SonarQube IDE（旧 SonarLint）の Connected Mode とは｜チームで同じルールで解析する
Connected Mode とは：個人の IDE の解析をチームの基準に揃える仕組み
Connected Mode とは、SonarQube IDE（旧 SonarLint）をサーバーに接続する仕組みです。接続先は、SonarQube Server または SonarQube Cloud です。接続すると、IDE の解析がサーバーと同じルール・同じ判断で動きます。つまり、ルールの配布も「これは誤検知」という判断の共有も、サーバー側で一元化されます。そのため開発者は、いま書いているコードに集中できます。
日本は Sonar 製品のダウンロード数で世界第 2 位と言われています。一方で、その多くは SonarQube IDE を個人の IDE に入れただけのスタンドアロン利用です。本記事の対象は、すでに SonarLint（現 SonarQube IDE）を使っている開発者と管理者です。Connected Mode で何が変わり、どこまで広がるかを整理します。
この記事でわかること
- Connected Mode で SonarLint（SonarQube IDE）の解析がどう変わるか
- 接続先のサーバーで IDE に届く情報がどう広がるか（脆弱性、ブランチ同期など）
- 組織で「新しいコードの品質」を守る仕組み（Quality Gate・PR 分析）
- スタンドアロン／Connected Mode の比較表と、最小の導入手順
SonarQube IDE（旧 SonarLint）とは：名前は変わったが中身は同じ
SonarQube IDE は、Sonar 社が無償で提供する IDE 拡張です。正式名称は SonarQube for IDE です。また、対応 IDE は VS Code、JetBrains 製 IDE、Visual Studio、Eclipse です。さらに、Cursor や Windsurf などの AI 系エディタでも動作します。スペルチェッカーのように、入力中のコードのバグ・脆弱性・コードスメルを波線で示し、その場で修正を促します。
SonarLint という名前で覚えている方も多いはずです。実は、Sonar 社は 2024 年 10 月 29 日に製品名を SonarQube ブランドへ統一しました（プレスリリース）。拡張機能そのものは同じで、マーケットプレイス上の名前が変わっただけです。本記事では、読みやすさのため「SonarQube IDE」と表記します。
スタンドアロンモードと Connected Mode：SonarLint の 2 つの動作モード
SonarQube IDE には 2 つの動作モードがあります。1 つは、サーバーなしで IDE 内蔵のルールだけで解析するスタンドアロンモードです。もう 1 つは、サーバーに接続する Connected Mode です。接続先は SonarQube Server / Cloud / Community Build です。ちなみに、拡張を入れただけの状態はスタンドアロンモードです。国内で「SonarLint は使っている」という現場の多くが、この状態にとどまっています。
弊社の動画でも SonarQube IDE を紹介しています（該当部分から再生されます）。また、SonarQube IDE のリアルタイム SAST 解析を解説した記事もあわせてご覧ください。
スタンドアロンの SonarLint 利用で起きる 5 つの「あるある」
スタンドアロンモードの指摘は正確で、個人の生産性には十分役立ちます。しかし、効果が個人の IDE の中で完結してしまいます。チームや組織で見ると、次のような状態になりがちです。
1. SonarLint のルールが人によってバラバラ
スタンドアロンでは、有効にするルールを各開発者が IDE の設定で決めます。そのため、同じリポジトリでも A さんの IDE では指摘されるコードが、B さんの IDE では指摘されません。結果として、コードレビューで「うちの基準」が揃わず、議論が個人の好みの話になります。
2. 「これは誤検知」という判断が共有されない
ある指摘を「今回は受け入れる」「誤検知だ」と判断しても、その判断は本人の IDE にしか残りません。一方、隣の開発者の画面では、同じ箇所が赤いままです。その結果、指摘がノイズ化し、波線を無視する習慣がついてしまいます。
3. IDE 単体では見つからない問題がある
まず、Security Hotspot のローカル検出は、Connected Mode でのみ有効です。さらに、SQL インジェクションなどのインジェクション脆弱性は IDE 単体では検出できません。複数のファイルや関数をまたいで、データの流れを追う必要があるからです。つまり、スタンドアロンで「警告ゼロ」でも、こうした問題は見逃されています。
