¿Qué es SonarQube MCP Server?
SonarQube MCP Server es el servidor oficial de SonarSource para conectar agentes de IA con SonarQube Cloud y SonarQube Server. El repositorio es SonarSource/sonarqube-mcp-server (no existe un sonar-mcp-server aparte); la versión 1.31.0 salió el 2 de noviembre de 2026. Permite a un agente buscar incidencias y Security Hotspots, comprobar el quality gate de un proyecto, leer datos de cobertura, duplicación y riesgos de dependencias, y pasar los analizadores de Sonar por un archivo antes de hacer commit.
Puedes ejecutarlo tú mismo como el contenedor sonarsource/sonarqube-mcp por stdio o Streamable HTTP o, desde marzo de 2026, apuntar un cliente HTTP al endpoint alojado integrado en SonarQube Cloud en https://api.sonarcloud.io/mcp. El servidor es gratuito, bajo la SONAR Source-Available License (código disponible, no libre), pero solo es tan útil como el plan de SonarQube que tenga detrás.
Cómo instalar SonarQube MCP Server
docker run --init -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_ORG sonarsource/sonarqube-mcp (or https://api.sonarcloud.io/mcp)¿Merece la pena SonarQube MCP Server?
SonarQube MCP Server merece la pena para cualquier equipo que ya aprueba pull requests con SonarQube, y es casi inútil para quien no lo hace. Su valor está en que el agente ve las mismas incidencias, reglas y el mismo veredicto del quality gate que aplicará tu CI, y puede arreglar un gate que falla antes de abrir el pull request. El README documenta 51 herramientas en 20 conjuntos, desde search_sonar_issues_in_projects y get_project_quality_gate_status hasta consultas de cobertura que listan las líneas exactas sin cubrir.
El análisis es la parte que hay que entender. La herramienta por defecto analyze_code_snippet pasa los analizadores de Sonar por un archivo, pero el agente tiene que enviar el archivo entero como argumento, lo que gasta contexto en cada llamada; si montas el proyecto en el contenedor en /app/mcp-workspace, el servidor lee los archivos del disco. El análisis Vortex, más profundo, y las herramientas de contexto de código (grafos de llamadas, jerarquías de tipos, comprobación de dependencias) solo funcionan por stdio, necesitan el montaje del espacio de trabajo y una organización con derecho al complemento Vortex, que los precios de Sonar sitúan en clientes Enterprise.
El endpoint alojado en Cloud elimina Docker pero recorta las herramientas: la documentación de Sonar dice que expone «un subconjunto de herramientas más pequeño y fijo», desactiva el análisis pesado para proteger la infraestructura compartida y no puede ejecutar Vortex. Ahí funciona el inicio de sesión con OAuth para una lista aprobada de clientes, entre ellos Claude Code, Codex, Cursor, VS Code y ChatGPT; los servidores propios siguen necesitando un token de usuario de SonarQube, y SonarQube Server debe ser 2025.1 o posterior.
La pega: las herramientas de escritura están activas salvo que pongas SONARQUBE_READ_ONLY=true, así que un agente puede marcar una incidencia como falso positivo o aceptar un Security Hotspot, justo el atajo que tomaría un modelo presionado para pasar un gate. El servidor propio además envía por defecto telemetría de uso anónima a SonarSource (sin código fuente, según el README) hasta que pongas TELEMETRY_DISABLED=true, y hay incidencias abiertas que describen cómo todas las llamadas fallan hasta reiniciar el servidor después de que se reinicie su instancia de SonarQube.
Nuestra opinión: en modo solo lectura, y que el quality gate de la CI siga siendo la autoridad. Para un equipo sin contrato con Sonar encaja mejor el servidor de Semgrep, porque su motor gratuito funciona por sí solo.
Dónde se gana su sitio
Un equipo Java de 15 desarrolladores en SonarQube Cloud Team
Evitar que los pull requests escritos por el agente fallen el quality gate
El agente llama a get_project_quality_gate_status y search_sonar_issues_in_projects en su rama, corrige lo que encuentra y luego abre el pull request. Con SONARQUBE_READ_ONLY=true arregla el código en vez de cerrar incidencias. No cuesta nada aparte del plan Team, desde 34 $ al mes por 100.000 líneas.
Una ingeniera a la que piden subir la cobertura de un módulo heredado
Escribir tests para las líneas que nadie cubrió
search_files_by_coverage lista los archivos peor cubiertos y get_file_coverage_details da las líneas y ramas exactas sin cubrir, de modo que el agente escribe tests dirigidos en vez de adivinar.
Un responsable de ingeniería en un banco que prohíbe Docker en local
Dar a los desarrolladores los hallazgos de Sonar en su asistente de IA sin instalar nada
Apunta Claude Code o VS Code a https://api.sonarcloud.io/mcp e inicia sesión con OAuth. El servidor alojado tiene menos herramientas y nada de análisis pesado, pero no requiere despliegue ni gestionar tokens en los portátiles.
Antes de decidirte
- Puesta en marcha
- docker run --init -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_ORG sonarsource/sonarqube-mcp, con configuraciones documentadas para Claude Code, Codex, Cursor, Copilot, Gemini CLI, Kiro, VS Code, Windsurf y Zed y un generador de configuración en mcp.sonarqube.com; o el endpoint alojado https://api.sonarcloud.io/mcp (https://api.sonarqube.us/mcp para la región de EE. UU.).
