Come collegare Snyk a Microsoft Copilot via MCP

💡 Niente installazione? Vai direttamente su cloud.anythingmcp.com. Accedi, clicca Connectors → Snyk, inserisci le credenziali, genera una MCP API key e hai finito. Niente Docker, niente git clone, niente server locale.

Snyk + Microsoft Copilot

Controlla Snyk dal tuo agente AI: organizzazioni, target e progetti, vulnerabilità e altri issue di tutti i prodotti con dettagli di fix e percorsi delle dipendenze, SBOM, dipendenze, verifica dei pacchetti per purl, membri, ignore e policy; dopo la tua conferma tagga i progetti, imposta i loro attributi e ignora gli issue.

Prerequisiti

Le istruzioni di setup complete sono incluse nel connettore stesso (visibili nello store quando lo selezioni). Le variabili d'ambiente richieste sono:

SNYK_API_URL, SNYK_TOKEN

Step 1 — Ottieni le credenziali

La configurazione richiede circa 3 minuti. L'accesso API richiede un piano Snyk Enterprise: i token Free e Team funzionano solo per CLI e IDE e qui rispondono 401 o 403.

1. Crea un token. Per un connettore condiviso la scelta migliore è un service account: Organization o Group settings, Service accounts, con il ruolo Org Collaborator per le letture o Org Admin per ignore e attributi. Per te stesso usa un personal access token da Account settings, Personal access tokens (scade dopo al massimo 90 giorni), oppure l'API token in Account settings.
2. Incollalo in SNYK_TOKEN, senza prefissi come token o Bearer. Viene inviato come Authorization: token <key>.
3. Imposta SNYK_API_URL sull'API della tua regione, senza /rest né /v1: https://api.snyk.io (app.snyk.io), https://api.us.snyk.io (app.us.snyk.io), https://api.eu.snyk.io (app.eu.snyk.io), https://api.au.snyk.io (app.au.snyk.io) o https://api.snykgov.io (Snyk for Government). Lo capisci dall'indirizzo della tua app Snyk.
4. Installa il connettore ed esegui snyk_get_self, poi snyk_list_orgs per gli id delle organizzazioni.

Il connettore usa la REST API di Snyk (versione 2026-03-25) e, dove REST non ha un equivalente, la v1 API.

Id: ogni tool vuole l'id dell'organizzazione (un UUID da snyk_list_orgs), non lo slug. Gli id degli issue REST di snyk_list_issues sono UUID; i tool v1 (snyk_list_issue_paths, snyk_create_ignore, snyk_delete_ignore) vogliono l'id v1 come SNYK-JS-LODASH-567746, cioè l'id in snyk_list_aggregated_issues e attributes.problems[].id negli issue REST.

Cosa legge:

• Inventario: snyk_get_self, snyk_list_orgs, snyk_get_org, snyk_list_targets e snyk_get_target (repository, immagini container, upload da CLI), snyk_list_projects e snyk_get_project con tipo, origine, tag, attributi e gli ultimi conteggi degli issue per gravità, snyk_list_integrations (GitHub, GitLab, Bitbucket Cloud, Azure Repos, Docker Hub, ECR e altre) e snyk_list_org_members.
• Issue: snyk_list_issues su tutta l'organizzazione o snyk_list_project_issues per un progetto, che coprono vulnerabilità e licenze open source, Code, IaC, container e secrets. Filtri per tipo, effective_severity_level, stato (open, resolved), ignorato o date; poi snyk_get_issue per le versioni del pacchetto coinvolte e i rimedi.
• Fix: snyk_list_aggregated_issues per i progetti open source e container, con pacchetto e versione, CVSS e priority score, maturità dell'exploit, se è aggiornabile o patchabile e le versioni che lo risolvono, e snyk_list_issue_paths, ogni percorso di dipendenze che porta il pacchetto vulnerabile nel progetto.
• Supply chain: snyk_get_project_sbom esporta la SBOM dell'ultima scansione di un progetto in CycloneDX da 1.4 a 1.6 (JSON o XML) o SPDX 2.3 JSON, snyk_list_dependencies mostra dove un pacchetto è usato nei progetti e snyk_list_package_issues verifica una versione di un pacchetto per purl (per esempio pkg:npm/[email protected]) prima di aggiungerla.
• Ignore: snyk_list_project_ignores (v1, progetti open source e container), e snyk_list_policies con snyk_get_policy per i consistent ignore a livello di organizzazione usati da Snyk Code e dai prodotti più recenti.

Cosa modifica, dopo la tua conferma: snyk_add_project_tag e snyk_remove_project_tag (chiave e valore come team:payments), snyk_set_project_attributes (criticità di business, ambiente e ciclo di vita; le liste passate sostituiscono quelle vecchie) e snyk_create_ignore. Un ignore nasconde una vulnerabilità da test, report e controlli delle pull request, quindi l'AI indica issue, progetto, tipo di motivo (not-vulnerable, wont-fix o temporary-ignore) e scadenza, preferisce un ignore temporaneo con data di fine e chiama il tool solo dopo il tuo sì.

Disattivato all'installazione: snyk_delete_ignore. Rimuove tutte le regole di ignore di un issue in un progetto, con motivo e storico, e non si può annullare, quindi lo attiva un admin del workspace quando serve al team.

