Plugins et provenance : vérifier avant d'installer

Cette leçon est encore en test : elle s'améliore avec les retours des apprenants. Si quelque chose n'est pas clair, c'est la leçon qu'il faut corriger, pas toi.

À la fin de cette leçon, tu sauras

dire ce qu’un plugin peut faire sur ton ordinateur ;
reconnaître d’où vient un plugin : catalogue officiel, communautaire ou tiers ;
lire un plugin avant de l’installer, avec une fiche de décision ;
installer, désactiver et désinstaller un plugin, en commençant par celui de la formation.

Pourquoi ça t’intéresse

Un plugin installe d’un coup plusieurs extensions : des skills, des connecteurs, des hooks. C’est pratique, et c’est aussi le moyen le plus rapide d’ajouter à ton ordinateur du code que tu n’as pas lu. Comme pour une appli de téléphone, la vraie question n’est pas « est-ce utile ? », mais « qu’est-ce que ça pourra faire, et qui l’a fait ? ».

Avant de commencer


Il te faut	Claude Code dans le terminal (module 4, leçon 2), et la fiche de décision (ressource)
Coût	L’abonnement de l’agent : Claude Pro au minimum, 18 € par mois hors taxes, prix affiché en France au 24/10/2026. Un plugin peut avoir ses propres coûts
Durée	40 minutes
Rappel	Un plugin s’exécute avec tes droits : n’installe rien que tu n’as pas regardé

Comprendre en 3 minutes

Ce qu’un plugin peut faire, d’après la documentation de Claude Code (24/10/2026) : il peut exécuter du code arbitraire sur ta machine, avec tes privilèges d’utilisateur. Il peut contenir :

des hooks : des commandes lancées automatiquement ;
des serveurs MCP (connecteurs), dont certains tournent sur ton ordinateur ;
des programmes ajoutés à ceux que Claude peut lancer ;
des tâches de fond (monitors) et des mods : du code qui se lance tout seul, en arrière-plan ou à l’intérieur de Claude Code, avec tes droits ;
des skills, commandes et agents : des consignes qui orientent ce que fait Claude, mais une skill peut aussi enregistrer des hooks, autoriser des outils sans te demander et lancer des commandes avant que Claude la lise : lis donc aussi son fichier SKILL.md, avec la même prudence que le reste du plugin.

Les règles d’autorisation de Claude Code s’appliquent aux actions de Claude, pas au code que le plugin lance de lui-même (ses hooks, ses serveurs).

D’où vient-il ? Un plugin s’installe depuis un catalogue (marketplace). La documentation distingue trois niveaux : officiel et communautaire (des noms réservés, que Claude Code n’accepte que pour des catalogues venant des dépôts d’Anthropic), et tiers : tous les autres. Le nom d’un catalogue dit qui le publie, pas ce que fait chaque plugin.

Il peut changer. Avec les mises à jour automatiques, les fichiers que tu as relus peuvent changer sur ton disque.

Avant d’installer, la fiche de décision (ressource) : le besoin, l’auteur et le catalogue, ce que le plugin contient, ce qu’il peut lire ou faire, son coût, et comment le retirer.

Faire ensemble

Le plugin de l’exercice est le compagnon de la formation : tu peux lire tout ce qu’il contient sur la page Continuer dans Claude Code du site (la page Compagnon).

1Étape 1 : Remplir la fiche avant d’installer

Ouvre la page Compagnon et la ressource Fiche de décision. Remplis :

Besoin : suivre les leçons depuis Claude Code.
Provenance : catalogue tiers, publié sur le site de la formation, avec une empreinte qui permet de vérifier l’archive.
Contenu : une skill (les consignes du formateur) et un serveur MCP en lecture seule ; ni hook, ni tâche de fond, ni mod, ni programme ajouté. Dans le SKILL.md, le champ allowed-tools autorise sans te demander les six outils de lecture du serveur de cours, et seulement eux ; aucun ! suivi d’une commande.
Coût : gratuit ; l’abonnement de l’agent reste nécessaire.
Retrait : claude plugin uninstall (étape 4).

2Étape 2 : Ajouter le catalogue et regarder avant d’installer

Dans le terminal :

claude plugin marketplace add https://neurylio.com/compagnon/marketplace.json

Puis lance claude --permission-mode manual dans ton dossier et tape :

/plugin install formation-ia@formation-ia-pratique

D’après la documentation, dans une session, cette commande n’installe pas tout de suite : elle ouvre la fiche du plugin, avec ce qu’il va installer. Lis-la. Ce qu’elle annonce correspond-il à ta fiche ? Si oui, choisis l’installation pour toi (« Install for you (user scope) » en anglais) : le plugin est alors enregistré dans tes réglages personnels, et la commande de désinstallation de l’étape 4 marche telle quelle.

