Cum alegeți și conectați în siguranță un plugin

Un skill a făcut pagina vizibil mai bună, iar pasul următor pare de la sine înțeles: instalați nu unul, ci zece deodată. Chiar atunci un coleg trimite un link: "instalează, e util". Toate acestea se instalează cu o singură comandă, și aici stă capcana. Un plugin arată ca o listă de abilități, dar în realitate este cod care va rula pe mașina dumneavoastră cu drepturile dumneavoastră și va ocupa loc în fiecare conversație cu agentul.

Vedem prin ce diferă un plugin de un skill și ce poate sta în el, de unde vin cataloagele și cum se deosebește o sursă de încredere de una întâmplătoare, ce arată Claude Code înainte de instalare și cum se citește asta. Apoi parcurgem tot drumul: instalăm, testăm pe propria sarcină, dezactivăm, eliminăm. La final - ce faceți înainte de fiecare instalare, și de ce același lucru merită făcut cu orice skill pe care agentul l-a adus de pe internet.

1. Skill și plugin

Un tâmplar are proceduri notate: cum pregătește bancul de lucru, cum ascute sculele, cum face o serie după același șablon. Cât timp lucrează singur, ele stau în caietul lui. Apoi una i-o cere vecinul din atelier, alta ucenicul, iar peste o lună sună atelierul de peste drum, și să trimită fiecăruia câte o foaie devine obositor. Atunci strânge mai multe proceduri într-o cutie, pune pe o parte ștampila atelierului și lasă înăuntru un bilețel: ce este aici și cum se folosește. O astfel de cutie poate fi dată mai departe întreagă, actualizată și numerotată.

Exact asta este plugin-ul. Nu încă o abilitate, ci o ambalare în jurul mai multora.

În sine, plugin-ul nu este o abilitate separată, ci un mod de a distribui mai multe. Tot ce poate face, face prin ceea ce se află înăuntru: abilități, ajutoare, reacții automate, conexiuni. De aceea întrebarea "ce știe să facă plugin-ul" se reduce mereu la alta: ce se află înăuntru.

Un plugin propriu se construiește atunci când skill-urile dumneavoastră încep să fie cerute de alții. Dacă nu sunteți sigur ce vă trebuie de fapt - un skill, un ajutor cu rol separat sau un plugin -, întrebați agentul, dar cereți-i mai întâi să pună întrebări, nu să adune totul direct: el va pregăti o ciornă, iar ce se află înăuntru verificați dumneavoastră. Reperul e simplu: repetați aceeași cerere - e skill; o muncă secundară aglomerează conversația - e ajutor; același set e necesar în alt proiect - e plugin. Cum se construiește un plugin pas cu pas e o discuție separată. Acest material e pentru cei care primesc cutia.

2. Ce se află înăuntrul unui plugin

Cel mai adesea cutia are cinci compartimente, și nu toate sunt la fel de inofensive.

• skills - proceduri pe care agentul le aplică singur, după descriere sau la comanda dumneavoastră;
• agents - ajutoare cu rol separat, cărora agentul le încredințează o parte din muncă;
• hooks - reacții automate la evenimente: rulează comenzi fără cererea dumneavoastră, atunci când s-a întâmplat ceva;
• MCP servers - conexiuni cu servicii externe, prin care agentul citește și modifică ceva în afara calculatorului dumneavoastră;
• LSP servers - sugestii de cod pentru un limbaj anume; au nevoie de un program instalat separat.

Cele două compartimente de jos sunt motivul pentru care cutia este primită cu atenție, nu aruncată în colț. Un plugin cu hooks și MCP știe ceva ce nu vă așteptați de la un "set de abilități": să ruleze comenzi și să iasă spre servicii externe. Înăuntru este o unealtă vie și sub tensiune, nu un afiș pe perete. Ce sunt hooks, MCP și agents luate separat e o discuție aparte; aici e suficient să știți ce înseamnă ele în ansamblu. Există compartimente și pe lângă aceste cinci, de exemplu setările implicite sau stilul răspunsurilor agentului, dar ele nu schimbă imaginea de ansamblu.

Dacă nu aveți fișa plugin-ului la îndemână, cereți-i agentului să deschidă repozitoriul plugin-ului și să povestească ce se află în folderele lui.

3. Numele cu prefix

Skills dintr-un plugin se numesc cu prefix: /nume-plugin:nume-skill, de exemplu /commit-commands:commit. Și vecinul poate avea "curățenie", și cât timp cutia poartă ștampila, nu se pot confunda.

