O que é SonarQube MCP Server?
O SonarQube MCP Server é o servidor oficial da SonarSource para ligar agentes de IA ao SonarQube Cloud e ao SonarQube Server. O repositório é SonarSource/sonarqube-mcp-server (não existe um sonar-mcp-server separado); a versão 1.31.0 saiu em 2 de novembro de 2026. Ele permite que um agente busque issues e Security Hotspots, confira o quality gate de um projeto, leia dados de cobertura, duplicação e riscos de dependências e rode os analisadores da Sonar em um arquivo antes do commit.
Você pode rodá-lo por conta própria como o contêiner sonarsource/sonarqube-mcp via stdio ou Streamable HTTP ou, desde março de 2026, apontar um cliente HTTP para o endpoint hospedado embutido no SonarQube Cloud em https://api.sonarcloud.io/mcp. O servidor é gratuito, sob a SONAR Source-Available License (código disponível, não livre), mas só é tão útil quanto o plano do SonarQube por trás dele.
Como instalar SonarQube MCP Server
docker run --init -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_ORG sonarsource/sonarqube-mcp (or https://api.sonarcloud.io/mcp)SonarQube MCP Server vale a pena?
O SonarQube MCP Server vale a instalação para qualquer time que já aprova pull requests pelo SonarQube, e é quase inútil para quem não faz isso. O valor está em o agente enxergar as mesmas issues, regras e o mesmo veredito de quality gate que a sua CI vai aplicar, e poder corrigir um gate que está falhando antes de abrir o pull request. O README documenta 51 ferramentas em 20 conjuntos, de search_sonar_issues_in_projects e get_project_quality_gate_status a consultas de cobertura que listam exatamente as linhas não cobertas.
A análise é a parte que precisa ser entendida. A ferramenta padrão, analyze_code_snippet, roda os analisadores da Sonar em um arquivo, mas o agente precisa enviar o arquivo inteiro como argumento, o que gasta contexto a cada chamada; montar o projeto no contêiner em /app/mcp-workspace faz o servidor ler os arquivos do disco. A análise Vortex, mais profunda, e as ferramentas de contexto de código (grafos de chamadas, hierarquias de tipos, checagem de dependências) só funcionam via stdio, exigem a montagem do workspace e uma organização com direito ao complemento Vortex, que a tabela de preços da Sonar coloca para clientes Enterprise.
O endpoint hospedado no Cloud dispensa o Docker, mas corta ferramentas: a documentação da Sonar diz que ele expõe "um subconjunto menor e fixo de ferramentas", desliga análises pesadas para proteger a infraestrutura compartilhada e não roda Vortex. O login por OAuth funciona ali para uma lista aprovada de clientes, entre eles Claude Code, Codex, Cursor, VS Code e ChatGPT; servidores próprios ainda precisam de um token de usuário do SonarQube, e o SonarQube Server precisa ser 2025.1 ou posterior.
O problema: as ferramentas de escrita ficam ligadas a menos que você defina SONARQUBE_READ_ONLY=true, então um agente pode marcar uma issue como falso positivo ou aceitar um Security Hotspot, justamente o atalho que um modelo pressionado a passar num gate poderia tomar. O servidor próprio também envia por padrão telemetria de uso anônima para a SonarSource (sem código-fonte, segundo o README) até você definir TELEMETRY_DISABLED=true, e issues abertas relatam que todas as chamadas falham até o servidor ser reiniciado depois que a instância do SonarQube reinicia.
Nossa opinião: rode em modo somente leitura e deixe o quality gate da CI ser a palavra final. Para um time sem contrato com a Sonar, o servidor do Semgrep encaixa melhor, porque o motor gratuito dele funciona sozinho.
Onde ele se destaca
Um time Java de 15 desenvolvedores no SonarQube Cloud Team
Impedir que pull requests escritos pelo agente falhem no quality gate
O agente chama get_project_quality_gate_status e search_sonar_issues_in_projects no seu branch, corrige o que encontra e só então abre o pull request. Com SONARQUBE_READ_ONLY=true, ele corrige o código em vez de fechar issues. Não custa nada além do plano Team, a partir de US$ 34 por mês para 100 mil linhas.
Uma engenheira encarregada de aumentar a cobertura de um módulo legado
Escrever testes para as linhas que ninguém cobriu
search_files_by_coverage lista os arquivos com pior cobertura e get_file_coverage_details traz as linhas e ramificações exatas não cobertas, então o agente escreve testes direcionados em vez de chutar.
Um gerente de engenharia em um banco que proíbe Docker local
Dar aos desenvolvedores os achados da Sonar no assistente de IA sem instalar nada
Aponte o Claude Code ou o VS Code para https://api.sonarcloud.io/mcp e entre com OAuth. O servidor hospedado tem menos ferramentas e nenhuma análise pesada, mas não exige implantação nem gestão de tokens nos notebooks.
Antes de decidir
- Configuração
- docker run --init -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_ORG sonarsource/sonarqube-mcp, com configurações documentadas para Claude Code, Codex, Cursor, Copilot, Gemini CLI, Kiro, VS Code, Windsurf e Zed e um gerador de configuração em mcp.sonarqube.com; ou o endpoint hospedado https://api.sonarcloud.io/mcp (https://api.sonarqube.us/mcp para a região dos EUA).