Si tu choisis une autre portée, ajoute --scope project (pour tous ceux qui travaillent dans le dossier) ou --scope local (pour toi, dans ce dossier seulement) à cette commande de désinstallation.

3Étape 3 : Vérifier ce qui est installé

Quitte Claude Code (/exit) : les commandes des étapes 3 et 4 se tapent dans le terminal, pas dans la conversation avec Claude.

claude plugin list

Le plugin apparaît, avec sa version et le statut « enabled » (activé).

4Étape 4 : Désactiver, puis désinstaller

claude plugin disable formation-ia@formation-ia-pratique
claude plugin list

Le statut passe à « disabled » (désactivé) : le plugin reste installé, mais ne sert plus. Pour le retirer complètement (si tu l’as installé pour un dossier, ajoute --scope project ou --scope local à la commande) :

claude plugin uninstall formation-ia@formation-ia-pratique
claude plugin list

La liste ne le montre plus. Le catalogue formation-ia-pratique reste, lui, enregistré dans tes réglages (claude plugin marketplace list le montre). Si tu ne comptes plus installer d’extension de la formation, retire-le aussi, une fois le plugin désinstallé :

claude plugin marketplace remove formation-ia-pratique

Cette commande désinstalle aussi tous les plugins installés depuis ce catalogue.

Les fichiers du plugin restent un temps dans le cache de Claude Code (14 jours ; si c’était ton dernier plugin, jusqu’à ta prochaine installation d’un plugin) : c’est normal. Tu peux réinstaller le compagnon quand tu veux depuis la page Compagnon.

Faire toi-même

Le livrable du module 7, seconde moitié : une fiche de décision complète pour une extension réelle qui te tente (un plugin, un connecteur, une skill partagée), installée ou non :

remplis les cinq parties de la fiche ;
si tu l’installes : pour ce dossier seulement si c’est possible.
- Pour un plugin, choisis la portée « local » (« Install for you, in this repo only » : pour toi, dans ce dossier seulement), pas la portée « project », qui écrit dans le fichier partagé .claude/settings.json.
- Note la commande exacte pour la retirer (pour un plugin en portée « local », avec --scope local) ;
range la fiche dans ton journal.

Ressources à télécharger

Fiche de décision : installer une extension, ou pas : besoin, provenance, ce qu’elle peut faire, coût, décision et retrait.

Vérifier

C’est réussi si :

tu as installé, désactivé puis désinstallé le compagnon, en vérifiant chaque fois avec claude plugin list ;
ta fiche de décision pour une extension réelle est remplie, avec une décision et sa raison ;
tu sais dire si un catalogue est officiel, communautaire ou tiers.

Erreurs fréquentes :

installer depuis un lien trouvé en ligne, sans lire la fiche du plugin ;
croire qu’un nom qui contient « official » suffit ;
oublier qu’un plugin vérifié peut changer avec les mises à jour ;
garder un plugin désactivé « au cas où » : désinstalle ce qui ne sert plus.

Conserver et reprendre

Garde tes fiches de décision dans ton journal : elles disent pourquoi chaque extension est là.
À l’entretien mensuel (module 5, leçon 7), relis la liste de tes plugins.

Pour aller plus loin

facultatif

La documentation officielle, en anglais : code.claude.com/docs/en/plugins/security (ce qu’un plugin peut faire, niveaux de catalogues, relecture avant installation) et code.claude.com/docs/en/plugins/install (installer, gérer, désinstaller).

Mots nouveaux

5 mots expliqués

Mot	Ce que ça veut dire
Plugin	Un paquet qui installe d’un coup plusieurs extensions : skills, connecteurs, hooks, programmes
Catalogue (marketplace)	La liste d’où l’on installe des plugins ; son nom dit qui la publie
Provenance	D’où vient une extension, et qui l’a faite
Désactiver	Garder un plugin installé, mais ne plus s’en servir
Désinstaller	Retirer un plugin de ton ordinateur

Le cycle catalogue, installation, désactivation et désinstallation du compagnon a été joué réellement avec Claude Code 2.1.310, dans une configuration isolée (rapport de tests, T41). Le panneau /plugin interactif n’a pas été joué.