Installer et gerer des plugins#

Les commandes exactes pour ajouter une marketplace, installer un plugin, le mettre a jour, le retirer, et verifier qu'il merite ta confiance avant de l'installer.

Temps de lecture : 12 min | Niveau : Intermediaire

Ce que tu sauras faire apres#

• Installer un plugin depuis la marketplace officielle d'Anthropic en une commande.
• Ajouter une marketplace tierce, depuis GitHub, une URL ou un dossier local.
• Choisir le bon scope d'installation entre user, project et local.
• Mettre a jour, desactiver et desinstaller proprement.
• Inspecter un plugin tiers avant de l'installer, sans l'installer.

1. Le vocabulaire des commandes#

Deux familles de commandes, a ne pas melanger.

Les deux ecrivent dans les memes fichiers de reglages. Le shell est scriptable ; la session ouvre un panneau interactif avec les onglets Discover, Marketplaces, Installed et Errors.

claude plugins est un alias de claude plugin. Dans une session, /plugins et /marketplace sont des alias de /plugin.

Note importante : dans une session, /plugin install n'installe pas directement. Il ouvre le panneau sur les details du plugin pour que tu les lises et choisisses un scope avant de valider.

2. Installer ton premier plugin#

Claude Code enregistre la marketplace officielle d'Anthropic, claude-plugins-official, la premiere fois que tu demarres une session interactive dans un terminal. Tu n'as donc rien a ajouter pour commencer.

Depuis une session#

/plugin install commit-commands@claude-plugins-official

Le panneau s'ouvre sur les details. Tu y vois Will install, la liste des commandes, agents, skills, hooks et serveurs MCP et LSP que le plugin ajoute.

Pour un plugin de la marketplace officielle, tu vois aussi Context cost : Every turn est ce que le plugin ajoute a chaque message, When invoked ce que ses skills et agents ajoutent une fois charges. Ces deux chiffres n'apparaissent que si tu as ouvert le plugin en nommant sa marketplace, comme la commande ci-dessus, ou depuis l'onglet Marketplaces. Ouvert depuis la liste Discover, le panneau ne les montre pas.

Puis tu choisis un scope, et la derniere phrase du resume d'installation te dit si le plugin est utilisable tout de suite :

Depuis ton shell#

claude plugin install commit-commands@claude-plugins-official

La commande affiche Successfully installed plugin: commit-commands@claude-plugins-official (scope: user). Les plugins installes ainsi se chargent au prochain demarrage, ou apres /reload-plugins dans une session deja ouverte.

Pour verifier : dans la session, tape / et cherche /commit-commands:commit.

3. Choisir le scope 🎯#

Le scope decide pour qui le plugin est actif et dans quel fichier de reglages l'entree est ecrite.

La cle ecrite s'appelle enabledPlugins. Elle ressemble a ca :

{
  "enabledPlugins": {
    "boite-a-outils-data@marketplace-equipe": true
  }
}

Quand le meme plugin est regle a plusieurs scopes, local l'emporte sur project, et project l'emporte sur user. Les reglages managed poses par une organisation l'emportent sur tout le reste.

Le piege du scope project#

Commiter enabledPlugins dans .claude/settings.json active le plugin pour tes collegues, mais ne le telecharge pas sur leur machine.

Chaque collegue doit donc lancer une fois :

claude plugin install <nom>@<marketplace> --scope project

Sinon ils voient dans l'onglet Errors : Plugin "<name>" is enabled in project settings but isn't installed here.

Exception : si l'entree du plugin dans la marketplace utilise une source en chemin relatif, le plugin se charge directement depuis la marketplace, sans enregistrement d'installation.

Par defaut, claude plugin install utilise le scope user. Passe --scope project ou --scope local pour changer.

4. Ajouter une marketplace#

Tu en as besoin des que le plugin voulu n'est pas dans la marketplace officielle.

Les formes de source acceptees#

Depuis le shell, claude plugin marketplace add accepte exactement les memes sources. /plugin market est une forme courte de /plugin marketplace.

Deux pieges reels :

• Le chemin relatif. Commence-le toujours par ./ ou ../. Claude Code lit un nom/nom nu comme un depot GitHub.
• L'URL sans prefixe. Mets toujours https:// devant. Si tu tapes gitlab.example.com/equipe/plugins.git tel quel, Claude Code le lit comme un raccourci GitHub owner/repo et le rejette. Pour du SSH, utilise la forme git@hote:chemin.git.