Prețul e numele lung: setul comun îl plătiți cu o comandă mai lungă de tastat. Skill-ul propriu din folderul proiectului nu are prefix.

Există și un folos. După prefix, în meniul de la / se vede mereu de unde a venit comanda și a cui e cutia.

4. Catalog și doi pași

Cutiile se iau din depozit. Catalogul de plugin-uri, în engleză marketplace, este o listă de plugin-uri ale altora, întreținută de cineva. Lucrul cu el are doi pași: conectați catalogul, apoi instalați din el plugin-uri unul câte unul. Simpla conectare a catalogului nu instalează nimic, primiți doar lista.

Primul pas e deja făcut pentru majoritatea. Comanda /plugin deschide un panou cu patru file: Discover - caută plugin-uri în toate cataloagele conectate; Installed - ce este instalat; Marketplaces - cataloagele; Errors - erori de încărcare. Catalogul oficial Anthropic este conectat de la prima rulare, iar în fila Discover plugin-urile lui se văd imediat: alegeți, deschideți, instalați. Aceeași listă se află pe site-ul claude.com/plugins, dacă vreți să o vedeți fără Claude Code.

Al doilea catalog apare atunci când plugin-ul necesar nu se află în cel oficial: un catalog comunitar sau un repozitoriu străin, în care se află un fișier de catalog. Se conectează cu o singură comandă, iar plugin-ul din el se instalează tot cu una:

/plugin marketplace add anthropics/claude-plugins-community   # conectăm catalogul comunitar
/plugin install nume-plugin@claude-community                  # instalăm un plugin din el
/plugin list                                                  # verificăm că plugin-ul e în listă

Un catalog străin se conectează cu aceeași primă comandă, doar cu adresa lui.

O subtilitate de care se împiedică cel mai des (nici eu nu fac excepție). Numele catalogului pentru instalare nu se ia din numele repozitoriului, ci din descrierea catalogului însuși: repozitoriul se numește anthropics/claude-plugins-community, dar instalarea se face din claude-community. Ce nume are catalogul se vede în fila Marketplaces.

În catalogul oficial se află plugin-uri de tipuri diferite. Integrarea cu GitHub este MCP, o conexiune cu un serviciu extern. Sugestiile de cod pentru un limbaj, de exemplu typescript-lsp, sunt LSP. security-guidance caută vulnerabilități tipice în fiecare modificare a agentului.

5. Trei trepte de încredere în sursă

Din folder, plugin-ul nu se activează singur: trebuie instalat explicit, și nu e birocrație. Înăuntru este cod care se execută cu drepturile dumneavoastră, adică poate face tot ce puteți face și dumneavoastră de la acest calculator. De aceea prima întrebare despre orice plugin nu este "ce știe să facă", ci "de unde vine".

Catalogul oficial. Este întreținut de Anthropic, dar cea mai mare parte a plugin-urilor din el vine de la parteneri și alți autori, nu de la Anthropic însăși. Aici e nevoie de mai puțină atenție decât la un repozitoriu străin, dar descrierea și conținutul merită oricum citite.

Catalogul comunitar. Plugin-uri terțe, care au trecut o verificare automată a Anthropic; aproape fiecare este fixat la o versiune anume în catalog. Este un filtru, nu o garanție: nimeni nu a verificat că plugin-ul face exact ce promite.

Un repozitoriu sau folder oarecare. Nicio verificare. Priviți singur cine este autorul, dacă există o descriere clară și ce se află în foldere.

Într-o singură sesiune de lucru pot apărea toate cele trei trepte: un plugin de design din catalogul comunitar, altul din catalogul Anthropic, al treilea dintr-un repozitoriu străin cu un singur plugin înăuntru. Este normal, dacă înțelegeți pe ce treaptă vă aflați în fiecare moment.

Cât de atent priviți depinde de plugin. Cu cât știe mai mult, adică are mai multe hooks și MCP, și cu cât sursa este mai departe de cea oficială, cu atât priviți mai atent.

6. Ce arată Claude Code înainte de instalare

Sursa stabilește cât de atent priviți. Detaliile le arată Claude Code însuși: deschideți plugin-ul din fila Marketplaces a panoului /plugin sau cu comanda /plugin install nume@catalog, și veți vedea cartela lui. Cartela din lista Discover e mai scurtă: estimarea costului lipsește din ea.

Pe ea sunt trei rânduri, de dragul cărora s-a pornit totul. Ultimele două apar doar la plugin-urile din catalogul oficial.

