - Agrupa as linhas por commit de SCM se o valor for false; caso contrário, exibe os commits de cada linha - String
  • from - Primeira linha a retornar. Começa em 1 - Number
  • to - Última linha a retornar (inclusiva) - Number

Sistema

Observação: as ferramentas do sistema só estão disponíveis ao conectar-se ao SonarQube Server.

• get_system_health - Obtém o status de integridade da instância do SonarQube Server. Retorna GREEN (totalmente operacional), YELLOW (utilizável, mas requer atenção) ou RED (não operacional).

• get_system_info - Obtém informações detalhadas sobre a configuração do sistema SonarQube Server, incluindo estado da JVM, banco de dados, índices de pesquisa e configurações. Requer permissões 'Administer'.

• get_system_logs - Obtém os logs do sistema SonarQube Server em formato de texto simples. Requer permissão de administração do sistema.

  • name - Nome opcional dos logs a obter. Valores possíveis: access, app, ce, deprecation, es, web. Padrão: app - String

• ping_system - Envia um ping ao sistema SonarQube Server para verificar se está ativo. Retorna 'pong' como texto simples.

• get_system_status - Obtém informações sobre o estado do SonarQube Server. Retorna status (STARTING, UP, DOWN, RESTARTING, DB_MIGRATION_NEEDED, DB_MIGRATION_RUNNING), versão e id.

Webhooks

• create_webhook - Cria um novo webhook para a organização ou projeto do SonarQube. Requer a permissão 'Administer' no projeto especificado ou a permissão global 'Administer'.

  • organization - Chave da organização do SonarQube Cloud - Optional String, Cloud only
  • name - Nome do webhook - Required String
  • url - URL do webhook - Required String
  • projectKey - Chave opcional do projeto para webhook específico do projeto - String
  • secret - Segredo opcional do webhook para proteger o payload do webhook - String

• list_webhooks - Lista todos os webhooks da organização ou do projeto do SonarQube. Requer a permissão 'Administer' no projeto especificado ou a permissão global 'Administer'.

  • organization - Chave da organização do SonarQube Cloud - Optional String, Cloud only
  • projectKey - Chave opcional do projeto para listar webhooks específicos do projeto - String

Aumento de contexto

# macOS/Linux (Bash/Zsh)
export SONARQUBE_TOKEN="{<YourUserToken>}"

{
  "mcpServers": {
    "sonarqube-mcp-server": {
      "command": "docker",
      "args": [
        "run", "-i", "--rm", "--pull=always",
        "-e", "SONARQUBE_URL",
        "-e", "SONARQUBE_TOKEN",
        "-e", "SONARQUBE_ORG",
        "-e", "SONARQUBE_PROJECT_KEY",
        "-e", "SONARQUBE_TOOLSETS",
        "-v", "/ABSOLUTE/PATH/TO/YOUR/PROJECT:/app/mcp-workspace:rw",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_URL": "https://sonarcloud.io",
        "SONARQUBE_ORG": "<YourOrganizationKey>",
        "SONARQUBE_PROJECT_KEY": "<YourProjectKey>",
        "SONARQUBE_TOOLSETS": "cag"
      }
    }
  }
}

Prontidão para agentes

Observação: as ferramentas de prontidão para agentes estão disponíveis apenas no SonarQube Cloud e exigem que o recurso esteja habilitado para sua organização.

O sinalizador do recurso é verificado na inicialização no modo stdio. Em HTTP/HTTPS, adicione agentic-readiness ao SONARQUBE_TOOLSETS do servidor para habilitar as ferramentas.

• start_agentic_readiness_assessment - Iniciar uma avaliação de prontidão para agentes de um projeto. Retorna imediatamente com o status PENDING e um assessmentId. Use get_agentic_readiness_assessment para consultar os resultados.

  • projectKey - A chave do projeto - String obrigatório (Ignorada quando SONARQUBE_PROJECT_KEY está definido)
  • branch - Branch a avaliar. Omita para usar a branch padrão do projeto - String

• get_agentic_readiness_assessment - Recuperar o resultado de uma avaliação. Chame novamente com o mesmo assessmentId até que o status seja COMPLETED, FAILED ou INTERRUPTED. Quando concluída, retorna o nível geral e uma análise por pilar, com ações recomendadas e evidências.