Ajouter et installer en une commande#

Depuis une session, a partir de Claude Code v2.1.275 :

/plugin install deploy-helper --marketplace mon-org/plugins

Tu donnes le nom du plugin seul, sans suffixe @marketplace. Claude Code te montre la source resolue et te demande de confirmer avant de l'ajouter.

Depots prives#

Meme commande que pour une marketplace publique. Claude Code lance git sur ta machine avec les invites coupees. Il utilise donc les identifiants deja presents et ne te demande jamais rien :

• HTTPS : un identifiant deja stocke par ton credential helper fonctionne. Sur GitHub, gh auth login puis gh auth setup-git. Un hote jamais authentifie echoue au lieu de demander un mot de passe.
• SSH : l'hote doit deja etre dans known_hosts, et la cle doit fonctionner sans demande de passphrase.
• Raccourci GitHub owner/repo : Claude Code teste d'abord ta cle SSH, puis clone en SSH si elle marche, en HTTPS sinon. CLAUDE_CODE_PLUGIN_PREFER_HTTPS=1 force le HTTPS.

5. Gerer ce qui est installe#

Le tableau des commandes#

Exemple enchaine dans un shell :

claude plugin disable boite-a-outils-data@marketplace-equipe
claude plugin enable boite-a-outils-data@marketplace-equipe
claude plugin uninstall boite-a-outils-data@marketplace-equipe --scope project

Sans --scope, enable et disable agissent sur le scope le plus specifique qui liste deja le plugin ; install et uninstall utilisent le scope user.

Les drapeaux utiles :

Avertissement sur claude plugin marketplace remove. Sans --scope, la commande retire la declaration de tous les scopes. Et quand tu retires une marketplace du dernier scope qui la declare, Claude Code supprime son cache et desinstalle tous les plugins que tu en avais installes. Pour seulement rafraichir, utilise marketplace update.

Recharger sans redemarrer#

/reload-plugins

La commande affiche Reloaded: N plugins · N skills · N agents · N hooks · N plugin MCP servers · N plugin LSP servers.

Si le rechargement ajouterait ou retirerait un serveur MCP et invaliderait le cache de prompt, Claude Code ne l'applique pas et te le dit. Force avec /reload-plugins --force, au prix d'une requete non mise en cache.

6. Les mises a jour#

Point a connaitre absolument : l'auto-update n'est pas active par defaut pour une marketplace tierce.

Donc la marketplace de ton equipe ne se met pas a jour toute seule tant que personne ne l'a demande.

Pour l'activer, dans une session : /plugin, onglet Marketplaces, selectionne la marketplace, puis Enable auto-update.

Sans auto-update, tes collegues recoivent tes changements uniquement quand ils lancent :

claude plugin marketplace update marketplace-equipe
claude plugin update boite-a-outils-data@marketplace-equipe

Quand l'auto-update est active, le declenchement se fait dans une session interactive apres ton premier message, avec un delai aleatoire pouvant aller jusqu'a dix minutes. La session en cours garde les versions deja chargees et affiche Plugin updated: <name> · Run /reload-plugins to apply.

Quand une mise a jour ne change rien#

Si l'auteur a pousse des commits et que claude plugin update affiche <name> is already at the latest version (<version>)., c'est que la version calculee n'a pas bouge.

Claude Code calcule la version dans cet ordre :

1. Le champ version du manifeste plugin.json.
2. Le champ version de l'entree de la marketplace.
3. A defaut, selon le type de source : pour github, url et git-subdir, le SHA du commit raccourci a 12 caracteres.

Consequence pratique pour toi en tant qu'auteur : si tu figes "version": "1.0.0" et que tu pousses dix commits sans changer la chaine, personne ne recoit rien.

7. Evaluer la confiance avant d'installer 🔒#

C'est la partie la plus importante de ce fichier.

Un plugin Claude Code que tu installes peut executer du code arbitraire sur ta machine avec tes privileges d'utilisateur.

Le nom d'une marketplace te dit qui publie le catalogue, pas ce que fait chaque plugin dedans. Une marketplace publiee par ton collegue ou ton entreprise est une marketplace tierce.

Ce qu'un plugin peut faire#

Un point souvent mal compris : les regles de permission et le sandbox de Claude Code couvrent les appels d'outils faits par Claude, pas le code qu'un plugin execute de lui-meme. Les hooks et les serveurs MCP tournent hors du sandbox.

