Les plugins de Claude Code expliqués

Un plugin Claude Code est un dossier qui ajoute des skills, des agents, des hooks, des serveurs MCP et d'autres éléments à Claude Code, l'agent de programmation en ligne de commande d'Anthropic. Les plugins proviennent de places de marché, des catalogues que l'on ajoute depuis un dépôt GitHub, une URL git ou un dossier local. Le guide d'Anthropic sur l'installation des plugins demande aux lecteurs de vérifier ce qu'un plugin ajoute avant de l'installer, car un plugin peut exécuter des hooks et des serveurs MCP.

Ce guide suit Claude Code 2.1.317, publié le 2 novembre 2026. Il présente ce qu'un plugin peut contenir, les commandes pour en installer et en supprimer un, et ce que vérifie le validateur intégré, le tout testé sur un Mac.

Comment fonctionnent les plugins de Claude Code

Chaque plugin a un manifeste, un petit fichier JSON situé dans .claude-plugin/plugin.json. Seul son champ name est obligatoire, selon la présentation des plugins d'Anthropic. Tout le reste est facultatif, et chaque élément a son propre emplacement :

Élément	Emplacement	Rôle
Skills	skills/<name>/SKILL.md	Des instructions pour une tâche, lancées avec /<plugin>:<name>
Agents	agents/<name>.md	Des agents auxiliaires auxquels Claude peut confier du travail
Hooks	hooks/hooks.json	Des scripts qui s'exécutent à des moments définis, par exemple avant l'exécution d'un outil
Mods	une entrée modules dans hooks/hooks.json	Du JavaScript qui peut dessiner des panneaux et ajouter des commandes
Serveurs MCP	.mcp.json	Des outils externes, connectés via le Model Context Protocol
Serveurs LSP	.lsp.json	Des assistants de langage, du type de ceux qu'utilisent les éditeurs de code

MCP, le Model Context Protocol, est une façon standard de connecter des outils externes à un agent d'IA. La documentation présente les mods sans détour : un plugin doté d'un module de hooks « est appelé un mod ».

Les plugins vous parviennent par des places de marché. Celle d'Anthropic s'appelle claude-plugins-official, et Claude Code l'ajoute automatiquement la première fois que vous lancez une session interactive dans un terminal. Le catalogue communautaire, claude-community, n'est pas ajouté automatiquement. Claude Code n'accepte les noms des catalogues officiel et communautaire que depuis des dépôts situés sous github.com/anthropics/. Une copie hébergée ailleurs cesse de se charger, avec l'erreur « Marketplace is registered from an untrusted source » (la place de marché est enregistrée depuis une source non fiable).

Comment installer, activer et supprimer un plugin

Chaque action existe sous deux formes : une commande /plugin dans une session Claude Code, et une commande claude plugin dans un terminal ordinaire. Le tableau ci-dessous combine la documentation d'Anthropic et le texte d'aide de la version 2.1.317.

Action	Dans une session	Dans un terminal
Ajouter une place de marché	/plugin marketplace add <source>	claude plugin marketplace add <source>
Installer	/plugin install <plugin>@<marketplace>	claude plugin install <plugin>@<marketplace>
Activer ou désactiver	Onglet « Installed », puis la touche Espace	claude plugin enable <plugin> ou disable
Mettre à jour	Onglet « Installed », puis « Update now »	claude plugin update <plugin>
Supprimer	Onglet « Installed », puis « Uninstall »	claude plugin uninstall <plugin>
Examiner	Onglet « Installed »	claude plugin details <name>

Dans une session, /plugin install n'installe pas tout de suite. La commande ouvre un panneau de détails, pour que vous puissiez d'abord examiner le plugin et choisir une portée. La commande du terminal installe immédiatement, avec la portée utilisateur, sauf si vous ajoutez --scope.

La portée détermine qui reçoit le plugin :

• Utilisateur (user) écrit dans ~/.claude/settings.json et active le plugin dans tous les projets de votre machine.
• Projet (project) écrit dans .claude/settings.json, un fichier que vous commitez pour que vos collaborateurs le partagent.
• Local écrit dans .claude/settings.local.json et ne s'applique qu'à vous, dans un seul dépôt.

Quand les portées se contredisent, local l'emporte sur projet, et projet l'emporte sur utilisateur. Les paramètres gérés par une organisation priment sur les trois. Aucune commande unique ne met à jour tous les plugins d'un coup, et /reload-plugins applique les changements à une session en cours. Les mises à jour arrivent automatiquement pour la place de marché officielle d'Anthropic, mais elles sont désactivées par défaut pour celles de tiers.

