Cómo conectar Snyk a Microsoft Copilot vía MCP

💡 ¿Sin instalación? Usa cloud.anythingmcp.com directamente. Inicia sesión, pulsa Connectors → Snyk, pega tus credenciales, genera una MCP API key y listo. Sin Docker, sin git clone, sin servidor local.

Snyk + Microsoft Copilot

Revisa Snyk desde tu agente de IA: organizaciones, targets y proyectos, vulnerabilidades y otros issues de todos los productos con detalles de corrección y rutas de dependencias, SBOM, dependencias, comprobación de paquetes por purl, miembros, ignores y políticas; tras tu confirmación, etiqueta proyectos, fija sus atributos e ignora issues.

Requisitos previos

Las instrucciones de configuración completas están incluidas en el conector (visibles en el store al seleccionarlo). Las variables de entorno requeridas:

SNYK_API_URL, SNYK_TOKEN

Paso 1 — Obtener credenciales

La configuración lleva unos 3 minutos. El acceso a la API requiere un plan Enterprise de Snyk: los tokens de Free y Team solo sirven para la CLI y el IDE y aquí responden 401 o 403.

1. Crea un token. Para un conector compartido lo mejor es una service account: Organization o Group settings, Service accounts, con el rol Org Collaborator para leer u Org Admin para ignores y atributos. Para ti mismo, usa un personal access token de Account settings, Personal access tokens (caduca como mucho a los 90 días), o el API token de Account settings.
2. Pégalo en SNYK_TOKEN, sin prefijos como token o Bearer. Se envía como Authorization: token <key>.
3. Pon en SNYK_API_URL la API de tu región, sin /rest ni /v1: https://api.snyk.io (app.snyk.io), https://api.us.snyk.io (app.us.snyk.io), https://api.eu.snyk.io (app.eu.snyk.io), https://api.au.snyk.io (app.au.snyk.io) o https://api.snykgov.io (Snyk for Government). La dirección de tu app de Snyk te dice cuál es.
4. Instala el conector y ejecuta snyk_get_self y después snyk_list_orgs para obtener los ids de las organizaciones.

El conector usa la REST API de Snyk (versión 2026-03-25) y, donde REST no tiene equivalente, la v1 API.

Ids: todas las herramientas usan el id de la organización (un UUID de snyk_list_orgs), no su slug. Los ids de issues REST de snyk_list_issues son UUID; las herramientas v1 (snyk_list_issue_paths, snyk_create_ignore, snyk_delete_ignore) usan el id v1, como SNYK-JS-LODASH-567746, que es el id en snyk_list_aggregated_issues y attributes.problems[].id en los issues REST.

Qué lee:

• Inventario: snyk_get_self, snyk_list_orgs, snyk_get_org, snyk_list_targets y snyk_get_target (repositorios, imágenes de contenedor, subidas desde la CLI), snyk_list_projects y snyk_get_project con tipo, origen, etiquetas, atributos y los últimos recuentos de issues por gravedad, snyk_list_integrations (GitHub, GitLab, Bitbucket Cloud, Azure Repos, Docker Hub, ECR y otras) y snyk_list_org_members.
• Issues: snyk_list_issues en toda la organización o snyk_list_project_issues para un proyecto, que abarcan vulnerabilidades y licencias open source, Code, IaC, contenedores y secretos. Filtra por tipo, effective_severity_level, estado (open, resolved), ignorado o fechas; luego snyk_get_issue da las versiones del paquete afectadas y los remedios.
• Correcciones: snyk_list_aggregated_issues para proyectos open source y de contenedor, con paquete y versión, CVSS y priority score, madurez del exploit, si admite actualización o parche y las versiones que lo corrigen, y snyk_list_issue_paths, cada ruta de dependencias por la que entra el paquete vulnerable en el proyecto.
• Cadena de suministro: snyk_get_project_sbom exporta la SBOM del último escaneo de un proyecto en CycloneDX 1.4 a 1.6 (JSON o XML) o SPDX 2.3 JSON, snyk_list_dependencies muestra dónde se usa un paquete en los proyectos y snyk_list_package_issues comprueba una versión de un paquete por purl (por ejemplo pkg:npm/[email protected]) antes de añadirla.
• Ignores: snyk_list_project_ignores (v1, proyectos open source y de contenedor), y snyk_list_policies con snyk_get_policy para los consistent ignores a nivel de organización que usan Snyk Code y los productos más recientes.

Qué cambia, tras tu confirmación: snyk_add_project_tag y snyk_remove_project_tag (clave y valor como team:payments), snyk_set_project_attributes (criticidad de negocio, entorno y ciclo de vida; las listas indicadas sustituyen a las anteriores) y snyk_create_ignore. Un ignore oculta una vulnerabilidad en tests, informes y comprobaciones de pull requests, así que la IA indica issue, proyecto, tipo de motivo (not-vulnerable, wont-fix o temporary-ignore) y caducidad, prefiere un ignore temporal con fecha de fin y solo llama a la herramienta tras tu sí.

Desactivado al instalar: snyk_delete_ignore. Elimina todas las reglas de ignore de un issue en un proyecto, con su motivo e historial, y no se puede deshacer, así que un admin del workspace lo activa cuando el equipo lo necesita.