La procedure de revue en 4 etapes#

1. Verifier la source de la marketplace : claude plugin marketplace list donne la source de chacune, depot GitHub, URL ou dossier.
2. Lire le panneau de details : dans une session, /plugin, selectionne le plugin, lis la section Will install.
3. Lire le code source. La section Will install montre qu'un hook existe, mais pas ce qu'il execute. Ouvre le depot et lis hooks/hooks.json (la commande de chaque hook), .mcp.json (la commande ou l'URL de chaque serveur) et tous les fichiers de bin/.
4. Inventorier sans installer. Clone le depot, puis lance dans ton shell :

claude --plugin-dir ./le-plugin plugin details le-plugin

Cette commande lit les fichiers du plugin sans demarrer de session et affiche un Component inventory : skills, commandes, agents, hooks avec leur evenement, serveurs MCP et LSP.

Reconnaitre les marketplaces d'Anthropic#

Claude Code n'accepte les noms officiels et communautaires que pour des marketplaces dont la source est un depot github.com/anthropics/. Une marketplace tierce ne peut donc pas se faire passer pour une marketplace Anthropic.

Retirer un plugin en qui tu n'as plus confiance#

claude plugin uninstall <plugin> --scope user

Les fichiers restent ensuite sous ~/.claude/plugins/cache/ pendant 14 jours avant qu'un nettoyage de fond les retire. Ce nettoyage ne tourne que tant qu'il te reste au moins un plugin installe : apres ta derniere desinstallation, les dossiers orphelins restent en place. Pour les supprimer tout de suite, efface toi-meme ~/.claude/plugins/cache/<marketplace>/<plugin>/.

Si tu ne fais pas confiance au proprietaire de la marketplace non plus, retire la marketplace : ca desinstalle tous les plugins qui en venaient.

8. Template a copier-coller 📋#

Prompt de revue de plugin tiers, a coller dans une session Claude Code apres avoir clone le depot.

Contexte : je suis [DEV / DATA ENGINEER / DATA ANALYST] et j'envisage d'installer le plugin Claude Code
[NOM_DU_PLUGIN] provenant de la marketplace [NOM_OU_URL_DE_LA_MARKETPLACE].

J'ai clone le depot dans [CHEMIN_LOCAL_DU_DEPOT].

Fais une revue de securite en lisant reellement les fichiers, dans cet ordre :
1. .claude-plugin/plugin.json ou .claude-plugin/marketplace.json : nom, version, auteur, champs de composants declares.
2. hooks/hooks.json : pour CHAQUE hook, donne l'evenement, le matcher et la commande exacte executee.
3. .mcp.json : pour CHAQUE serveur, donne la commande ou l'URL, et dis s'il sort vers Internet.
4. bin/ : liste tous les fichiers et resume ce que fait chaque script.
5. skills/ et agents/ : signale toute instruction qui demanderait d'exfiltrer des donnees,
   de desactiver des controles, ou de lire des fichiers hors du projet.

Rends un tableau a trois colonnes : Element | Ce qu'il fait | Risque (faible / moyen / eleve).
Termine par une recommandation en une phrase : j'installe, j'installe avec reserves, je n'installe pas.
Reponds en francais.

A retenir#

• Deux familles de commandes : claude plugin ... dans le shell, /plugin ... dans une session. Elles ecrivent dans les memes reglages.
• Le scope decide qui recoit le plugin : user, project ou local. Local l'emporte sur project, qui l'emporte sur user.
• Commiter enabledPlugins en scope project active le plugin chez tes collegues mais ne le telecharge pas : chacun lance claude plugin install <nom>@<marketplace> --scope project une fois.
• L'auto-update est desactive par defaut pour toute marketplace tierce, y compris celle de ton equipe.
• Retirer une marketplace desinstalle tous les plugins qui en venaient. Pour seulement rafraichir, utilise marketplace update.
• Avant d'installer un plugin tiers, lis hooks/hooks.json, .mcp.json et bin/, puis lance claude --plugin-dir <dossier> plugin details <nom> pour l'inventaire complet sans l'installer.

Sources#

• Install and manage plugins — Claude Code
• Plugin commands reference — Claude Code
• Plugin security and trust — Claude Code
• Plugin loading reference — Claude Code
• Plugins overview — Claude Code