  • assessmentId - O ID da avaliação retornado por start_agentic_readiness_assessment - String obrigatório

• list_agentic_readiness_assessments - Listar todas as avaliações de um projeto, começando pela mais recente. Use get_agentic_readiness_assessment para obter resultados completos por pilar.

  • projectKey - A chave do projeto cujas avaliações serão listadas - String obrigatório (Ignorada quando SONARQUBE_PROJECT_KEY está definido)
  • branch - Filtrar avaliações pelo nome da branch. Omita para listar avaliações de todas as branches - String
  • pageIndex - Índice da página, começando em 1 (padrão: 1) - Number
  • pageSize - Número de itens por página, máximo de 100 (padrão: 50) - Number

Arquitetura

Observação: habilite estas ferramentas com SONARQUBE_TOOLSETS=architecture no modo stdio ou HTTP/HTTPS. O SonarQube Cloud exige um plano Team ou Enterprise. O SonarQube Server exige a versão 2026.6 ou posterior e a edição Developer ou superior; as ferramentas não estão disponíveis em versões anteriores nem no Community Build. Consulte fluxos de trabalho de arquitetura e recuperação.

• architecture_get - Ler dependências atuais, arquitetura pretendida, diretivas do projeto ou Findings (desvios, falhas e problemas de qualidade).

  • target - current, intended, directives ou findings; a disponibilidade depende da compilação do MCP e do Server - Enum obrigatório
  • projectKey - A chave do projeto - String obrigatório (Ignorada quando SONARQUBE_PROJECT_KEY está definido)
  • organization - Chave da organização do SonarQube Cloud quando nenhuma estiver configurada - String opcional, somente Cloud
  • component - Chave exata do nó atual ou caminho do grupo pretendido; nível superior quando omitido - String
  • depth - Somente atual/pretendida: níveis abaixo do início; padrão 1 para atual, todos para pretendida - Number
  • language - Somente atual/pretendida/findings: java, cs, js, ts ou py - Enum
  • directiveId - Diretiva completa por UUID, incluindo descrição; use em vez da paginação - String
  • category / type - Somente Findings: filtrar desvios, falhas ou problemas de qualidade pelo tipo anunciado - Enum
  • pageIndex - Diretivas/Findings: índice da página, começando em 1 (padrão: 1) - Number
  • pageSize - Diretivas: resumos, padrão/máximo de 50. Findings: padrão de 50, máximo de 1000; 0 retorna apenas a contagem - Number

• architecture_set - Substituir toda a arquitetura pretendida ou criar, atualizar e excluir diretivas do projeto. Disponível em compilações compatíveis do Cloud e do Server quando as gravações estão habilitadas.

  • target - intended ou directives - Enum obrigatório
  • projectKey - A chave do projeto - String obrigatório (Ignorada quando SONARQUBE_PROJECT_KEY está definido)
  • organization - Chave da organização do SonarQube Cloud quando nenhuma estiver configurada - String opcional, somente Cloud
  • model - String JSON: exportação completa da arquitetura pretendida ou matriz models (o conteúdo omitido é removido), ou alterações nas diretivas com matrizes create, update e delete - String obrigatório
  • dryRun - true para visualizar, false para aplicar - Boolean obrigatório
  • revision - Somente arquitetura pretendida: revisão de architecture_get; o padrão é a revisão da exportação completa. Obrigatório ao aplicar uma limpeza - String

Exemplos de prompts

Depois de configurar o SonarQube MCP Server, veja alguns exemplos de prompts para cenários comuns do mundo real:

My quality gate is failing for my project. Can you help me understand why and fix the most critical issues?

The quality gate on my feature branch is red. What do I need to fix to get it passing before I can merge to main?

I'm about to merge my pull request <#247> for the <web-app> project. Can you check if there are any quality issues I should address first?

We're deploying to production tomorrow. Can you check the quality gate status and alert me to any critical issues in this branch?

I want to reduce technical debt in my project. What are the top issues I should prioritize?

Our code coverage dropped below 70%. Can you identify which files have the lowest coverage and help me improve it?

I have 15 new code smells in my latest commit. Can you explain what they are and help me fix them?

SonarQube flagged a critical security vulnerability in <AuthController.java>. What's the issue and how do I fix it?

We need to pass a security audit. Can you check all our projects for security vulnerabilities and create a prioritized list of what needs to be fixed?

Are there any known vulnerabilities in our dependencies? Check this project for dependency risks.

I just wrote this authentication function. Can you analyze it for security issues and code quality problems before I commit?

