Qu’est-ce que SonarQube MCP Server ?
SonarQube MCP Server est le serveur officiel de SonarSource pour relier des agents d'IA à SonarQube Cloud et SonarQube Server. Le dépôt s'appelle SonarSource/sonarqube-mcp-server (il n'existe pas de sonar-mcp-server distinct) ; la version 1.31.0 est sortie le 2 novembre 2026. Il permet à un agent de chercher des problèmes et des Security Hotspots, de vérifier la quality gate d'un projet, de lire les données de couverture, de duplication et de risques liés aux dépendances, et de passer les analyseurs de Sonar sur un fichier avant le commit.
Vous l'exécutez vous-même avec le conteneur sonarsource/sonarqube-mcp, en stdio ou en Streamable HTTP, ou, depuis mars 2026, vous pointez un client HTTP vers le point d'accès hébergé intégré à SonarQube Cloud, https://api.sonarcloud.io/mcp. Le serveur est gratuit, sous la SONAR Source-Available License (code consultable, pas libre), mais il ne vaut que ce que vaut l'abonnement SonarQube derrière lui.
Installer SonarQube MCP Server
docker run --init -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_ORG sonarsource/sonarqube-mcp (or https://api.sonarcloud.io/mcp)SonarQube MCP Server vaut-il le coup ?
SonarQube MCP Server vaut la peine pour toute équipe qui valide déjà ses pull requests avec SonarQube, et ne sert presque à rien aux autres. Son intérêt : l'agent voit les mêmes problèmes, les mêmes règles et le même verdict de quality gate que votre CI, et peut corriger une gate en échec avant même d'ouvrir la pull request. Le README documente 51 outils répartis en 20 ensembles, de search_sonar_issues_in_projects et get_project_quality_gate_status jusqu'aux requêtes de couverture qui listent précisément les lignes non couvertes.
L'analyse est la partie à bien comprendre. L'outil par défaut, analyze_code_snippet, passe les analyseurs de Sonar sur un fichier, mais l'agent doit envoyer le fichier entier en argument, ce qui consomme du contexte à chaque appel ; en montant le projet dans le conteneur sous /app/mcp-workspace, le serveur lit les fichiers sur le disque. L'analyse Vortex, plus poussée, et les outils de contexte de code (graphes d'appels, hiérarchies de types, vérification des dépendances) ne fonctionnent qu'en stdio, exigent ce montage et une organisation ayant droit à l'option Vortex, que la grille tarifaire de Sonar réserve aux clients Enterprise.
Le point d'accès hébergé dans Cloud supprime Docker mais réduit l'outillage : selon la documentation de Sonar, il expose « un sous-ensemble d'outils plus restreint et fixe », désactive les analyses lourdes pour protéger l'infrastructure partagée et ne peut pas exécuter Vortex. La connexion OAuth y fonctionne pour une liste de clients approuvés, dont Claude Code, Codex, Cursor, VS Code et ChatGPT ; les serveurs auto-hébergés exigent toujours un jeton utilisateur SonarQube, et SonarQube Server doit être en version 2025.1 ou plus récente.
Le problème : les outils d'écriture sont actifs tant que vous ne définissez pas SONARQUBE_READ_ONLY=true. Un agent peut donc marquer un problème comme faux positif ou accepter un Security Hotspot, exactement le raccourci qu'un modèle pressé de passer une gate pourrait prendre. Le serveur auto-hébergé envoie aussi par défaut une télémétrie d'usage anonyme à SonarSource (sans code source, selon le README) jusqu'à ce que vous définissiez TELEMETRY_DISABLED=true, et des tickets ouverts signalent que tous les appels échouent jusqu'au redémarrage du serveur après un redémarrage de son instance SonarQube.
Notre avis : en lecture seule, en laissant la quality gate de la CI trancher. Pour une équipe sans contrat Sonar, le serveur de Semgrep convient mieux, car son moteur gratuit fonctionne seul.
Là où il fait la différence
Une équipe Java de 15 développeurs sur SonarQube Cloud Team
Empêcher les pull requests écrites par l'agent d'échouer à la quality gate
L'agent appelle get_project_quality_gate_status et search_sonar_issues_in_projects sur sa branche, corrige ce qu'il trouve, puis ouvre la pull request. Avec SONARQUBE_READ_ONLY=true, il corrige le code au lieu de fermer les problèmes. Aucun coût au-delà du plan Team, à partir de 34 $ par mois pour 100 000 lignes.
Une ingénieure chargée de relever la couverture d'un module ancien
Écrire des tests pour les lignes que personne n'a couvertes
search_files_by_coverage liste les fichiers les moins couverts et get_file_coverage_details donne les lignes et branches exactes non couvertes, si bien que l'agent écrit des tests ciblés au lieu de deviner.
Un responsable d'ingénierie dans une banque qui interdit Docker en local
Donner aux développeurs les résultats de Sonar dans leur assistant IA sans rien installer
Pointez Claude Code ou VS Code vers https://api.sonarcloud.io/mcp et connectez-vous via OAuth. Le serveur hébergé a moins d'outils et pas d'analyse lourde, mais ne demande ni déploiement ni gestion de jetons sur les portables.
Avant de vous engager
- Mise en route
- docker run --init -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_ORG sonarsource/sonarqube-mcp, avec des configurations documentées pour Claude Code, Codex, Cursor, Copilot, Gemini CLI, Kiro, VS Code, Windsurf et Zed et un générateur de configuration sur mcp.sonarqube.com ; ou le point d'accès hébergé https://api.sonarcloud.io/mcp (https://api.sonarqube.us/mcp pour la région américaine).