- Integrações
- 51 ferramentas em 20 conjuntos: issues, Security Hotspots, quality gates, regras, métricas, cobertura, duplicações, riscos de dependências, código-fonte, webhooks, portfólios e administração do Server, além de ferramentas de contexto Vortex e de arquitetura. Entre as de escrita estão change_sonar_issue_status, change_security_hotspot_status e create_webhook; SONARQUBE_TOOLSETS e SONARQUBE_READ_ONLY reduzem a lista.
- Dados e privacidade
- Um token de usuário lê tudo o que esse usuário pode ver, inclusive o código-fonte bruto via get_raw_source se o conjunto sources estiver ligado. O endpoint hospedado roda na infraestrutura da Sonar; os escopos OAuth mcp:tools:read e mcp:tools:write separam leitura e escrita. Servidores próprios enviam telemetria anônima, a menos que TELEMETRY_DISABLED=true. Nenhum alerta de segurança publicado.
- Custo em escala
- O servidor é grátis; a conta é do SonarQube. O Cloud Team começa em US$ 34 por mês para 100 mil linhas de código privado e é grátis até 50 mil; o Server é cotado por instância por ano conforme as linhas de código, e acima das linhas licenciadas novas análises são rejeitadas. Vortex, Advanced Security (riscos de dependências) e os agentes da Sonar são assinaturas extras. A Sonar não publica limites de taxa para o endpoint MCP.
- Limites
- O endpoint hospedado tem um conjunto fixo e menor de ferramentas e não tem Vortex; OAuth ainda não é suportado no SonarQube Server; mínimo Server 2025.1 ou Community Build 25.1; conexões com o Server exigem token USER, não tokens de projeto ou globais. Issues abertas relatam chamadas que falham para sempre depois que a instância do SonarQube reinicia.
O que é bom
- Mesmas issues, regras e quality gate da sua CI com SonarQube
- Endpoint hospedado no Cloud com OAuth, sem Docker
- Modo somente leitura e filtro por conjunto de ferramentas para poupar contexto
- Ferramentas de cobertura linha a linha para escrever os testes que faltam
- Lançamentos frequentes da própria SonarSource
O que não é
- Pouco útil sem assinatura do SonarQube Cloud ou Server
- Ferramentas de escrita ligadas por padrão; um agente pode marcar achados como falsos positivos
- A análise de trechos passa arquivos inteiros pelo contexto se você não montar o workspace
- A análise Vortex exige um complemento Enterprise pago e stdio
- Telemetria ligada por padrão; licença de código disponível, não open source
Ideal para
Times que já aprovam merges pelo SonarQube e querem que o agente de código passe nesse gate antes de abrir um pull request.
Alternativas ao SonarQube MCP Server
SonarQube MCP Server: perguntas frequentes
- SonarQube MCP Server vale a pena?
- Se os seus merges já esperam um quality gate do SonarQube, o agente passa a ler esse gate antes de você; sem assinatura do SonarQube, ele oferece pouco. Damos nota 4.1 de 5.
- Quanto custa SonarQube MCP Server?
- Servidor gratuito (SONAR Source-Available License). SonarQube Cloud grátis para projetos privados de até 50 mil linhas de código; Team a partir de US$ 34/mês para 100 mil linhas; edições do Server cobradas por instância por ano conforme as linhas de código, só sob cotação; Vortex é um complemento à parte.
- Quais são as desvantagens de SonarQube MCP Server?
- Pouco útil sem assinatura do SonarQube Cloud ou Server; ferramentas de escrita ligadas por padrão; um agente pode marcar achados como falsos positivos; a análise de trechos passa arquivos inteiros pelo contexto se você não montar o workspace; a análise Vortex exige um complemento Enterprise pago e stdio; telemetria ligada por padrão; licença de código disponível, não open source.
- Para quem SonarQube MCP Server é indicado?
- Times que já aprovam merges pelo SonarQube e querem que o agente de código passe nesse gate antes de abrir um pull request.
- Quanto custa SonarQube MCP Server para uma equipe ou em produção?
- O servidor é grátis; a conta é do SonarQube. O Cloud Team começa em US$ 34 por mês para 100 mil linhas de código privado e é grátis até 50 mil; o Server é cotado por instância por ano conforme as linhas de código, e acima das linhas licenciadas novas análises são rejeitadas. Vortex, Advanced Security (riscos de dependências) e os agentes da Sonar são assinaturas extras. A Sonar não publica limites de taxa para o endpoint MCP.
- SonarQube MCP Server é seguro para dados da empresa?
- Um token de usuário lê tudo o que esse usuário pode ver, inclusive o código-fonte bruto via get_raw_source se o conjunto sources estiver ligado. O endpoint hospedado roda na infraestrutura da Sonar; os escopos OAuth mcp:tools:read e mcp:tools:write separam leitura e escrita. Servidores próprios enviam telemetria anônima, a menos que TELEMETRY_DISABLED=true. Nenhum alerta de segurança publicado.
- Quais são as melhores alternativas ao SonarQube MCP Server?
- As alternativas mais próximas que analisamos são Semgrep MCP, Snyk MCP Server (Snyk Studio) e GitHub MCP Server.
Respostas verificadas em 9 de nov. de 2026.
Você faz o SonarQube MCP Server? Mostre esta nota no seu site
