Next TokenParallel World

← ラボ / Claude Code ガイド / 連携台帳

SonarSource・開発ツール・CI/CD・海外　公式サイト
SonarQubeプラットフォームのSaaS版。コミット・ブランチ・プルリクごとにコード品質とセキュリティを自動解析し、40以上の言語・フレームワークに対応、CI/CDでクオリティゲートの合否を判定する。GitHub、Bitbucket Cloud、GitLab、Azure DevOpsと連携。

Claude Codeに、どこまで権限を渡せるか

読み取り専用で渡せるか あり
ホスト型MCP（https://api.sonarcloud.io/mcp、USは https://api.sonarqube.us/mcp）は SONARQUBE_READ_ONLY ヘッダーが既定で true（書き込みを遮断）、false で許可、SONARQUBE_TOOLSETS で使うツールセットを絞れる（置き換え式）（https://docs.sonarsource.com/sonarqube-mcp-server/setup/sonarqube-cloud-hosted.md）。注意: 公式OSS版（SonarSource/sonarqube-mcp-server）のREADMEでは SONARQUBE_READ_ONLY の既定は false で、true にすると書き込みを無効化。既定値はホスト型とローカル版で逆。
権限（スコープ）を選べるか あり
個人トークン: 発行したユーザーの権限で動き、スコープの指定は記載なし。有効期限は7/30/60/90日または1日〜1年のカスタム（期限なしは60日間未使用で自動削除）（https://docs.sonarsource.com/sonarqube-cloud/managing-your-account/managing-tokens/）。Scoped Organization Token（Team・Enterpriseプラン、組織管理者のみ作成可）: 特定プロジェクト向けに Browse / Administer projects / Execute analysis、組織全体向けに Administer organization / Execute analysis（全プロジェクト）/ Create projects and add custom access を選べ、有効期限は作成後に変更不可。ホスト型MCPがこのトークンを受け付けるかは記載なし（ホスト型ページは user token と記載）。
危険な操作の既定
書き込み系は既定で無効（ホスト型は SONARQUBE_READ_ONLY=true）。false にしたときの確認プロンプトの記載はなし。ホスト型は重い解析ツールとIDEブリッジのツールが無効。
削除ができるか 未確認
ホスト型MCPのツールセット（analysis, coverage, dependency-risks, duplications, quality-gates, issues, measures, projects, rules, security-hotspots）に削除の記載なし。Web API（v1 https://sonarcloud.io/web_api、v2 https://api.sonarcloud.io）には管理者向けの操作があるが、削除エンドポイントの有無は本文を読めておらず未確認。スコープ「Administer projects」「Administer organization」の具体的な範囲に削除が含まれるかも記載なし。
取り消し方（キー・接続）
個人トークン: My account > Access tokens > Personal Tokens で Revoke。エージェントアプリ用トークン: My account > Access Tokens > Agent Apps で Revoke（作成の無効化も可）。Scoped Organization Token: Actions メニューから Revoke（取り消すと自動的に削除）。ユーザーを削除するとそのユーザーのトークンも削除される。

根拠のページ

つなぎ方（公式の資料にある範囲）

公式MCP あり

SonarQube Cloudに埋め込みのホスト型MCPエンドポイント（インストール不要・Docker不要、ツールは固定の一部のみ）。ツールセットは analysis, coverage, dependency-risks, duplications, quality-gates, issues, measures, projects, rules, security-hotspots。SONARQUBE_READ_ONLY の既定はホスト型では true で、false にすると書き込み操作が可能。一方、公式OSS版（https://github.com/SonarSource/sonarqube-mcp-server、SonarSource組織、READMEに「Official」と記載、ローカル・自己ホスト用）のREADMEでは既定が false（true で書き込み無効）。HTTPモードではクライアントが SONARQUBE_READ_ONLY ヘッダーでさらに絞れるが、サーバー側の制限は外せない。製品ページでは課題のステータス更新・誤検知マークができるとされる。Sonar Vortex、IDEブリッジのツール、重い解析ツールはホスト型では使えない。