Formati dei dati: le risposte REST sono JSON:API: i campi stanno in data[].attributes, gli id collegati in relationships. Le gravità sono critical, high, medium e low (info per alcuni prodotti); effective_severity_level tiene conto delle modifiche di gravità fatte dalla tua organizzazione. Le date sono ISO 8601 in UTC. Le SBOM dei progetti grandi sono voluminose.

Paginazione: le liste REST accettano limit (default 20, fino a 100) e restituiscono links.next; l'AI richiama con starting_after impostato sul valore di quel link finché links.next non manca. I tool v1 paginano con page e perPage.

Limiti: Snyk consente circa 1.620 richieste REST al minuto per token e 2.000 richieste v1 al minuto per utente; 429 significa aspettare un minuto.

Errori comuni: 401 indica un token errato, scaduto o revocato, di un'altra regione (controlla SNYK_API_URL), o un piano senza accesso API. 403 indica che il ruolo del token non consente la chiamata in quell'organizzazione. 404 indica un id errato, o lo slug dell'organizzazione dove serve l'id. 400 o 422 indicano il parametro sbagliato.

Il connettore non avvia test o scansioni, non importa repository, non elimina, disattiva o sposta progetti e target e non crea policy a livello di organizzazione. Non copre report a livello di group, audit log, impostazioni, configurazione delle integrazioni, membri e inviti, service account, Snyk Apps né gli endpoint cloud e AI-BOM.

Step 2 — Installa l'adapter

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Step 3 — Aggiungi il connettore in Microsoft Copilot

L'URL del tuo server: in AnythingMCP apri MCP Servers → il server su cui si trova questo connettore e copia il suo URL (https://cloud.anythingmcp.com/mcp/…). Usalo ovunque questa guida mostra YOUR_SERVER_ID.

Microsoft Copilot usa i server MCP tramite gli agenti creati in Copilot Studio: aggiungi AnythingMCP a un agente come strumento, poi pubblichi l'agente in Microsoft 365 Copilot e in Teams. Copilot Studio si collega dal cloud di Microsoft via Streamable HTTP, che AnythingMCP supporta.

1. In Copilot Studio apri il tuo agente (o creane uno), vai su Tools e scegli Add a tool → New tool → Model Context Protocol.
2. Inserisci un Server name (per esempio AnythingMCP), una Server description che dica cosa fa il connettore e il Server URL https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID. Copilot Studio usa la descrizione per decidere quando chiamare il server.
3. Come autenticazione scegli API key, imposta Type su Header e come nome dell'header X-API-Key, poi seleziona Create.
4. In Add tool scegli Create a new connection, incolla una chiave API MCP di AnythingMCP (MCP Servers → il tuo server → API keys) e seleziona Add to agent.
5. Provalo nel riquadro Test dell'agente: chiedi qualcosa che richiede i tool di Snyk.
6. Seleziona Publish, poi Channels → Microsoft 365 and Microsoft Teams, lascia selezionato Make agent available in Microsoft Copilot e scegli Add channel. See agent in Teams lo installa per te; in Microsoft 365 Copilot scrivi @ e scegli l'agente.

Preferisci un accesso per ogni utente? Al posto della chiave API scegli OAuth 2.0 → Dynamic discovery: ogni persona accede ad AnythingMCP la prima volta che l'agente lo chiama.

Usi il self-hosting? Usa l'indirizzo HTTPS pubblico della tua istanza al posto di https://cloud.anythingmcp.com. Copilot Studio si collega dal cloud di Microsoft, quindi localhost non funziona.

Tool disponibili

Esempi di prompt

• "Quali progetti della nostra organizzazione Snyk hanno vulnerabilità critiche aperte in questo momento?"
• "pkg:npm/[email protected] è sicuro da usare? Se no, quale versione risolve i problemi?"
• "Nel progetto api-server, quali issue di gravità alta si risolvono con un aggiornamento, e da quale dipendenza arriva ciascuno?"
• "Esporta la SBOM del progetto checkout-service in CycloneDX JSON."
• "Ignora SNYK-JS-LODASH-567746 nel progetto web-frontend come temporary-ignore fino a fine anno, motivo: non raggiungibile dal nostro codice."

FAQ

Per quale Copilot vale? Per Microsoft 365 Copilot in azienda, tramite gli agenti di Copilot Studio. L'app Microsoft Copilot per account personali non permette di aggiungere un proprio server MCP.

Cosa mi serve? Un account di lavoro con accesso a Copilot Studio (licenza o prova) per creare l'agente. Chi lo usa in Microsoft 365 Copilot o in Teams deve avere accesso all'agente: condividilo, oppure chiedi a un amministratore di pubblicarlo per l'organizzazione. Se la tua organizzazione applica criteri sui dati ai connettori di Power Platform, valgono anche per i server MCP.

L'agente non chiama i tool. Controlla che il nome dell'header sia esattamente X-API-Key e che la chiave appartenga allo stesso server MCP dell'URL, e scrivi una Server description precisa: Copilot Studio la usa per decidere quando chiamare il server. Dopo ogni modifica pubblica di nuovo l'agente; in una chat già aperta scrivi "start over" per passare alla nuova versione.

Prossimi passi

• Landing del connettore
• Collegare a Claude
• Collegare a ChatGPT
• Collegare a Cursor
• Collegare a Gemini
• Collegare a Meta Muse