- Integraciones
- 51 herramientas en 20 conjuntos: incidencias, Security Hotspots, quality gates, reglas, métricas, cobertura, duplicaciones, riesgos de dependencias, código fuente, webhooks, portfolios y administración de Server, además de herramientas de contexto Vortex y de arquitectura. Entre las de escritura están change_sonar_issue_status, change_security_hotspot_status y create_webhook; SONARQUBE_TOOLSETS y SONARQUBE_READ_ONLY acotan la lista.
- Datos y privacidad
- Un token de usuario lee todo lo que ese usuario puede ver, incluido el código fuente en bruto con get_raw_source si el conjunto sources está activo. El endpoint alojado corre en la infraestructura de Sonar; los scopes OAuth mcp:tools:read y mcp:tools:write separan lectura y escritura. Los servidores propios envían telemetría anónima salvo con TELEMETRY_DISABLED=true. No hay avisos de seguridad publicados.
- Coste a escala
- El servidor es gratis; la factura es SonarQube. Cloud Team empieza en 34 $ al mes por 100.000 líneas de código privado y es gratis hasta 50.000; Server se presupuesta por instancia y año según líneas de código, y por encima de las líneas con licencia se rechazan los análisis nuevos. Vortex, Advanced Security (riesgos de dependencias) y los agentes de Sonar son suscripciones adicionales. Sonar no publica límites de uso para el endpoint MCP.
- Límites
- El endpoint alojado tiene un conjunto de herramientas fijo y menor, sin Vortex; OAuth aún no disponible para SonarQube Server; mínimo Server 2025.1 o Community Build 25.1; las conexiones a Server necesitan un token USER, no tokens de proyecto ni globales. Hay incidencias abiertas sobre llamadas que fallan para siempre tras reiniciar la instancia de SonarQube.
Lo bueno
- Las mismas incidencias, reglas y quality gate que tu CI de SonarQube
- Endpoint alojado en Cloud con OAuth, sin Docker
- Modo solo lectura y filtro por conjunto de herramientas para ahorrar contexto
- Herramientas de cobertura línea a línea para escribir los tests que faltan
- Versiones frecuentes publicadas por la propia SonarSource
Lo malo
- Poco útil sin una suscripción a SonarQube Cloud o Server
- Herramientas de escritura activas por defecto; un agente puede marcar hallazgos como falsos positivos
- El análisis de fragmentos pasa archivos enteros por el contexto si no montas el espacio de trabajo
- El análisis Vortex requiere un complemento Enterprise de pago y stdio
- Telemetría activa por defecto; licencia de código disponible, no de código abierto
Ideal para
Equipos que ya aprueban merges con SonarQube y quieren que su agente de código pase ese gate antes de abrir un pull request.
Alternativas a SonarQube MCP Server
SonarQube MCP Server: preguntas frecuentes
- ¿Merece la pena SonarQube MCP Server?
- Si tus merges ya esperan un quality gate de SonarQube, con esto el agente lee ese gate antes que tú; sin una suscripción a SonarQube aporta poco. Le damos un 4.1 sobre 5.
- ¿Cuánto cuesta SonarQube MCP Server?
- Servidor gratuito (SONAR Source-Available License). SonarQube Cloud gratis para proyectos privados de hasta 50.000 líneas de código; Team desde 34 $/mes por 100.000 líneas; ediciones de Server por instancia y año según líneas de código, solo con presupuesto; Vortex es un complemento aparte.
- ¿Qué inconvenientes tiene SonarQube MCP Server?
- Poco útil sin una suscripción a SonarQube Cloud o Server; herramientas de escritura activas por defecto; un agente puede marcar hallazgos como falsos positivos; el análisis de fragmentos pasa archivos enteros por el contexto si no montas el espacio de trabajo; el análisis Vortex requiere un complemento Enterprise de pago y stdio; telemetría activa por defecto; licencia de código disponible, no de código abierto.
- ¿Para quién es SonarQube MCP Server?
- Equipos que ya aprueban merges con SonarQube y quieren que su agente de código pase ese gate antes de abrir un pull request.
- ¿Cuánto cuesta SonarQube MCP Server para un equipo o en producción?
- El servidor es gratis; la factura es SonarQube. Cloud Team empieza en 34 $ al mes por 100.000 líneas de código privado y es gratis hasta 50.000; Server se presupuesta por instancia y año según líneas de código, y por encima de las líneas con licencia se rechazan los análisis nuevos. Vortex, Advanced Security (riesgos de dependencias) y los agentes de Sonar son suscripciones adicionales. Sonar no publica límites de uso para el endpoint MCP.
- ¿Es SonarQube MCP Server seguro para los datos de la empresa?
- Un token de usuario lee todo lo que ese usuario puede ver, incluido el código fuente en bruto con get_raw_source si el conjunto sources está activo. El endpoint alojado corre en la infraestructura de Sonar; los scopes OAuth mcp:tools:read y mcp:tools:write separan lectura y escritura. Los servidores propios envían telemetría anónima salvo con TELEMETRY_DISABLED=true. No hay avisos de seguridad publicados.
- ¿Cuáles son las mejores alternativas a SonarQube MCP Server?
- Las alternativas más cercanas que hemos analizado son Semgrep MCP, Snyk MCP Server (Snyk Studio) y GitHub MCP Server.
Respuestas comprobadas el 9 nov 2026.
¿Desarrollas SonarQube MCP Server? Muestra esta nota en tu web