つなぎ方（公式の記載）
設定ジェネレーター（mcp.sonarqube.com）で設定を生成するか、mcp.json に手動追記する。Claude Code用のコマンドはホスト型のページには記載なし（公式ページはClaude Codeを対応クライアントとして列挙）。エンドポイントは https://api.sonarcloud.io/mcp（USリージョンは https://api.sonarqube.us/mcp）、SONARQUBE_ORG ヘッダーに組織キー。

根拠のページ

公式CLI あり

SonarQube CLI（sonarqube-cli）。シークレットのスキャン（pre-commitフック可）、Gitフック、課題の検索（JSON／TOON出力）、Claude Code連携、MCPサーバーの提供、SonarQube A3S APIによるコード解析など。トークンはOSキーチェーンに保存。

根拠のページ

公式API あり

公式の Web API ページに記載がある。v1: https://sonarcloud.io/web_api（EU）、https://sonarqube.us/web_api（US）。v2: https://api.sonarcloud.io（EU）、https://api.sonarqube.us（US）で、v2は v1を順次置き換えるとある。v2のドキュメントは https://api-docs.sonarsource.com/sonarqube-cloud/default/landing（「一部の機能はまだv2に無い」と記載）。認証は SonarQube Cloud のトークンを Authorization: Bearer で送る。一部のAPIにレート制限があり、超えるとHTTP 429。削除エンドポイントの有無は本文を読めず未確認。

根拠のページ

第三者製MCP（公式ではない） 2件

  • lukleh/mcp-sonarcloud（作者: lukleh（GitHubユーザー）・最終更新: 不明（リポジトリのページに日付の表示なし。コミット数は37））
    書き込み・削除: 書き込みあり（変更はセキュリティホットスポットのステータス変更のみ）。削除の記載なし。
    READMEによると15ツール。プロジェクト・課題・品質ゲート・ホットスポットの検索や取得が中心で、change_hotspot_status がホットスポットの状態を変更する（POST）。MITライセンス。
    https://github.com/lukleh/mcp-sonarcloud
  • lahma/sonarqube-mcp（作者: lahma（GitHubユーザー）・最終更新: 不明（リポジトリのページに日付の表示なし。コミット数は11））
    書き込み・削除: 書き込みあり（課題の遷移・担当割り当て・コメント追加・ホットスポットのレビュー・最大500件の一括更新）。READMEは削除は行わないとしている。
    SonarQube Cloud向け、.NETのNative AOTバイナリ。READMEは読み取り18・書き込み5ツールと記載（リポジトリの説明文は『15 read + 4 write』で食い違い）。環境変数 SONARQUBE_MCP_READ_ONLY=1 で書き込みツールを登録しない（既定は0）。
    https://github.com/lahma/sonarqube-mcp

第三者製のMCPは、サービスの運営元が作ったものではありません。作者と中身を確かめてから使うかどうかを決めてください。ここに載せているのは、公式のレジストリやGitHubで見つかったものを、書かれている範囲でまとめたもので、おすすめではありません。

探した場所（3件）

できる操作

読み取りでできる操作

  • 【MCP】プロジェクト、メジャー（指標）、クオリティゲート状態、課題、セキュリティホットスポット、ルール、カバレッジ、重複、依存関係リスクの参照
  • 【CLI】プロジェクト・プルリクの課題一覧、ファイルのシークレットスキャン
  • 【MCP】analyze_code_snippet などのコード解析ツール（製品ページの記載。解析であり、write とは書かれていない）

書き込みでできる操作

  • 【MCP】SONARQUBE_READ_ONLY=false のとき書き込み操作が可能（製品ページは課題ステータスの更新・誤検知マークを記載）
  • 【MCP】公式OSS版（ローカル）のREADMEの説明文から状態を変えると読み取れるツール: change_sonar_issue_status、change_security_hotspot_status、create_webhook、toggle_automatic_analysis、start_agentic_readiness_assessment（READMEは read/write のラベルを付けておらず、説明文からの推定。ホスト型で使える範囲は固定の一部のみで、どれが含まれるかは未確認）

