Come collegare Snyk a Claude via MCP

💡 Niente installazione? Vai direttamente su cloud.anythingmcp.com. Accedi, clicca Connectors → Snyk, inserisci le credenziali, genera una MCP API key e hai finito. Niente Docker, niente git clone, niente server locale.

Snyk + Claude

Controlla Snyk dal tuo agente AI: organizzazioni, target e progetti, vulnerabilità e altri issue di tutti i prodotti con dettagli di fix e percorsi delle dipendenze, SBOM, dipendenze, verifica dei pacchetti per purl, membri, ignore e policy; dopo la tua conferma tagga i progetti, imposta i loro attributi e ignora gli issue.

Prerequisiti

Le istruzioni di setup complete sono incluse nel connettore stesso (visibili nello store quando lo selezioni). Le variabili d'ambiente richieste sono:

SNYK_API_URL, SNYK_TOKEN

Step 1 — Ottieni le credenziali

La configurazione richiede circa 3 minuti. L'accesso API richiede un piano Snyk Enterprise: i token Free e Team funzionano solo per CLI e IDE e qui rispondono 401 o 403.

1. Crea un token. Per un connettore condiviso la scelta migliore è un service account: Organization o Group settings, Service accounts, con il ruolo Org Collaborator per le letture o Org Admin per ignore e attributi. Per te stesso usa un personal access token da Account settings, Personal access tokens (scade dopo al massimo 90 giorni), oppure l'API token in Account settings.
2. Incollalo in SNYK_TOKEN, senza prefissi come token o Bearer. Viene inviato come Authorization: token <key>.
3. Imposta SNYK_API_URL sull'API della tua regione, senza /rest né /v1: https://api.snyk.io (app.snyk.io), https://api.us.snyk.io (app.us.snyk.io), https://api.eu.snyk.io (app.eu.snyk.io), https://api.au.snyk.io (app.au.snyk.io) o https://api.snykgov.io (Snyk for Government). Lo capisci dall'indirizzo della tua app Snyk.
4. Installa il connettore ed esegui snyk_get_self, poi snyk_list_orgs per gli id delle organizzazioni.

Il connettore usa la REST API di Snyk (versione 2026-03-25) e, dove REST non ha un equivalente, la v1 API.

Id: ogni tool vuole l'id dell'organizzazione (un UUID da snyk_list_orgs), non lo slug. Gli id degli issue REST di snyk_list_issues sono UUID; i tool v1 (snyk_list_issue_paths, snyk_create_ignore, snyk_delete_ignore) vogliono l'id v1 come SNYK-JS-LODASH-567746, cioè l'id in snyk_list_aggregated_issues e attributes.problems[].id negli issue REST.

Cosa legge:

• Inventario: snyk_get_self, snyk_list_orgs, snyk_get_org, snyk_list_targets e snyk_get_target (repository, immagini container, upload da CLI), snyk_list_projects e snyk_get_project con tipo, origine, tag, attributi e gli ultimi conteggi degli issue per gravità, snyk_list_integrations (GitHub, GitLab, Bitbucket Cloud, Azure Repos, Docker Hub, ECR e altre) e snyk_list_org_members.
• Issue: snyk_list_issues su tutta l'organizzazione o snyk_list_project_issues per un progetto, che coprono vulnerabilità e licenze open source, Code, IaC, container e secrets. Filtri per tipo, effective_severity_level, stato (open, resolved), ignorato o date; poi snyk_get_issue per le versioni del pacchetto coinvolte e i rimedi.
• Fix: snyk_list_aggregated_issues per i progetti open source e container, con pacchetto e versione, CVSS e priority score, maturità dell'exploit, se è aggiornabile o patchabile e le versioni che lo risolvono, e snyk_list_issue_paths, ogni percorso di dipendenze che porta il pacchetto vulnerabile nel progetto.
• Supply chain: snyk_get_project_sbom esporta la SBOM dell'ultima scansione di un progetto in CycloneDX da 1.4 a 1.6 (JSON o XML) o SPDX 2.3 JSON, snyk_list_dependencies mostra dove un pacchetto è usato nei progetti e snyk_list_package_issues verifica una versione di un pacchetto per purl (per esempio pkg:npm/[email protected]) prima di aggiungerla.
• Ignore: snyk_list_project_ignores (v1, progetti open source e container), e snyk_list_policies con snyk_get_policy per i consistent ignore a livello di organizzazione usati da Snyk Code e dai prodotti più recenti.