4. ローカルの SonarLint では OK なのに CI で落ちる
IDE のルールと CI 側の SonarQube のルールが、別々に管理されているケースです。この場合、手元では問題なしでも、パイプラインの Quality Gate で止まります。すると「後から直す」コストが積み上がり、開発者は IDE の指摘を信用しなくなります。
5. 管理者からは何も見えない
誰がどのルールで解析しているか、技術的負債がどれだけ減ったかは、スタンドアロンでは集計できません。つまり、ツールは入っているのに、組織として「品質が上がった」と説明できない状態です。
（筆者メモ：ここに実際のお客様先で聞いた事例を 1〜2 行入れると、記事の説得力が上がります）
Connected Mode の仕組み：SonarLint（SonarQube IDE）をサーバーにつなぎ、チームの基準で解析する
Connected Mode は、SonarQube IDE をサーバーに接続する仕組みです。接続先は SonarQube Server / Cloud / Community Build のいずれかです。接続時に、手元のプロジェクトをサーバー上のプロジェクトに対応づけます。接続すると、IDE はサーバーで定義された Quality Profile（ルールセット）を受け取ります。さらに、ファイル除外などの設定や、Issue の判断（Accepted / False Positive）も同期されます。その結果、できるだけサーバーと同じ条件で解析するようになります。
押さえておきたいのは、情報の流れが基本的にサーバー → IDE の一方向だということです。IDE のローカル解析結果がサーバーに登録されることはありません。プロジェクト全体の解析結果をサーバーに登録するのは、CI/CD パイプラインから実行するスキャナーの役割です。このように Connected Mode は、「開発者の手元の解析を、チームの基準に揃える」ための仕組みです。
接続先は SonarQube Server・Cloud・Community Build の 3 種類
接続先は 3 種類あり、Connected Mode の設定自体に費用はかかりません（公式ドキュメント）。
- SonarQube Community Build：無償のセルフホスト版。Connected Mode の基本機能はすべて使えます。
- SonarQube Server（Developer Edition 以上）：有償のセルフホスト版。ブランチ分析やインジェクション脆弱性の検出が加わります。
- SonarQube Cloud：SaaS 版。公開リポジトリは無料、プライベートリポジトリは無料枠と有償プランがあります。
Connected Mode で変わること：無償の Community Build でも SonarLint はここまでできる
まず強調したいのは、ここに挙げる機能が無償の Community Build に接続しても使えることです。前のセクションの「あるある」のうち 1・2・4・5 は、Connected Mode を有効にするだけで解決に向かいます。
ルール（Quality Profile）を管理者が配布できる
サーバー側で Quality Profile を定義すると、接続した全員の IDE に同じルールが適用されます。ルール説明のカスタマイズ、ファイル除外、解析パラメータも同期されます。そのため、「どのルールを有効にするか」を開発者が個別に設定する必要がなくなります。つまり、管理者は Quality Profile を 1 か所で更新するだけで、全開発者の IDE に反映できます。
チームの判断（Accepted / False Positive）が IDE に反映される
サーバーで Accepted や False Positive にした Issue は、各開発者の IDE から自動的に消えます。なお、SonarQube Server 10.4 以降では、従来の Won’t Fix が Accept に置き換わっています。一度チームで下した判断が全員の画面に伝わるので、指摘がノイズ化しません。
New Code（新しいコード）に集中できる
IDE の検出を新規・変更コードに絞る「Focus on new code」が使えます。なお、基準はサーバーで定義した New Code の期間や条件に従います。そのため、古いコードの指摘に埋もれず、いま書いているコードをクリーンに保つことに集中できます。これは Sonar が提唱する Clean as You Code の考え方を、開発者個人のレベルで実践するものです。
Security Hotspot のローカル検出が有効になる
Security Hotspot の IDE でのローカル検出は、Connected Mode のときだけ有効です。また、検出したホットスポットはサーバー側の結果と突き合わされます。さらに、IDE から Safe / Fixed のレビュー状態を変更することもできます。
