Plugins Claude Code : ce qu’on installe vraiment et comment le vérifier

Skills, sous-agents, hooks et serveurs MCP se configurent chacun de leur côté. Un plugin les installe d’une seule commande : raison de plus pour savoir ce qu’il contient avant de l’activer.

Ce qu’un plugin regroupe

Un plugin est un répertoire de composants que Claude Code installe et charge comme une unité. Il a en général un manifeste, .claude-plugin/plugin.json, qui lui donne son nom et peut ajouter version et description. Ce manifeste est facultatif, mais s’il existe, name y est obligatoire. Chaque composant a un emplacement par défaut à la racine du plugin :

mon-plugin/
├── .claude-plugin/
│   └── plugin.json         # manifeste
├── skills/revue/SKILL.md   # devient /mon-plugin:revue
├── agents/                 # sous-agents
├── hooks/hooks.json        # commandes lancées sur événement
├── .mcp.json               # serveurs MCP
├── monitors/monitors.json  # commandes de fond
└── bin/                    # exécutables ajoutés au PATH de l'outil Bash

Hooks et serveurs désignent leurs scripts via ${CLAUDE_PLUGIN_ROOT}, qui change à chaque version ; l’état durable va dans ${CLAUDE_PLUGIN_DATA}. Un CLAUDE.md à la racine du plugin n’est pas chargé : les consignes passent par une skill (voir les skills).

Installer depuis une marketplace

Une marketplace est un dépôt ou un répertoire qui contient .claude-plugin/marketplace.json : un catalogue, pas une boutique hébergée. Elle s’ajoute par sa source : dépôt GitHub owner/repo, URL git complète, chemin local commençant par ./ ou ../, ou URL https:// d’un marketplace.json. Le suffixe #ref épingle une branche ou un tag.

/plugin marketplace add mon-org/plugins#v1.2.0
/plugin install mon-plugin@<marketplace>

En session, /plugin install n’installe rien tout de suite : il ouvre la fiche du plugin, dont la section Will install liste commandes, agents, skills, hooks et serveurs MCP ou LSP, puis demande une portée :

• user : vous, dans tous les projets (~/.claude/settings.json) ;
• project : tous ceux qui travaillent sur le dépôt (.claude/settings.json, versionné) ;
• local : vous, dans ce dépôt seulement (.claude/settings.local.json).

En shell :

claude plugin install mon-plugin@<marketplace> --scope project
claude plugin list
claude plugin disable mon-plugin@<marketplace>

En claude -p, /plugin ne fonctionne pas, mais les plugins déjà installés se chargent (voir le mode non interactif).

Ce qu’un plugin peut faire sur le poste

Un plugin installé peut exécuter du code arbitraire avec vos droits. Hooks et monitors sont des commandes shell, un mod exécute du JavaScript dans Claude Code, les serveurs MCP en stdio et les serveurs LSP sont des processus lancés sur la machine. Tout cela tourne hors du bac à sable et hors des règles de permission. Celles-ci couvrent en revanche les appels de Claude aux outils MCP du plugin et aux exécutables de son bin/ via Bash. Un hook de plugin vaut donc un hook écrit à la main, et ses serveurs MCP posent les mêmes questions de droits.

Une marketplace hors github.com/anthropics/, interne comprise, est tierce : son nom dit qui publie, pas ce que fait chaque plugin.

Vérifier avant d’installer

La fiche de /plugin montre qu’un hook existe, pas ce qu’il lance. claude plugin marketplace list donne la source de chaque marketplace ; dans le répertoire du plugin, on lit hooks/hooks.json, .mcp.json et tout bin/. Puis, après clonage, sans démarrer de session :

claude --plugin-dir <repertoire_du_plugin> plugin details <nom_du_plugin>

La commande imprime un Component inventory (skills et commandes, agents, hooks avec leur événement, serveurs MCP et LSP) et, dès cette étape, une ligne Always-on : les tokens que les noms et descriptions des skills, agents et commandes ajoutent à chaque session. Les schémas des outils MCP n’y sont pas comptés (voir les tokens).

Pour retirer un plugin : claude plugin uninstall <plugin> --scope <portée>. Ses fichiers restent 14 jours en cache.

Ce qu’il faut retenir

• Un plugin regroupe skills, agents, hooks et serveurs MCP, en général sous un manifeste .claude-plugin/plugin.json.
• Hooks, monitors, mods et serveurs tournent avec vos droits, hors bac à sable et hors règles de permission.
• La portée (user, project, local) fixe qui reçoit le plugin.
• Avant d’installer : source, hooks/hooks.json, .mcp.json, bin/, puis plugin details.
• Marketplace tierce : pas d’auto-update, des entrées épinglées sur un sha, une relecture à chaque version.

In English

A Claude Code plugin installs skills, agents, hooks and MCP servers as one block from a marketplace. Structure, installation scopes and checks to run before trusting it. A plugin's hooks and MCP servers run with the user's rights, outside the sandbox and the permission rules, and plugin details prints its inventory without starting a session, so before installation.

Sources & vérification

Relevé sur : Documentation Claude Code, relevé 2026-10

• Claude Code, Plugins overview code.claude.com
• Claude Code, Install and manage plugins code.claude.com
• Claude Code, Add components to a plugin code.claude.com
• Claude Code, Plugin security and trust code.claude.com
• Claude Code, Measure plugin cost and usage code.claude.com
• Claude Code, Marketplace reference code.claude.com

Comment les billets sont vérifiés et corrigés