SonarQube MCP Serverとは？
SonarQube MCP Server は、AI エージェントを SonarQube Cloud と SonarQube Server につなぐ SonarSource 公式のサーバーです。リポジトリは SonarSource/sonarqube-mcp-server で（別個の sonar-mcp-server はありません）、バージョン 1.31.0 が 2026 年 11 月 2 日に出ました。エージェントはこれを使って課題と Security Hotspot を検索し、プロジェクトの品質ゲートを確認し、カバレッジ、重複、依存関係リスクのデータを読み、コミット前のファイルに Sonar の解析エンジンをかけられます。
sonarsource/sonarqube-mcp コンテナを stdio か Streamable HTTP で自分で動かすか、2026 年 3 月からは SonarQube Cloud に組み込まれたホスト型エンドポイント https://api.sonarcloud.io/mcp に HTTP クライアントを向けることもできます。サーバー自体は無料で、SONAR Source-Available License（ソースは公開されているがオープンソースではない）で提供されますが、その価値は背後にある SonarQube のプラン次第です。
SonarQube MCP Serverのインストール方 法
docker run --init -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_ORG sonarsource/sonarqube-mcp (or https://api.sonarcloud.io/mcp)SonarQube MCP Serverは使う価値があるか？
SonarQube MCP Server は、すでに SonarQube でプルリクエストを通している開発チームなら入れる価値があり、そうでないチームにはほとんど意味がありません。価値の核心は、CI が適用するのと同じ課題、ルール、品質ゲートの判定をエージェントが見られることで、ゲートに落ちる状態をプルリクエストを開く前に直せます。README には 20 のツールセットにまたがる 51 のツールが記載されており、search_sonar_issues_in_projects や get_project_quality_gate_status から、カバーされていない行を正確に列挙するカバレッジ照会まであります。
解析の仕組みは理解しておく必要があります。既定の analyze_code_snippet ツールはファイルに Sonar の解析エンジンをかけますが、エージェントはファイル全体を引数として渡さなければならず、呼び出すたびにコンテキストを消費します。プロジェクトをコンテナの /app/mcp-workspace にマウントすれば、サーバーがディスクから直接ファイルを読みます。より深い Vortex 解析とコードコンテキストのツール（呼び出しグラフ、型階層、依存関係チェック）は stdio でしか動かず、ワークスペースのマウントと、Vortex アドオンの権利を持つ組織が必要です。Sonar の料金表では Vortex は Enterprise 顧客向けとされています。
Cloud のホスト型エンドポイントなら Docker は不要ですが、ツールは削られます。Sonar のドキュメントによると「より小さく固定されたツールのサブセット」しか公開せず、共有インフラを守るため重い解析は無効化され、Vortex も使えません。そこでは承認済みクライアント（Claude Code、Codex、Cursor、VS Code、ChatGPT など）から OAuth でサインインできます。自前で動かすサーバーは引き続き SonarQube のユーザートークンが必要で、SonarQube Server は 2025.1 以降でなければなりません。
注意点：SONARQUBE_READ_ONLY=true を設定しない限り書き込みツールは有効です。つまりエージェントは課題を誤検知としてマークしたり Security Hotspot を承認したりでき、これはゲートを通そうと焦るモデルがまさに取りかねない近道です。自前のサーバーは既定で匿名の利用テレメトリーを SonarSource に送信し（README によるとソースコードは含まない）、TELEMETRY_DISABLED=true で止められます。また、接続先の SonarQube インスタンスが再起動すると、サーバーを再起動するまですべての呼び出しが失敗するという未解決の報告があります。
私たちの見方：読み取り専用で動かし、最終判断は CI の品質ゲートに任せるのがよいでしょう。Sonar と契約していないチームには、無料エンジン単体で機能する Semgrep のサーバーのほうが合っています。
真価を発揮する場面
SonarQube Cloud Team を使う 15 人の Java チーム
エージェントが書いたプルリクエストが品質ゲートで落ちるのを防ぐ
エージェントが自分のブランチで get_project_quality_gate_status と search_sonar_issues_in_projects を呼び、見つけた問題を直してからプルリクエストを開きます。SONARQUBE_READ_ONLY=true で動かせば、課題を閉じるのではなくコードを直します。費用は Team プラン（10 万行で月 34 ドルから）以外にかかりません。
古いモジュールのカバレッジを上げるよう言われたエンジニア
誰もテストしていない行のテストを書く
search_files_by_coverage がカバレッジの低いファイルを並べ、get_file_coverage_details がカバーされていない行と分岐を正確に示すので、エージェントは当て推量ではなく狙いを定めたテストを書けます。
ローカルでの Docker 利用を禁じる銀行のエンジニアリングマネージャー
何もインストールせずに開発者の AI アシスタントで Sonar の指摘を見られるようにする
Claude Code か VS Code を https://api.sonarcloud.io/mcp に向け、OAuth でサインインします。ホスト型サーバーはツールが少なく重い解析もありませんが、ノート PC への導入もトークン管理も不要です。
導入前に確認すること
- 導入
- docker run --init -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_ORG sonarsource/sonarqube-mcp。Claude Code、Codex、Cursor、Copilot、Gemini CLI、Kiro、VS Code、Windsurf、Zed 向けの設定例と、mcp.sonarqube.com の設定ジェネレーターがあります。あるいはホスト型の https://api.sonarcloud.io/mcp（米国リージョンは https://api.sonarqube.us/mcp）を使います。