サーバーの Issue から IDE の該当行へジャンプ（Open in IDE）
さらに、SonarQube Server 10.3 以降または SonarQube Cloud では、Open in IDE ボタンが使えます。ブラウザ上の Issue 画面から、IDE の該当行を直接開けるボタンです。つまり、「あの指摘、どのファイルだっけ」と探す時間がなくなります。
スマート通知で Quality Gate の変化を知る
まず、開いているプロジェクトの Quality Gate の状態が変わったとき、IDE に通知が届きます。また、自分の変更から CI の解析で新しい Issue が見つかったときや、Quality Profile が更新されたときも同様です。なお、スマート通知は SonarQube の全エディションで利用できます。
接続設定をリポジトリで共有し、チーム展開を一度で済ませる
最初の 1 人が接続の設定を済ませ、設定ファイルをエクスポートしてリポジトリにコミットします。すると、ほかのメンバーは SonarQube IDE でそのプロジェクトを開くだけで接続を提案されます。そのため、管理者が各開発者の IDE を個別に設定して回る必要はありません。
管理者が「誰が SonarLint を使っているか」を把握できる
さらに、SonarQube Server の管理画面（Administration > Security > Users）には、各ユーザーの最終接続日時が表示されます。SonarQube IDE から最後に接続した日時です。そのため、拡張を配布したあとに実際に使われているかを管理者が確認できます（Connected Mode 製品ページの FAQ）。
Connected Mode をさらに活かす：接続先のサーバーで SonarLint に届く情報が広がる
Connected Mode の良いところは、IDE 側の設定を変えなくても、IDE に届く情報が増えることです。接続先のサーバーが解析できる範囲が広がるほど、そのまま IDE に反映されます。例えば、IDE 単体では見つけられないインジェクション脆弱性も、サーバーが解析していれば IDE に届きます。ここからは、接続先が Developer Edition 以上のときに IDE で使えるようになる機能を紹介します。対象は SonarQube Server の Developer Edition 以上、または SonarQube Cloud の有償プランです。
1. インジェクション脆弱性（Taint Vulnerability）が IDE に届く
SQL インジェクション、XSS、コマンドインジェクション、パストラバーサルなどは、IDE 単体では検出できません。外部入力（source）から危険な処理（sink）までのデータの流れを、関数やファイルをまたいで追跡する必要があるからです。そのため、SonarQube IDE はサーバーのプロジェクト解析結果から脆弱性を取得して表示します。なお、検出できるのは SonarQube Server の Developer Edition 以上と SonarQube Cloud です。Community Build にはこの機能がありません。
開発者は IDE 上で脆弱性の一覧を見て、source から sink までのデータフローを該当行ごとにたどりながら修正できます。つまり、「セキュリティ診断で指摘されてから直す」のではなく、「コードを書いている画面で脆弱性に気づく」状態になります。なお、対象言語は Java、C#、JavaScript、TypeScript などです。あわせて、Python と Java では実行時エラーにつながる高度なデータフローバグの検出も加わります。
2. ブランチを意識した同期（Branch awareness）
Connected Mode の IDE は、チェックアウト中のブランチに最も近い解析済みブランチをサーバー上で選びます。そして、そのブランチの Issue ステータスを同期します。ところが、Community Build が解析できるのはメインブランチだけです。そのため、フィーチャーブランチで作業中は常にメインブランチの結果にフォールバックし、ブランチ固有の判断は IDE に届きません。Developer Edition のブランチ分析を有効にすると、作業中のブランチ単位で同期されます（プルリクエスト解析との同期は現時点では未対応です）。
3. 対応言語が広がる
Developer Edition では、C、C++、Objective-C、Swift、Dart/Flutter、ABAP が追加されます。また、T-SQL、PL/SQL、YAML、JSON、Ansible、GitHub Actions も対象です。さらに Enterprise Edition では、Apex、COBOL、JCL、PL/I、RPG、VB6 が加わります（公式ダウンロードページ）。