- Intégrations
- 51 outils en 20 ensembles : problèmes, Security Hotspots, quality gates, règles, mesures, couverture, duplications, risques liés aux dépendances, sources, webhooks, portefeuilles et administration de Server, plus des outils de contexte Vortex et d'architecture. Parmi les outils d'écriture : change_sonar_issue_status, change_security_hotspot_status et create_webhook ; SONARQUBE_TOOLSETS et SONARQUBE_READ_ONLY réduisent la liste.
- Données et confidentialité
- Un jeton utilisateur lit tout ce que cet utilisateur peut voir, y compris le code source brut via get_raw_source si l'ensemble sources est activé. Le point d'accès hébergé tourne sur l'infrastructure de Sonar ; les scopes OAuth mcp:tools:read et mcp:tools:write séparent lecture et écriture. Les serveurs auto-hébergés envoient une télémétrie anonyme sauf avec TELEMETRY_DISABLED=true. Aucun avis de sécurité publié.
- Coût à grande échelle
- Le serveur est gratuit ; la facture, c'est SonarQube. Cloud Team commence à 34 $ par mois pour 100 000 lignes de code privé et reste gratuit jusqu'à 50 000 ; Server est sur devis par instance et par an selon les lignes de code, et au-delà des lignes sous licence les nouvelles analyses sont refusées. Vortex, Advanced Security (risques liés aux dépendances) et les agents de Sonar sont des abonnements supplémentaires. Sonar ne publie aucune limite de débit pour le point d'accès MCP.
- Limites
- Le point d'accès hébergé a un jeu d'outils fixe et réduit, sans Vortex ; OAuth pas encore pris en charge pour SonarQube Server ; au minimum Server 2025.1 ou Community Build 25.1 ; les connexions à Server exigent un jeton USER, pas de jeton de projet ni global. Des tickets ouverts signalent des appels qui échouent définitivement après un redémarrage de l'instance SonarQube.
Les points forts
- Les mêmes problèmes, règles et quality gate que votre CI SonarQube
- Point d'accès hébergé dans Cloud avec OAuth, sans Docker
- Mode lecture seule et filtrage par ensemble d'outils pour économiser le contexte
- Outils de couverture ligne par ligne pour écrire les tests manquants
- Versions fréquentes publiées par SonarSource
Les points faibles
- Peu utile sans abonnement SonarQube Cloud ou Server
- Outils d'écriture actifs par défaut ; un agent peut marquer des résultats comme faux positifs
- L'analyse d'extraits fait passer des fichiers entiers dans le contexte sans montage de l'espace de travail
- L'analyse Vortex exige une option Enterprise payante et stdio
- Télémétrie active par défaut ; licence à code consultable, pas open source
Idéal pour
Les équipes qui valident déjà leurs merges avec SonarQube et veulent que leur agent de code passe cette gate avant d'ouvrir une pull request.
Alternatives à SonarQube MCP Server
SonarQube MCP Server : questions fréquentes
- SonarQube MCP Server vaut-il le coup ?
- Si vos merges attendent déjà une quality gate SonarQube, l'agent la lit avant vous ; sans abonnement SonarQube, il n'apporte pas grand-chose. Nous lui donnons 4.1 sur 5.
- Combien coûte SonarQube MCP Server ?
- Serveur gratuit (SONAR Source-Available License). SonarQube Cloud gratuit pour les projets privés jusqu'à 50 000 lignes de code ; Team à partir de 34 $/mois pour 100 000 lignes ; éditions Server facturées par instance et par an selon les lignes de code, sur devis ; Vortex est une option à part.
- Quels sont les inconvénients de SonarQube MCP Server ?
- Peu utile sans abonnement SonarQube Cloud ou Server; outils d'écriture actifs par défaut ; un agent peut marquer des résultats comme faux positifs; l'analyse d'extraits fait passer des fichiers entiers dans le contexte sans montage de l'espace de travail; l'analyse Vortex exige une option Enterprise payante et stdio; télémétrie active par défaut ; licence à code consultable, pas open source.
- À qui s’adresse SonarQube MCP Server ?
- Les équipes qui valident déjà leurs merges avec SonarQube et veulent que leur agent de code passe cette gate avant d'ouvrir une pull request.
- Combien coûte SonarQube MCP Server pour une équipe ou en production ?
- Le serveur est gratuit ; la facture, c'est SonarQube. Cloud Team commence à 34 $ par mois pour 100 000 lignes de code privé et reste gratuit jusqu'à 50 000 ; Server est sur devis par instance et par an selon les lignes de code, et au-delà des lignes sous licence les nouvelles analyses sont refusées. Vortex, Advanced Security (risques liés aux dépendances) et les agents de Sonar sont des abonnements supplémentaires. Sonar ne publie aucune limite de débit pour le point d'accès MCP.
- SonarQube MCP Server est-il sûr pour les données de l’entreprise ?
- Un jeton utilisateur lit tout ce que cet utilisateur peut voir, y compris le code source brut via get_raw_source si l'ensemble sources est activé. Le point d'accès hébergé tourne sur l'infrastructure de Sonar ; les scopes OAuth mcp:tools:read et mcp:tools:write séparent lecture et écriture. Les serveurs auto-hébergés envoient une télémétrie anonyme sauf avec TELEMETRY_DISABLED=true. Aucun avis de sécurité publié.
- Quelles sont les meilleures alternatives à SonarQube MCP Server ?
- Les alternatives les plus proches que nous avons testées sont Semgrep MCP, Snyk MCP Server (Snyk Studio) et GitHub MCP Server.
Réponses vérifiées le 9 nov. 2026.
Vous éditez SonarQube MCP Server ? Affichez cette note sur votre site
