Cómo conectar Snyk a Meta Muse vía MCP

💡 ¿Sin instalación? Usa cloud.anythingmcp.com directamente. Inicia sesión, pulsa Connectors → Snyk, pega tus credenciales, genera una MCP API key y listo. Sin Docker, sin git clone, sin servidor local.

Snyk + Meta Muse

Revisa Snyk desde tu agente de IA: organizaciones, targets y proyectos, vulnerabilidades y otros issues de todos los productos con detalles de corrección y rutas de dependencias, SBOM, dependencias, comprobación de paquetes por purl, miembros, ignores y políticas; tras tu confirmación, etiqueta proyectos, fija sus atributos e ignora issues.

Requisitos previos

Las instrucciones de configuración completas están incluidas en el conector (visibles en el store al seleccionarlo). Las variables de entorno requeridas:

SNYK_API_URL, SNYK_TOKEN

Paso 1 — Obtener credenciales

La configuración lleva unos 3 minutos. El acceso a la API requiere un plan Enterprise de Snyk: los tokens de Free y Team solo sirven para la CLI y el IDE y aquí responden 401 o 403.

1. Crea un token. Para un conector compartido lo mejor es una service account: Organization o Group settings, Service accounts, con el rol Org Collaborator para leer u Org Admin para ignores y atributos. Para ti mismo, usa un personal access token de Account settings, Personal access tokens (caduca como mucho a los 90 días), o el API token de Account settings.
2. Pégalo en SNYK_TOKEN, sin prefijos como token o Bearer. Se envía como Authorization: token <key>.
3. Pon en SNYK_API_URL la API de tu región, sin /rest ni /v1: https://api.snyk.io (app.snyk.io), https://api.us.snyk.io (app.us.snyk.io), https://api.eu.snyk.io (app.eu.snyk.io), https://api.au.snyk.io (app.au.snyk.io) o https://api.snykgov.io (Snyk for Government). La dirección de tu app de Snyk te dice cuál es.
4. Instala el conector y ejecuta snyk_get_self y después snyk_list_orgs para obtener los ids de las organizaciones.

El conector usa la REST API de Snyk (versión 2026-03-25) y, donde REST no tiene equivalente, la v1 API.

Ids: todas las herramientas usan el id de la organización (un UUID de snyk_list_orgs), no su slug. Los ids de issues REST de snyk_list_issues son UUID; las herramientas v1 (snyk_list_issue_paths, snyk_create_ignore, snyk_delete_ignore) usan el id v1, como SNYK-JS-LODASH-567746, que es el id en snyk_list_aggregated_issues y attributes.problems[].id en los issues REST.

Qué lee:

• Inventario: snyk_get_self, snyk_list_orgs, snyk_get_org, snyk_list_targets y snyk_get_target (repositorios, imágenes de contenedor, subidas desde la CLI), snyk_list_projects y snyk_get_project con tipo, origen, etiquetas, atributos y los últimos recuentos de issues por gravedad, snyk_list_integrations (GitHub, GitLab, Bitbucket Cloud, Azure Repos, Docker Hub, ECR y otras) y snyk_list_org_members.
• Issues: snyk_list_issues en toda la organización o snyk_list_project_issues para un proyecto, que abarcan vulnerabilidades y licencias open source, Code, IaC, contenedores y secretos. Filtra por tipo, effective_severity_level, estado (open, resolved), ignorado o fechas; luego snyk_get_issue da las versiones del paquete afectadas y los remedios.
• Correcciones: snyk_list_aggregated_issues para proyectos open source y de contenedor, con paquete y versión, CVSS y priority score, madurez del exploit, si admite actualización o parche y las versiones que lo corrigen, y snyk_list_issue_paths, cada ruta de dependencias por la que entra el paquete vulnerable en el proyecto.
• Cadena de suministro: snyk_get_project_sbom exporta la SBOM del último escaneo de un proyecto en CycloneDX 1.4 a 1.6 (JSON o XML) o SPDX 2.3 JSON, snyk_list_dependencies muestra dónde se usa un paquete en los proyectos y snyk_list_package_issues comprueba una versión de un paquete por purl (por ejemplo pkg:npm/[email protected]) antes de añadirla.
• Ignores: snyk_list_project_ignores (v1, proyectos open source y de contenedor), y snyk_list_policies con snyk_get_policy para los consistent ignores a nivel de organización que usan Snyk Code y los productos más recientes.