Cosa modifica, dopo la tua conferma: snyk_add_project_tag e snyk_remove_project_tag (chiave e valore come team:payments), snyk_set_project_attributes (criticità di business, ambiente e ciclo di vita; le liste passate sostituiscono quelle vecchie) e snyk_create_ignore. Un ignore nasconde una vulnerabilità da test, report e controlli delle pull request, quindi l'AI indica issue, progetto, tipo di motivo (not-vulnerable, wont-fix o temporary-ignore) e scadenza, preferisce un ignore temporaneo con data di fine e chiama il tool solo dopo il tuo sì.

Disattivato all'installazione: snyk_delete_ignore. Rimuove tutte le regole di ignore di un issue in un progetto, con motivo e storico, e non si può annullare, quindi lo attiva un admin del workspace quando serve al team.

Formati dei dati: le risposte REST sono JSON:API: i campi stanno in data[].attributes, gli id collegati in relationships. Le gravità sono critical, high, medium e low (info per alcuni prodotti); effective_severity_level tiene conto delle modifiche di gravità fatte dalla tua organizzazione. Le date sono ISO 8601 in UTC. Le SBOM dei progetti grandi sono voluminose.

Paginazione: le liste REST accettano limit (default 20, fino a 100) e restituiscono links.next; l'AI richiama con starting_after impostato sul valore di quel link finché links.next non manca. I tool v1 paginano con page e perPage.

Limiti: Snyk consente circa 1.620 richieste REST al minuto per token e 2.000 richieste v1 al minuto per utente; 429 significa aspettare un minuto.

Errori comuni: 401 indica un token errato, scaduto o revocato, di un'altra regione (controlla SNYK_API_URL), o un piano senza accesso API. 403 indica che il ruolo del token non consente la chiamata in quell'organizzazione. 404 indica un id errato, o lo slug dell'organizzazione dove serve l'id. 400 o 422 indicano il parametro sbagliato.

Il connettore non avvia test o scansioni, non importa repository, non elimina, disattiva o sposta progetti e target e non crea policy a livello di organizzazione. Non copre report a livello di group, audit log, impostazioni, configurazione delle integrazioni, membri e inviti, service account, Snyk Apps né gli endpoint cloud e AI-BOM.

Step 2 — Installa l'adapter

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Step 3 — Aggiungi il connettore in Claude

L'URL del tuo server: in AnythingMCP apri MCP Servers → il server su cui si trova questo connettore e copia il suo URL (https://cloud.anythingmcp.com/mcp/…). Usalo ovunque questa guida mostra YOUR_SERVER_ID.

Percorso consigliato: funziona su claude.ai web senza toccare alcun file di configurazione.

1. In Claude apri Customize → Connectors.
2. Clicca + e poi Add custom connector.
3. Inserisci un nome, ad esempio Snyk, e l'URL del server MCP remoto https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID, poi clicca Add.
4. Clicca Connect e accedi ad AnythingMCP (OAuth) per consentire l'accesso.

Tutti i tool sotto compaiono nella tua chat: inizia a scrivere prompt.

Tool disponibili

Esempi di prompt

• "Quali progetti della nostra organizzazione Snyk hanno vulnerabilità critiche aperte in questo momento?"
• "pkg:npm/[email protected] è sicuro da usare? Se no, quale versione risolve i problemi?"
• "Nel progetto api-server, quali issue di gravità alta si risolvono con un aggiornamento, e da quale dipendenza arriva ciascuno?"
• "Esporta la SBOM del progetto checkout-service in CycloneDX JSON."
• "Ignora SNYK-JS-LODASH-567746 nel progetto web-frontend come temporary-ignore fino a fine anno, motivo: non raggiungibile dal nostro codice."

FAQ

Funziona con Claude Code come con Claude Desktop? Sì, punta entrambi a https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID.

Prossimi passi

• Landing del connettore
• Collegare a ChatGPT
• Collegare a Cursor
• Collegare a Gemini
• Collegare a Meta Muse
• Collegare a Microsoft Copilot