• Will install - conținutul: câte skills, agents, hooks, MCP și LSP vin;
• Context cost - cât adaugă plugin-ul în fereastra agentului: Every turn - la fiecare cerere a dumneavoastră, When invoked - când agentul încarcă skills și agents ale plugin-ului;
• Last updated - când a fost actualizat plugin-ul.

Will install:  skills: 8   agents: 1   hooks: 2   MCP servers: 1
Context cost:  Every turn: ~400 tokens   When invoked: ~1.5k tokens
Last updated:  2 weeks ago

Numerele și forma rândurilor sunt convenționale, diferă de la un plugin și o versiune de Claude Code la alta. Citirea conținutului e simplă, dar e doar o primă aproximare: dacă înăuntru sunt doar skills, plugin-ul, cel mai probabil, citește și sugerează; dacă are hooks sau MCP, rulează comenzi sau iese spre exterior, și e un motiv să deschideți descrierea și să înțelegeți exact ce anume. Cartela nu arată totul: plugin-ul mai poate aduce fișiere executabile și setări implicite, care nu apar pe ea. Pentru o sursă necunoscută, aruncați o privire și în repozitoriu.

Și a treia întrebare, pe care cartela nu o pune: plugin-ul vi se potrivește? Chiar și un plugin bun poate fi lăsat deoparte. Dublează un skill al dumneavoastră, aduce scripturi pentru alt sistem de operare sau rezolvă o sarcină pe care nu o aveți.

7. Cui îi revine plugin-ul

Cui îi revine cutia se decide din timp, la instalare. Sunt trei variante.

• user - dumneavoastră, în toate proiectele;
• project - tuturor celor care lucrează cu acest repozitoriu: înregistrarea ajunge în .claude/settings.json și merge împreună cu proiectul;
• local - dumneavoastră și doar în acest proiect, colegii nu îl văd.

Mai există managed: îl instalează administratorul, și nu se poate schimba. Majoritatea nu se vor întâlni cu el.

Regula e una: cel mai îngust scope potrivit. Cu cât sunt mai puține locuri unde plugin-ul e activat, cu atât sunt mai puține situații în care rulează efectiv, și mai puțin de eliminat mai târziu. Un plugin dubios nu devine inofensiv printr-un scope îngust: acolo unde e activat, poate face exact același lucru. Scope-ul project merită un cuvânt separat: nu decideți doar pentru dumneavoastră. La colegul care deschide repozitoriul, plugin-ul va fi activat, dar nu instalat: în fila Errors a panoului /plugin va apărea un avertisment, iar plugin-ul trebuie să-l instaleze singur.

La instalarea din panou vi se cere să alegeți scope-ul; /plugin install deschide și el cartela cu alegerea.

8. Instalare și verificare

Dacă instalarea a decurs fără probleme, se termină cu una din două fraze. Fie plugin-ul este deja activ, fie apare cererea de a rula /reload-plugins. În al doilea caz îl rulăm; dacă vine avertismentul că reîncărcarea va reciti conversația, repetăm cu --force. Nu trebuie repornit Claude Code.

Că plugin-ul s-a instalat se vede din /plugin list: apare în listă, iar skill-urile lui apar cu prefix în meniul de la /.

O cutie deschisă ocupă bancul de lucru. Un plugin activat adaugă din prima secundă în fereastra agentului anunțurile skill-urilor sale: nume și descrieri. Conținutul complet se încarcă doar când un skill intră în acțiune, dar anunțurile rămân mereu. Conexiunile la servicii externe aduc imediat numele instrumentelor, descrierile - după nevoie; reacțiile automate aproape că nu ocupă loc în fereastră. Cu cât fereastra e mai plină, cu atât fiecare răspuns e mai scump și mai lent.

Prețul real se vede doar prin comparație: /context arată cu ce e ocupată fereastra. Rulați-l înainte de instalare și după.

1) fără plugin: sarcină proprie, se reține rezultatul
2) instalăm plugin-ul, dacă e nevoie /reload-plugins
3) aceeași sarcină din nou
4) comparăm și decidem: păstrăm, dezactivăm, eliminăm

Rezultatul comparației lipsește aici intenționat: la fiecare e altul. Criteriul e simplu: puteți spune în două fraze ce face plugin-ul și numi un motiv să-l păstrați sau să-l eliminați - din propriul test, nu din descriere.