管理者操作（削除・課金・設定変更など）

  • 【MCP】ホスト型で使えるツールは固定の一部のみ。管理者向け操作の記載は読めていない
  • 【API／CLI】プロジェクト削除・権限変更などの管理操作は未確認
  • 【トークン】Scoped Organization Token（Team・Enterprise、組織管理者のみ作成）に、プロジェクト別 Browse / Administer projects / Execute analysis、組織全体 Administer organization / Execute analysis / Create projects and add custom access がある。ホスト型MCPは「user token」と記載しており、このトークンを受け付けるかは記載なし

制限

  • ホスト型MCPはツールセットが固定で拡張できない。Sonar Vortexなどはローカル（stdio）のMCPサーバーが必要
  • SonarQube Serverで使う場合は2026.3以降で拡張として提供
  • 課金はプライベートプロジェクトのLOC基準
注意
  • SONARQUBE_READ_ONLYの既定はホスト型が true、公式OSS版（ローカル・自己ホスト）は false。false にしたとき（OSS版では既定のとき）に書き込み操作が可能になる。課題のステータス変更などが取り消せるか、確認が入るかは公式ページに記載なし。
  • SONARQUBE_TOOLSETSは既定を置き換えるため、指定すると他のツールセットは使えなくなる。

認証・料金・日本語・実機検証

認証方式
MCP（ホスト型）: SonarQube ユーザートークンを Bearer で送信（OAuthの記載なし）。CLI: ログインでトークンをOSキーチェーンに保存
公表されている料金（2026年10月16日確認）
Free: 無料（プライベート50k LOCまで）／Team: 月額$34〜（100k LOCまで、14日トライアル）／Enterprise: 要問い合わせ（通貨コード記載なし、2026-10-16確認）。同ページのFAQでは「月額$32〜（以前は$65）」とあり数字が食い違う。どちらが現在かは公式に記載なし。SonarQube MCP Server は料金ページで「Open source and free」と別枠。ホスト型MCPの必要プランは公式に記載なし 料金ページ
日本語対応
あり。公式サイトに日本語ページ（www.sonarsource.com/jp/products/sonarqube/cloud/）があり、タイトル・本文とも日本語。ドキュメント（docs.sonarsource.com/sonarqube-cloud/）の日本語提供と管理画面の日本語対応は、このページに記載がなく未確認。
Claude Code実機検証
未検証（この台帳は、動かして確かめた記録ではありません。Akiraが試したときは、検証日つきで書き換えます）
確認できていない点（13件）
  • Web API v2 の本文（API groups・削除エンドポイントの有無。v2ドキュメントはメタ情報のみ読めた）
  • ホスト型MCPの Tools ページと環境変数ページの全文（Referenceは目次のみ読了）、OSS版READMEのツールに read/write の公式ラベルがないこと
  • Claude Code用の追加コマンド（ホスト型ページには無し。IDE/CLIクイックスタートは未読）
  • ホスト型MCPがScoped Organization Tokenを受け付けるか（ホスト型ページは user token と記載）
  • ホスト型MCPの必要プラン（公式に記載なし）
  • 日本語ドキュメント・管理画面
  • 第三者製MCPは探していない
  • 料金ページの $34 と FAQ の $32（以前は $65）のどちらが現在か（公式に記載なし）
  • official_cli（sonarqube-cli）は今回の確認でも開き直していない
  • 2026-10-17再確認で残った点: ja（検索結果にsonarsource.com/jp/ 配下の製品ページがあることは分かったが、ドキュメント・管理画面の日本語は開いて確かめていない）
  • 2026-10-17再確認で残った点: third_party_mcp の updated（GitHubページに最終更新日が出なかった）
  • 2026-10-17再確認で残った点: ja: ドキュメントと管理画面の日本語の有無
  • 2026-10-17再確認で残った点: third_party_mcp の updated は今回調べていない
出典（14件）

この台帳は、公式の資料を読んだ範囲のことで、動かして確かめたものではありません。確認日: 2026年10月16日。

ラボの資料は、公式の文書を読んでまとめたもので、実際に使って確かめた記録ではありません。日付や仕様は変わるので、使う前に各ページの出典で確かめてください。事実と「僕らの見立て」は、分けて書いています。