- 連携
- 20 のツールセットに 51 のツール：課題、Security Hotspot、品質ゲート、ルール、メトリクス、カバレッジ、重複、依存関係リスク、ソース、Webhook、ポートフォリオ、Server 管理に加え、Vortex のコンテキストツールとアーキテクチャツール。書き込みツールには change_sonar_issue_status、change_security_hotspot_status、create_webhook があり、SONARQUBE_TOOLSETS と SONARQUBE_READ_ONLY で一覧を絞れます。
- データとプライバシー
- ユーザートークンはそのユーザーが見られるものをすべて読め、sources ツールセットが有効なら get_raw_source で生のソースコードも読めます。ホスト型エンドポイントは Sonar のインフラで動き、OAuth スコープ mcp:tools:read と mcp:tools:write で読み取りと書き込みを分けます。自前のサーバーは TELEMETRY_DISABLED=true にしない限り匿名テレメトリーを送ります。公表されたセキュリティアドバイザリーはありません。
- 大規模利用時のコスト
- サーバーは無料で、費用は SonarQube 側です。Cloud Team は非公開コード 10 万行で月 34 ドルからで、5 万行までは無料。Server はインスタンスごとの年額でコード行数に応じた見積もりとなり、ライセンス行数を超えると新しい解析は拒否されます。Vortex、Advanced Security（依存関係リスク）、Sonar のエージェントは別契約です。MCP エンドポイントのレート制限は公表されていません。
- 制限
- ホスト型エンドポイントは固定の小さなツールセットで Vortex なし。SonarQube Server での OAuth は未対応。最低要件は Server 2025.1 または Community Build 25.1。Server への接続にはプロジェクトトークンやグローバルトークンではなく USER トークンが必要です。SonarQube インスタンスの再起動後に呼び出しが失敗し続けるという未解決の報告があります。
良い点
- SonarQube の CI と同じ課題、ルール、品質ゲート
- OAuth 対応のホスト型 Cloud エンドポイントで Docker 不要
- 読み取り専用モードとツールセット単位の絞り込みでコンテキストを節約
- 足りないテストを書くための行単位のカバレッジツール
- SonarSource 自身による頻繁なリリース
気になる点
- SonarQube Cloud か Server の契約がないとあまり役に立たない
- 書き込みツールが既定で有効で、エージェントが指摘を誤検知扱いにできる
- ワークスペースをマウントしないと、スニペット解析でファイル全体がコンテキストを通る
- Vortex 解析には有料の Enterprise アドオンと stdio が必要
- テレメトリーが既定で有効。ライセンスはソース公開型でオープンソースではない
おすすめの人
すでに SonarQube でマージを管理していて、プルリクエストを開く前にコーディングエージェントにそのゲートを通させたいチーム。
SonarQube MCP Serverの代替
SonarQube MCP Server：よくある質問
- SonarQube MCP Serverは使う価値があるか？
- マージがすでに SonarQube の品質ゲート待ちなら、エージェントがそのゲートをあなたより先に読んでくれる。SonarQube の契約がなければ得るものは少ない。 評価は5点満点中4.1点です。
- SonarQube MCP Serverの料金は？
- サーバーは無料（SONAR Source-Available License）。SonarQube Cloud は 5 万行（50k）までの非公 開プロジェクトなら無料、Team は 10 万行（100k）で月 34 ドルから。Server 各エディションはインスタンスごとの年額でコード行数に応じた見積もりのみ。Vortex は別売りのアドオン。
- SonarQube MCP Serverの欠点は？
- SonarQube Cloud か Server の契約がないとあまり役に立たない; 書き込みツールが既定で有効で、エージェントが指摘を誤検知扱いにできる; ワークスペースをマウントしないと、スニペット解析でファイル全体がコンテキストを通る; Vortex 解析には有料の Enterprise アドオンと stdio が必要; テレメトリーが既定で有効。ライセンスはソース公開型でオープンソースではない.
- SonarQube MCP Serverは誰に向いているか？
- すでに SonarQube でマージを管理していて、プルリクエストを開く前にコーディングエージェントにそのゲートを通させたいチーム。
- チームや本番環境でSonarQube MCP Serverを使うと費用はいくらか？
- サーバーは無料で、費用は SonarQube 側です。Cloud Team は非公開コード 10 万行で月 34 ドルからで、5 万行までは無料。Server はインスタンスごとの年額でコード行数に応じた見積もりとなり、ライセンス行数を超えると新しい解析は拒否されます。Vortex、Advanced Security（依存関係リスク）、Sonar のエージェントは別契約です。MCP エンドポイントのレート制限は公表されていません。
- SonarQube MCP Serverは企業データを扱っても安全か？
- ユーザートークンはそのユーザーが見られるものをすべて読め、sources ツールセットが有効なら get_raw_source で生のソースコードも読めます。ホスト型エンドポイントは Sonar のインフラで動き、OAuth スコープ mcp:tools:read と mcp:tools:write で読み取りと書き込みを分けます。自前のサーバーは TELEMETRY_DISABLED=true にしない限り匿名テレメトリーを送ります。公表されたセキュリティアドバイザリーはありません。
- SonarQube MCP Serverの代わりになるものは？
- 当サイトでレビューした中で最も近い代替はSemgrep MCP, Snyk MCP Server (Snyk Studio) 、 GitHub MCP Serverです。
回答確認日：2026年11月9日
SonarQube MCP Serverの開発元の方へ：この評価をサイトに掲載できます