9. Dezactivare, eliminare, scoaterea catalogului

Trei acțiuni, și sunt diferite. /plugin disable dezactivează, dar nu elimină: plugin-ul încetează să ocupe fereastra, iar pentru a-l aduce înapoi - /plugin enable. /plugin uninstall îl elimină complet. /plugin marketplace remove scoate catalogul, și odată cu el se șterg toate plugin-urile instalate din el. E ușor de uitat acest lucru.

/plugin disable nume-plugin@catalog      # dezactivăm, dar nu pierdem
/plugin uninstall nume-plugin@catalog    # eliminăm complet
/plugin marketplace remove catalog       # scoatem catalogul și tot ce s-a instalat din el

Comenzile deschid același panou și îl lasă deschis, se închide cu Esc. În fila Installed același lucru se face fără comenzi: plugin-urile cu probleme apar sus, cele dezactivate sunt restrânse jos. Dacă eliminați un plugin activat pentru tot proiectul, Claude Code va întreba: doar pentru dumneavoastră sau pentru toți.

Curățenie. Plugin-urile pe care le-ați instalat singur și nu le-ați folosit timp de două săptămâni pe parcursul a zece sesiuni, Claude Code le adună în fila Installed sub titlul "Not used recently", iar pe cartelă arată când a rulat ultima dată plugin-ul. Separat, /doctor numește plugin-urile nefolosite împreună cu prețul lor în context. Setul de instrumente rămâne un set atâta timp cât țineți minte ce e în el și de ce.

Actualizări. Cataloagele oficiale se actualizează singure și cer rularea /reload-plugins; cele terțe, implicit, nu. Actualizarea e aproape o instalare nouă: conținutul se poate schimba, și merită deschisă cartela din nou.

Dacă ceva s-a stricat, inclusiv chiar la instalare: fila Errors va arăta cauza. Apoi dezactivați, reinstalați, în ultimă instanță curățați cache-ul plugin-urilor și instalați din nou. Dacă din fila Marketplaces a dispărut catalogul oficial, îl aduce înapoi /plugin marketplace add anthropics/claude-plugins-official.

10. Nu doar plugin-uri

Un skill pe care agentul, la cererea dumneavoastră, l-a descărcat dintr-un repozitoriu străin și l-a pus în folderul proiectului este același caz, doar fără catalog, cartelă și scope. Nu are cine să-l verifice în afară de dumneavoastră.

Întrebările sunt aceleași. De unde vine. Ce se află înăuntru: SKILL.md se citește într-un minut, dar se verifică folderul întreg, inclusiv scripturile și fișierele la care face referire. Ce instrumente își permite din start: câmpul allowed-tools. El arată ce este preaprobat fără întrebare separată, nu lista completă a ce se poate întâmpla. Un skill dintr-un repozitoriu al unui serviciu terț poate foarte bine să-și permită rularea de comenzi, și pentru un skill care trimite ceva spre exterior asta e normal. Dar merită văzut asta înainte de prima rulare, nu după.

Diferența față de plugin e una singură. Skill-ul nu are cartelă, în schimb tot conținutul lui stă alături în text deschis, și poate fi citit înainte de prima rulare.

11. Ce faceți înainte de fiecare instalare

Șase pași, în ordinea în care au apărut în articol.

1. Sursa. Catalog oficial, catalog comunitar sau repozitoriu străin - asta stabilește cât de atent priviți mai departe.
2. Conținutul. Cartela "Will install"; hooks și MCP înseamnă comenzi și ieșire spre exterior, pentru ele deschideți descrierea.
3. Prețul. "Context cost" pe cartelă (la catalogul oficial) și /context înainte și după: plugin-ul se plătește din fiecare cerere a dumneavoastră.
4. Scope. Cel mai îngust potrivit; scope-ul project e o decizie și pentru colegi.
5. Testare. O sarcină înainte și după, concluzia din propriul test, nu din descriere.
6. Decizia. Păstrați, dezactivați sau eliminați; peste câteva săptămâni fila Installed vă va aminti ce n-ați folosit.

Cutia cu ștampilă a fost inventată ca să dea mai departe proceduri întregi și fără trimiteri repetate, și funcționează în ambele sensuri. Cel care primește cutia se uită la ștampilă, deschide capacul și pune pe bancul de lucru doar ce e nevoie astăzi.

Panoul de plugin-uri și textul mesajelor sale se schimbă de la o versiune la alta; dacă ecranul dumneavoastră diferă de cel descris, orientați-vă după sensul rândurilor, nu după forma lor exactă.