さらに IDE 側でも、Connected Mode によって Apex、COBOL、PL/SQL、T-SQL のルールが解放されます。例えば、基幹系や組み込み系で PL/SQL や C/C++ を扱う現場では、これだけで導入理由になることがあります。
4. より強力なシークレット検出
まず、Community Build とスタンドアロンの SonarQube IDE が検出できるのは、一般的な公開サービスの秘密情報に限られます。一方、Developer Edition では 200 を超える商用・エンタープライズ向けサービスの API キーやパスワードを検出できます。さらに Enterprise Edition では、自社サービス固有のシークレットパターンをカスタムルールとして追加できます。
5. AI 時代の品質保証：AI Code Assurance と AI CodeFix
まず、Developer Edition 以上には AI Code Assurance が含まれます。AI 生成コードを含むプロジェクトを識別し、より厳しい品質基準を適用する機能です。また、Enterprise Edition 以上では AI CodeFix が使えます。Connected Mode の IDE から「Generate Fix」を選ぶと、修正案が diff 形式で提示され、そのまま適用できます。
Cursor や Windsurf などの AI エディタでも SonarQube IDE は動作します。そのため、AI が書いたコードをその場で検証・修正する流れを作れます（Sonar 公式ブログ：エディション比較）。AI 生成コードの検証については、SonarQube と Claude Security で AI コードを検証する記事も参考になります。
6. 商用サポートが受けられる
Community Build のサポートはコミュニティフォーラムのみです。一方、Developer Edition 以上では Sonar 社の商用サポートが利用できます。さらに Enterprise Edition 以上では、24 時間 365 日のプレミアムサポートも選べます。社内の基盤として SonarQube を運用するなら、問い合わせ先があることは管理者にとって大きな安心材料です。
組織レベルの品質管理：New Code の Quality Gate を CI/CD で強制する
ここまでは、開発者の IDE から見た話でした。一方、管理者の視点で見ると、SonarQube Server の価値は別のところにあります。「古いコードの負債」と「新しいコードの品質」を分けて可視化し、新しいコードに基準を強制できることです。
Clean as You Code：古いコードは直さなくていい
SonarQube の考え方は、既存コードの負債を一気に返済することではありません。New Code（直近の変更分）をクリーンに保ち続ければ、コードベースは時間とともに自然に改善していく。これが Clean as You Code の思想です。
Quality Gate（品質ゲート）は New Code に対して、「新しいバグはゼロか」「カバレッジは基準以上か」といった条件を判定します。IDE の Focus on new code と同じ New Code 定義をサーバーが持っているので、開発者と管理者が同じ物差しで会話できます。巨大な既存コードへの適用については、レガシーコードに SAST を導入する記事で詳しく説明しています。
Community Build でできること：メインブランチの Quality Gate
まず、Community Build でも Quality Gate は使えます。CI でメインブランチを解析し、基準を満たさなければパイプラインを失敗させることが可能です。また、技術的負債の量やメトリクスの履歴も、ダッシュボードで追えます。ただし、解析できるのはメインブランチだけです。そのため、問題が見つかるのは「マージされたあと」になります。
Developer Edition で変わること：マージ前に止める
一方、Developer Edition では、フィーチャーブランチとプルリクエストを解析します。そして、Quality Gate の合否をプルリクエスト画面にコメント表示します。GitHub / GitLab / Bitbucket / Azure DevOps に対応しています。
さらに、ブランチ保護ルールと組み合わせれば、「Quality Gate 不合格の PR はマージできない」という強制ロックが実現します。つまり、メインブランチには基準を満たしたコードしか入らず、常にリリース可能な状態を保てます。さらに、複数のプロジェクトをアプリケーションとして束ね、サービス単位で状態を見ることもできます。
Enterprise Edition で変わること：経営層・監査に説明できる
