SonarQube MCP: quality gates, cobertura e incidencias

💡 ¿Sin instalar nada? Usa directamente cloud.anythingmcp.com. Inicia sesión, haz clic en Connectors → SonarQube, pega tus credenciales, genera una clave de API de MCP y listo. Sin Docker, sin git clone, sin servidor local.

SonarQube

Deja que tu IA lea SonarQube: proyectos, estado del quality gate, métricas como la cobertura y su histórico, incidencias abiertas por severidad y calidad del software, análisis y ramas. SonarQube Server o SonarQube Cloud, solo lectura, con un token de usuario.

Configuración

La configuración lleva unos 3 minutos. Necesitas un SonarQube Server (la Community Build gratuita sirve) o una cuenta de SonarQube Cloud con al menos un proyecto analizado, y un token de usuario.

1. Define SONARQUBE_URL, sin /api y sin barra final: https://sonarcloud.io para SonarQube Cloud en la región de la UE, https://sonarqube.us para SonarQube Cloud en la región de EE. UU., o la dirección de tu SonarQube Server tal como la abres en el navegador, incluida cualquier ruta de contexto (por ejemplo https://sonar.example.com o https://example.com/sonarqube).
2. Crea un token de usuario y pégalo en SONARQUBE_TOKEN, sin la palabra Bearer. En Server: avatar → My Account → Security, y genera un token de tipo User. En Cloud: avatar → My Account → Access tokens → Personal Tokens, y genera un token. Los tokens de análisis de proyecto y globales sirven para ejecutar análisis y no funcionan con la Web API.
3. En SonarQube Cloud, define SONARQUBE_ORGANIZATION con la clave de tu organización, que aparece en la URL sonarcloud.io/organizations/<key>. Cloud la necesita para listar proyectos y buscar incidencias. En Server, déjala vacía.
4. Instala el conector y ejecuta sonarqube_list_projects: lista los proyectos que el token puede explorar, con las claves de proyecto que usan las demás herramientas.

Qué lee: si un proyecto ha pasado su quality gate (OK o ERROR, con cada condición que falla), métricas actuales como coverage, duplicated_lines_density, ncloc y los recuentos de incidencias software_quality_*, cómo han cambiado esas métricas de un análisis a otro, incidencias filtradas por calidad del software (SECURITY, RELIABILITY, MAINTAINABILITY), severidad y estado, los análisis del proyecto con sus eventos, y sus ramas con su último análisis y el estado del gate. Las 7 herramientas son de solo lectura, y es el token el que decide qué proyectos ve la IA.

Proyectos y ramas: las herramientas reciben la clave del proyecto (por ejemplo payments-api, o my-org_payments-api en Cloud), no el nombre visible. Sin branch ni pullRequest leen la rama principal. La Community Build solo analiza la rama principal.

Red privada: en un AnythingMCP autoalojado, un SonarQube Server en un host interno o una IP privada necesita que ese host esté en SSRF_ALLOWED_HOSTS, o la protección de salida rechazará la llamada. AnythingMCP Cloud solo puede acceder a SonarQube Cloud o a un SonarQube Server accesible desde la Internet pública.

Límites: las herramientas de listado devuelven hasta 500 elementos por página (1000 para sonarqube_get_measures_history). La búsqueda de incidencias devuelve como máximo 10 000 resultados en total, así que acota los filtros en lugar de seguir paginando. SonarQube Cloud responde 429 cuando un token envía demasiadas peticiones: espera unos minutos e inténtalo de nuevo. SonarQube Server no tiene límite de peticiones por defecto.

Errores comunes: 401 significa que el token es incorrecto, ha caducado o ha sido revocado, o que es un token de análisis en lugar de un token de usuario. 403 significa que el usuario del token no tiene el permiso Browse sobre el proyecto. 404 significa que la clave del proyecto, la rama o la pull request no existe, o que SONARQUBE_URL es incorrecta. 400 indica el parámetro que falta o no es válido, por ejemplo una organización ausente en Cloud.

El conector no modifica nada en SonarQube (sin transiciones, asignaciones ni comentarios en incidencias, sin cambios en quality gates, quality profiles, proyectos o tokens), y no cubre security hotspots, portfolios y aplicaciones, la Web API v2, los endpoints de administración y del sistema, ni los filtros de incidencias solo del código nuevo.

Requisitos previos: SONARQUBE_URL, SONARQUBE_TOKEN

Instala el conector en local

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Abre http://localhost:3000/connectors/store, elige SonarQube y pega las variables de entorno indicadas en Requisitos previos.

Herramientas disponibles

Siguientes pasos

• Conectar con Claude
• Conectar con ChatGPT