Un test pratique des commandes de plugin

Lors d'un test de Tech AI Wire sous macOS 26.6.2 avec Claude Code 2.1.317, claude plugin --help a listé 15 sous-commandes, de configure à validate. Trois commandes montrent ce que fait un plugin avant qu'il ne touche à un projet :

claude plugin details cc-plugin-you-should-know@builtin
claude plugin validate ./hello-check
claude plugin validate ./broken-check

La première commande a examiné « You should know », l'agent annexe facultatif arrivé avec Claude Code 2.1.287. Elle a listé zéro skill, agent, hook, serveur MCP et serveur LSP. Son coût permanent prévu était « ~0 tok added to every session » (environ 0 token ajouté à chaque session).

La deuxième commande a vérifié un plugin de test minimal : un manifeste avec un nom, une version et une description, plus une skill. Le plugin a passé la validation avec un avertissement, pour un auteur manquant. La commande a aussi listé deux problèmes qui bloqueraient une soumission à l'annuaire de plugins d'Anthropic : pas de README.md d'au moins 40 mots, et ni fichier LICENSE ni champ license. L'absence d'icône n'était qu'un avertissement. L'icône doit être un PNG ou un JPEG carré, de 512 à 2 048 pixels de côté et de moins de 2 Mo.

La troisième commande a utilisé le même plugin, dont le champ name avait été supprimé. La validation a échoué avec le code de sortie 1 et le message « name: Invalid input: expected string, received undefined » (name : entrée non valide, chaîne attendue, undefined reçu). Les vérifications de l'annuaire ne changent le résultat que si vous ajoutez --profile directory. L'outil précise aussi que l'annuaire « runs a safety scan and a policy review that this command does not » (effectue une analyse de sécurité et un examen des règles que cette commande n'effectue pas).

Ce qui a changé et quand

Les fonctions de plugin sont arrivées au fil d'une série régulière de versions depuis septembre. Ces dates sont celles de la publication de chaque version sur npm, le registre de paquets JavaScript :

Version	Publication	Ce qui a changé pour les plugins
2.1.273	15 septembre 2026	Ajout de places de marché hébergées sur claude.ai
2.1.275	17 septembre 2026	Ajouter une place de marché et installer en une seule commande de session
2.1.287	1er octobre 2026	Claude Mods et l'agent annexe « You should know »
2.1.292	6 octobre 2026	La même installation en une étape depuis un terminal
2.1.302	16 octobre 2026	Correction des places de marché reclonées à chaque actualisation
2.1.317	2 novembre 2026	La skill plugin-authoring propose d'aider à partager un mod qui fonctionne

Les places de marché sont aussi une cible. Le 29 octobre, des versions trafiquées d'une extension Claude Code sont restées sur la place de marché de Cursor pendant environ 11 heures et ont ajouté une clé SSH. Il s'agissait d'une extension d'éditeur, pas d'un plugin Claude Code, mais la leçon sur la confiance accordée à un catalogue est la même.

Ce que cela signifie pour les développeurs

Traitez un plugin comme n'importe quel autre code que vous téléchargez. La page d'Anthropic sur la sécurité des plugins indique qu'un plugin « peut exécuter du code arbitraire sur votre machine avec vos privilèges d'utilisateur ». Elle ajoute que les règles d'autorisation et le bac à sable « couvrent les appels d'outils que fait Claude, pas le code qu'un plugin exécute de lui-même ». Lisez la liste « Will install » (sera installé) dans le panneau de détails. Vérifiez ensuite hooks/hooks.json, .mcp.json et tout dossier bin/ avant d'installer.

Vérifiez aussi le coût. claude plugin details indique combien de tokens un plugin ajoute à chaque session, ce qui permet de repérer facilement un plugin lourd avant de l'activer.

Pour une équipe, placez extraKnownMarketplaces et enabledPlugins dans le fichier .claude/settings.json du dépôt, puis commitez-le. Ces entrées ne s'appliquent que dans les dossiers auxquels Claude Code fait confiance. Les membres de l'équipe doivent tout de même lancer une fois la commande d'installation pour les plugins issus de sources externes.

Les entreprises peuvent aller plus loin avec les paramètres gérés. Une liste d'autorisation strictKnownMarketplaces limite les catalogues qui se chargent, et une liste vide bloque toutes les sources, y compris celle d'Anthropic. Mettre un plugin à false dans les enabledPlugins gérés le bloque à toutes les portées.

Un catalogue d'entreprise n'a pas besoin d'être hébergé sur GitHub. La documentation de LiteLLM décrit un catalogue servi par sa passerelle d'IA : les administrateurs choisissent les plugins et les ingénieurs ajoutent le catalogue avec une seule commande claude plugin marketplace add. La même page met en garde contre le fait de placer la clé d'accès du catalogue dans le .claude/settings.json d'un projet, car ce fichier est souvent commité dans le dépôt.

Les auteurs de plugins devraient lancer claude plugin validate --profile directory avant de soumettre. Lors du test de Tech AI Wire, l'absence de README et l'absence de licence étaient les deux problèmes que l'annuaire refuse.