例えば、複数の部門や事業にまたがる場合は、Enterprise Edition のポートフォリオで組織単位に集約し、経営層向けの PDF レポートを出せます。また、OWASP Top 10、CWE Top 25、PCI DSS、OWASP ASVS に対するセキュリティレポートも出せます。リリースの品質を記録する監査レポートも用意されています。さらに解析の並列処理に対応するため、Community Build のように解析が 1 件ずつ順番待ちになることもありません。
開発者にとっての Connected Mode と、管理者にとっての Quality Gate・PR 分析は、同じサーバーの両面です。IDE で「新しいコードをクリーンに」、パイプラインで「基準未達はマージさせない」。この 2 つが揃って初めて、組織として品質を数値で示せます。段階的な導入の進め方は、SAST 導入で失敗する 3 つの理由と対策の記事にまとめています。
比較表：SonarLint のスタンドアロン／Connected Mode（Community Build）／Developer Edition 以上
SonarLint（SonarQube IDE）側と管理側の違いを 1 枚にまとめました。「○」は使える機能、「△」は制約付きです。
| 機能 | スタンドアロン | Connected Mode + Community Build | Connected Mode + Developer Edition 以上 IDE に届く情報がもっとも広い |
|---|---|---|---|
| 入力中のリアルタイム解析 | ○ | ○ | ○ |
| ルール（Quality Profile）の一元配布 | ×（個人設定） | ○ | ○ |
| Accepted / False Positive の同期 | × | ○ | ○ |
| New Code への集中（サーバー定義） | × | ○ | ○ |
| Security Hotspot のローカル検出 | × | ○ | ○ |
| Open in IDE・スマート通知 | × | ○ | ○ |
| 接続設定のリポジトリ共有 | − | ○ | ○ |
| インジェクション脆弱性の IDE 表示 | × | × | ○ |
| ブランチ単位の Issue 同期 | × | △（メインブランチのみ） | ○ |
| 追加言語（C/C++、PL/SQL など） | × | × | ○（エディションによる） |
| シークレット検出 | 基本のみ | 基本のみ | 商用サービスも対応 |
| AI CodeFix（IDE 内で修正案を生成） | × | × | Enterprise 以上 |
| ブランチ／PR 分析と PR コメント | − | × | ○ |
| Quality Gate で CI を止める | − | △（メインブランチのみ） | ○（全ブランチ・PR） |
| ポートフォリオ・セキュリティレポート | − | × | Enterprise 以上 |
| 商用サポート | × | ×（コミュニティのみ） | ○ |
| 費用 | 無料 | 無料 | LOC に応じた年額ライセンス |
出典（SonarLint・SonarQube の公式情報）
出典：Sonar 公式ブログ（エディション比較）、SonarQube for IDE 公式ドキュメント（Connected mode）、SonarQube ダウンロードページ。2026 年 10 月時点。
Connected Mode 導入の流れ：SonarLint（SonarQube IDE）をサーバーにつなぐ 6 ステップ
※ 2026 年 10 月時点の Sonar 公式ドキュメントに基づきます。料金や対応言語は変わるため、最新は公式サイトでご確認ください。
すでに SonarLint（SonarQube IDE）を使っているチームなら、追加するのはサーバーと設定だけです。まず無償の Community Build から始め、必要になった時点で Developer Edition に進む段階的な進め方ができます。
サーバー側の準備（ステップ 1〜3）
- サーバーを用意する：Community Build（無料）か、有償エディションの 14 日間無料トライアルを立てます。Docker イメージが公式に提供されています。
- プロジェクトを作成し、1 回解析する：CI または手元のスキャナーからメインブランチを解析し、サーバーにプロジェクトを登録します。
- 管理者が基準を整える：Quality Profile、New Code の定義、Quality Gate の条件をサーバー側で決めます。ここで決めた内容が、そのまま全員の IDE に配布されます。
IDE の接続と CI への組み込み（ステップ 4〜6）
- IDE からサーバーに接続する：SonarQube IDE の接続ウィザードでサーバーの URL を入力します。認証トークンの発行は IDE が代行します。続けて、手元のプロジェクトをサーバー上のプロジェクトに対応づけます。