Review the changes in <src/database/migrations> for any potential bugs or security issues.

Give me a health report for my project: quality gate status, number of bugs, Security Hotspots, and code coverage.

Compare code quality between our main branch and the develop branch. Are we introducing new issues?

What are the most common rule violations across all our projects? We might need to update our coding standards.

Show me all the issues that were marked as false positives in the last month. Are we seeing patterns that suggest our rules need adjustment?

Compilação

Prefira a imagem de contêiner sonarsource/sonarqube-mcp.

Para executar o servidor como um JAR independente sem Docker, baixe uma versão pré-compilada do repositório de binários da SonarSource. Cada versão lançada é publicada lá como sonarqube-mcp-server-<version>.jar (por exemplo, sonarqube-mcp-server-1.19.0.2785.jar).

{
  "sonarqube": {
    "command": "java",
    "args": [
      "-jar",
      "<path_to_sonarqube_mcp_server_jar>"
    ],
    "env": {
      "STORAGE_PATH": "<path_to_your_mcp_storage>",
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_ORG": "<org>"
    }
  }
}

{
  "sonarqube": {
    "command": "java",
    "args": [
      "-jar",
      "<path_to_sonarqube_mcp_server_jar>"
    ],
    "env": {
      "STORAGE_PATH": "<path_to_your_mcp_storage>",
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

./gradlew clean build -x test

./gradlew :dependencies --write-locks
./gradlew :its:dependencies --write-locks

Solução de problemas

Por padrão, os registros do aplicativo são gravados no arquivo STORAGE_PATH/logs/mcp.log. Para desativar completamente o registro em arquivo, defina SONARQUBE_LOG_TO_FILE_DISABLED=true.

Problemas comuns

"A versão do servidor SonarQube não é compatível"

O servidor MCP verifica a versão do SonarQube Server conectado durante a inicialização. Se a instância for anterior à 2025.1 (SQS) ou à 25.1 (SQCB), a inicialização falhará com:

SonarQube server version is not supported, minimal version is SQS 2025.1 or SQCB 25.1

Solução: atualize o SonarQube Server para uma versão compatível. Essa verificação se aplica somente ao conectar ao SonarQube Server (SONARQUBE_URL sem SONARQUBE_ORG), não ao SonarQube Cloud.

"O recurso não está funcionando" ou "Ferramentas/funcionalidades ausentes"

Você pode estar usando uma imagem Docker desatualizada. O Docker armazena imagens em cache localmente, então você não receberá atualizações automaticamente.

Solução: atualize para a versão mais recente:

docker pull sonarsource/sonarqube-mcp

Depois de baixar a imagem mais recente, reinicie seu cliente MCP para usar a versão atualizada.

Opcionalmente, adicione o sinalizador --pull=always ao comando docker run para sempre verificar e baixar a versão mais recente:

docker run --init --pull=always -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_ORG sonarsource/sonarqube-mcp

"Quero fixar uma versão específica"

Consulte as tags disponíveis em sonarsource/sonarqube-mcp e indique a versão desejada:

docker pull sonarsource/sonarqube-mcp:1.19.0.2785

docker run --init -i --rm \
  -e SONARQUBE_TOKEN -e SONARQUBE_ORG \
  sonarsource/sonarqube-mcp:1.19.0.2785

Na configuração do cliente MCP, use sonarsource/sonarqube-mcp:<version> em vez de sonarsource/sonarqube-mcp e remova --pull=always para que o Docker não atualize a imagem silenciosamente.

Dados e telemetria

Este servidor coleta dados de uso anônimos e os envia à SonarSource para ajudar a melhorar o produto. Nenhum código-fonte ou endereço IP é coletado, e a SonarSource não compartilha os dados com ninguém. A coleta de telemetria pode ser desativada com a seguinte propriedade do sistema ou variável de ambiente: TELEMETRY_DISABLED=true. Clique aqui para ver uma amostra dos dados coletados.

Licença

Copyright 2025 SonarSource.

Licenciado sob a SONAR Source-Available License v1.0. O uso do SonarQube MCP Server em conformidade com esta documentação é uma Finalidade Não Competitiva e, portanto, é permitido sob a SSAL.

Seu uso do SonarQube via MCP é regido pelos Termos de Serviço do SonarQube Cloud ou pelos Termos e Condições do SonarQube Server, incluindo o uso dos Dados de Resultados exclusivamente para fins internos de desenvolvimento de software.