Qué cambia, tras tu confirmación: snyk_add_project_tag y snyk_remove_project_tag (clave y valor como team:payments), snyk_set_project_attributes (criticidad de negocio, entorno y ciclo de vida; las listas indicadas sustituyen a las anteriores) y snyk_create_ignore. Un ignore oculta una vulnerabilidad en tests, informes y comprobaciones de pull requests, así que la IA indica issue, proyecto, tipo de motivo (not-vulnerable, wont-fix o temporary-ignore) y caducidad, prefiere un ignore temporal con fecha de fin y solo llama a la herramienta tras tu sí.

Desactivado al instalar: snyk_delete_ignore. Elimina todas las reglas de ignore de un issue en un proyecto, con su motivo e historial, y no se puede deshacer, así que un admin del workspace lo activa cuando el equipo lo necesita.

Formatos de datos: las respuestas REST son JSON:API: los campos están en data[].attributes y los ids relacionados en relationships. Las gravedades son critical, high, medium y low (info en algunos productos); effective_severity_level incluye cualquier cambio de gravedad hecho por tu organización. Las fechas son ISO 8601 en UTC. Las SBOM de proyectos grandes ocupan mucho.

Paginación: las listas REST aceptan limit (20 por defecto, hasta 100) y devuelven links.next; la IA vuelve a llamar con starting_after igual al valor de ese enlace hasta que links.next desaparece. Las herramientas v1 paginan con page y perPage.

Límites: Snyk permite unas 1.620 peticiones REST por minuto y token y 2.000 peticiones v1 por minuto y usuario; 429 significa esperar un minuto.

Errores comunes: 401 indica que el token es incorrecto, ha caducado o se ha revocado, pertenece a otra región (revisa SNYK_API_URL) o el plan no tiene acceso a la API. 403 indica que el rol del token no permite la llamada en esa organización. 404 indica un id incorrecto, o el slug de la organización donde hace falta el id. 400 o 422 nombran el parámetro erróneo.

El conector no lanza tests ni escaneos, no importa repositorios, no borra, desactiva ni mueve proyectos y targets y no crea políticas a nivel de organización. No cubre informes a nivel de grupo, registros de auditoría, ajustes, configuración de integraciones, miembros e invitaciones, service accounts, Snyk Apps ni los endpoints de cloud y AI-BOM.

Paso 2 — Instalar el adapter

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Paso 3 — Añadir el conector en Muse

La URL de tu servidor: en AnythingMCP abre MCP Servers → el servidor donde está este conector y copia su URL (https://cloud.anythingmcp.com/mcp/…). Úsala donde esta guía muestra YOUR_SERVER_ID.

Muse añade los servidores MCP remotos como conectores personalizados e inicia sesión en ellos con OAuth.

1. En Muse, abre Settings → Connectors y elige Add custom connector.
2. Pega la URL del servidor MCP https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID.
3. Muse abre la página de inicio de sesión de AnythingMCP: inicia sesión y aprueba el acceso.
4. En un chat, pídele a Muse algo que necesite las herramientas de Snyk.

También puedes configurarlo desde un chat, en la web, en las apps de iOS y Android o en WhatsApp. Envía a Muse este mensaje:

Create a Custom Connector for a new remote MCP server, then connect to it:
Name: AnythingMCP
Transport: remote streamable HTTP
URL: https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID
Auth: OAuth

¿Lo alojas tú mismo? Usa la dirección HTTPS pública de tu instancia en lugar de https://cloud.anythingmcp.com. Muse se conecta desde la nube de Meta, así que localhost no funciona.

Herramientas disponibles

Ejemplos de prompts

• "¿Qué proyectos de nuestra organización de Snyk tienen ahora mismo vulnerabilidades críticas abiertas?"
• "¿Es seguro usar pkg:npm/[email protected]? Si no, ¿qué versión corrige los problemas?"
• "En el proyecto api-server, ¿qué issues de gravedad alta se corrigen con una actualización y por qué dependencia entra cada uno?"
• "Exporta la SBOM del proyecto checkout-service en CycloneDX JSON."
• "Ignora SNYK-JS-LODASH-567746 en el proyecto web-frontend como temporary-ignore hasta fin de año, motivo: no es alcanzable desde nuestro código."

FAQ

¿Dónde está disponible Muse? Por ahora Meta ofrece Muse en Estados Unidos y Canadá, en la web, en las apps de iOS y Android y en WhatsApp.

¿Meta revisa este conector? No. Meta no revisa los conectores personalizados. Muse solo ve las herramientas que activaste para este servidor MCP en AnythingMCP, y puedes desconectarlo cuando quieras en Settings → Connectors.

Siguientes pasos

• Página del conector
• Conectar a Claude
• Conectar a ChatGPT
• Conectar a Cursor
• Conectar a Gemini
• Conectar a Microsoft Copilot