- 接続設定をリポジトリで共有する：接続設定をエクスポートしてコミットします。以降、ほかのメンバーはプロジェクトを開くだけで接続を提案されます。
- CI に Quality Gate を組み込む：解析後に Quality Gate の合否でパイプラインを止めます。Developer Edition なら、プルリクエストへのコメント表示とブランチ保護ルールで、マージ前に止められます。
IDE ごとの詳しい手順は、SonarQube IDE 公式ドキュメントにまとまっています。
よくある質問
Connected Mode は無料で使えますか？
はい。SonarLint（SonarQube IDE）も Connected Mode の設定も無料です。費用が発生するのは、接続先に有償のサーバーを選んだ場合だけです。具体的には、SonarQube Server の Developer Edition 以上と、SonarQube Cloud の有償プランです。つまり、無償の Community Build に接続する分には費用はかかりません。
SonarLint はもう使えなくなるのですか？
いいえ。SonarLint は 2024 年 10 月に SonarQube for IDE へ名称が変わっただけで、拡張機能は同じものが継続して更新されています。すでにインストール済みなら、通常のアップデートで新しい名前に切り替わります。
SonarLint（SonarQube IDE）と SonarQube の違いは何ですか？
SonarLint（SonarQube IDE）は、開発者の IDE で入力中のコードを解析する拡張です。一方、SonarQube Server / Cloud はプロジェクト全体をサーバー側で解析します。履歴の管理や Quality Gate の合否判定も担います。そのため、どちらかを選ぶものではありません。Connected Mode で組み合わせて使うことで、両方の良さが活きます。
Community Build と Developer Edition の一番の違いは何ですか？
サーバー側の違いは 4 つです。ブランチ／プルリクエストの解析と PR へのコメント表示、インジェクション脆弱性を見つけるテイント解析、対応言語の数、商用サポートの有無です。一方、IDE 側から見ると、「インジェクション脆弱性が IDE に届くか」「作業中のブランチ単位で同期されるか」の 2 点が決定的な差になります。
有償版の料金はどう決まりますか？
解析対象プロジェクトのコード行数（LOC）に応じた年額ライセンスです。なお、空行・コメント・テストコードは行数に含まれません。Sonar 公式ブログでは、Developer Edition は 10 万 LOC 以上が目安とされています。Enterprise Edition は 100 万 LOC 以上です。最新の価格は公式サイトで確認してください。
SonarQube Cloud でも Connected Mode は使えますか？
使えます。まず、SonarQube Cloud は公開リポジトリなら無料で、プライベートリポジトリには無料枠と有償プランがあります。ただし、ソースコードを社外に出せない、オンプレミスで運用したいといった要件がある場合は、SonarQube Server を選ぶことになります。
まとめ：まず SonarLint を Connected Mode に、必要になったら Developer Edition
Connected Mode は無料で、今日から始められます。SonarLint（SonarQube IDE）を無償の Community Build に接続するだけで、個人の IDE に閉じていた解析が「チームの基準で動く解析」に変わります。ルールの一元配布、判断の共有、New Code への集中は、この段階で手に入ります。
そのうえで、次のような要件が出てきたら Developer Edition の出番です。インジェクション脆弱性を IDE で見たい。フィーチャーブランチ単位で同期したい。プルリクエストで Quality Gate を強制したい。PL/SQL や C/C++ も解析したい。さらに、組織横断の可視化やセキュリティ標準への報告が必要になれば、Enterprise Edition を検討してください。
SonarQube の有償版についてのご相談はお気軽にどうぞ
弊社は SonarQube のリセラーとして、ライセンスのご提案から導入支援、技術サポートまで対応しています。「いまの無償環境に Developer Edition を入れると何が変わるのか」を確認したい方もいるでしょう。その場合は、14 日間の無料トライアルを使った PoC をご案内できます。お見積りや製品デモのご依頼は、お問い合わせフォームからご連絡ください。