Formatos de datos: las respuestas REST son JSON:API: los campos están en data[].attributes y los ids relacionados en relationships. Las gravedades son critical, high, medium y low (info en algunos productos); effective_severity_level incluye cualquier cambio de gravedad hecho por tu organización. Las fechas son ISO 8601 en UTC. Las SBOM de proyectos grandes ocupan mucho.

Paginación: las listas REST aceptan limit (20 por defecto, hasta 100) y devuelven links.next; la IA vuelve a llamar con starting_after igual al valor de ese enlace hasta que links.next desaparece. Las herramientas v1 paginan con page y perPage.

Límites: Snyk permite unas 1.620 peticiones REST por minuto y token y 2.000 peticiones v1 por minuto y usuario; 429 significa esperar un minuto.

Errores comunes: 401 indica que el token es incorrecto, ha caducado o se ha revocado, pertenece a otra región (revisa SNYK_API_URL) o el plan no tiene acceso a la API. 403 indica que el rol del token no permite la llamada en esa organización. 404 indica un id incorrecto, o el slug de la organización donde hace falta el id. 400 o 422 nombran el parámetro erróneo.

El conector no lanza tests ni escaneos, no importa repositorios, no borra, desactiva ni mueve proyectos y targets y no crea políticas a nivel de organización. No cubre informes a nivel de grupo, registros de auditoría, ajustes, configuración de integraciones, miembros e invitaciones, service accounts, Snyk Apps ni los endpoints de cloud y AI-BOM.

Paso 2 — Instalar el adapter

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Paso 3 — Añadir el conector en Microsoft Copilot

La URL de tu servidor: en AnythingMCP abre MCP Servers → el servidor donde está este conector y copia su URL (https://cloud.anythingmcp.com/mcp/…). Úsala donde esta guía muestra YOUR_SERVER_ID.

Microsoft Copilot usa servidores MCP a través de agentes creados en Copilot Studio: añades AnythingMCP a un agente como herramienta y luego publicas el agente en Microsoft 365 Copilot y Teams. Copilot Studio se conecta desde la nube de Microsoft por Streamable HTTP, que AnythingMCP admite.

1. En Copilot Studio, abre tu agente (o crea uno), ve a Tools y elige Add a tool → New tool → Model Context Protocol.
2. Escribe un Server name (por ejemplo AnythingMCP), una Server description que diga qué hace el conector y la Server URL https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID. Copilot Studio usa la descripción para decidir cuándo llamar al servidor.
3. En la autenticación, elige API key, pon Type en Header y X-API-Key como nombre de la cabecera, y selecciona Create.
4. En Add tool, elige Create a new connection, pega una clave de API MCP de AnythingMCP (MCP Servers → tu servidor → API keys) y selecciona Add to agent.
5. Pruébalo en el panel Test del agente: pide algo que necesite las herramientas de Snyk.
6. Selecciona Publish y luego Channels → Microsoft 365 and Microsoft Teams, deja marcada Make agent available in Microsoft Copilot y elige Add channel. See agent in Teams lo instala para ti; en Microsoft 365 Copilot, escribe @ y elige el agente.

¿Prefieres que cada persona inicie sesión? En lugar de la clave de API elige OAuth 2.0 → Dynamic discovery: cada usuario inicia sesión en AnythingMCP la primera vez que el agente lo llama.

¿Lo alojas tú mismo? Usa la dirección HTTPS pública de tu instancia en lugar de https://cloud.anythingmcp.com. Copilot Studio se conecta desde la nube de Microsoft, así que localhost no funciona.

Herramientas disponibles

Ejemplos de prompts

• "¿Qué proyectos de nuestra organización de Snyk tienen ahora mismo vulnerabilidades críticas abiertas?"
• "¿Es seguro usar pkg:npm/[email protected]? Si no, ¿qué versión corrige los problemas?"
• "En el proyecto api-server, ¿qué issues de gravedad alta se corrigen con una actualización y por qué dependencia entra cada uno?"
• "Exporta la SBOM del proyecto checkout-service en CycloneDX JSON."
• "Ignora SNYK-JS-LODASH-567746 en el proyecto web-frontend como temporary-ignore hasta fin de año, motivo: no es alcanzable desde nuestro código."

FAQ

¿Para qué Copilot es? Para Microsoft 365 Copilot en el trabajo, mediante agentes de Copilot Studio. La app de Microsoft Copilot para cuentas personales no permite añadir tu propio servidor MCP.

¿Qué necesito? Una cuenta de trabajo con acceso a Copilot Studio (licencia o prueba) para crear el agente. Quien lo use en Microsoft 365 Copilot o Teams necesita acceso al agente: compártelo o pide a un administrador que lo publique para la organización. Si tu organización aplica directivas de datos a los conectores de Power Platform, también cubren los servidores MCP.

El agente no llama a las herramientas. Comprueba que el nombre de la cabecera sea exactamente X-API-Key y que la clave pertenezca al mismo servidor MCP que la URL, y escribe una Server description concreta: Copilot Studio la usa para decidir cuándo llamar al servidor. Vuelve a publicar el agente después de cada cambio; en un chat abierto, escribe "start over" para usar la nueva versión.

Siguientes pasos

• Página del conector
• Conectar a Claude
• Conectar a ChatGPT
• Conectar a Cursor
• Conectar a Gemini
• Conectar a Meta Muse