Claude Code pluginy: Co jsou a jak je použít

Plugin Claude Code je složka, která najednou dodává více typů rozšíření. Zatímco skill je jediný soubor SKILL.md učí Claude jeden chování, plugin může sdružovat skilly, subagenty, hooky, slash příkazy a dokonce i MCP server a nainstalovat vše jedním příkazem. Je to rozdíl mezi tím, dát někomu kartičku s receptem a dát mu vybavenou kuchyň.

Anthropic přidal pluginy do Claude Code koncem roku 2025 a vyřešil tím skutečný problém: týmy neinstalovaly jeden skill po druhém, ale sestavovaly konfigurace. Konfigurace "backend inženýra" mohla vyžadovat skill pro ladění, subagenta pro revizi kódu, hook pro pre-commit a připojení MCP pro databázi. Před pluginy to znamenalo čtyři samostatné instalace a čtyři místa, kde se konfigurace mohla rozladit. Plugin to řeší jako jednu věc.

My ve SkillProof testujeme a katalogizujeme skilly Claude a pluginy jsou další vrstvou nad to, co obvykle revidujeme: formát balení, nikoli chování. Tato příručka pokrývá, co je skutečně uvnitř pluginu, jak funguje systém tržiště a stejnou otázku důvěry, kterou pokládáme u skillů od začátku, nyní aplikovanou na něco s mnohem větší povrchovou plochou.

Co pluginy skutečně balí

Čtyři typy složek se mohou objevit uvnitř jednoho pluginu a většina skutečných pluginů používá více než jeden:

• Skilly — markdown instrukce, které se načtou, když úloha odpovídá, stejný formát popsaný v co jsou skilly Claude.
• Subagenti — samostatné instance Claude s vlastním systémovým promptem a kontextovým oknem, užitečné pro delegování hlučných nebo paralelních úloh.
• Hooky — shell příkazy, které se automaticky spustí při událostech jako je uložení souboru, commit nebo dokončení volání nástroje. Hook pro lintování při uložení je klasický příklad.
• Slash příkazy — vlastní příkazy jako /deploy nebo /standup, které spustí předdefinovaný prompt nebo skript, když je napíše člen týmu.
• MCP servery — připojení k externímu nástroji nebo zdroji dat, nakonfigurované jednou uvnitř pluginu namísto ručně v každém projektu.

Plugin nemusí mít všech pět. Mnoho jich dodává jen pár skillů, nebo jeden hook plus příkaz, který jej spouští. Co z něj dělá plugin namísto volné sbírky souborů, je, že se instaluje jako jedna jednotka s jedním manifestem popisujícím, co je uvnitř.

Pluginy vs skilly: analogie s npm balíčky

Nejčistší způsob, jak o tom přemýšlet: skill je funkce, plugin je balíček.

Jediný skill učí Claude jedno chování, ať už jde o formátování poznámek ze schůzek nebo audit SEO stránky. Nemá žádné závislosti ani konfiguraci kromě vlastního markdownu. To je záměrné: skill napsaný pro pokrytí několika nesouvisejících úloh má tendenci nespolehlivě spouštět u všech, protože jeho popis nemůže být specifický pro žádnou jednotlivou.

Plugin je distribuční jednotka kolem tohoto chování. Ve světě npm se funkce nedodává sama; dodává se uvnitř balíčku s package.json, číslem verze a možná několika dalšími funkcemi, které k sobě patří. Plugin hraje stejnou roli pro Claude Code: je to věc s názvem, verzí, autorem a manifestem, a skilly, hooky a příkazy uvnitř jsou exporty.

Tento rozdíl je důležitý z praktického hlediska. Když se něco pokazí, "spouštěč skilla je příliš vágní" a "hook pluginu spouští špatný shell příkaz" jsou různé chyby s různými opravami. Vinit celý plugin za jeden špatný skill uvnitř, nebo naopak, je plýtvání časem. Nejprve si přečtěte manifest, abyste viděli, co bylo skutečně dodáno, než cokoli diagnostikujete.

Také to znamená, že tyto dvě jednotky jsou hodnoceny odlišně. Skill žije nebo umírá na kvalitě spouštěče a zda jeho výstup překoná výchozí nastavení Claude. Plugin žije nebo umírá na tom, zda jeho části spolupracují: spustí se hook před nebo po tom, co skill potřebuje jeho výstup, zavolá příkaz MCP server, který je skutečně nakonfigurován, koliduje instalace s něčím, co už máte.

Anatomie pluginu

Každý plugin potřebuje složku .claude-plugin ve svém kořeni obsahující plugin.json, manifest. Vše ostatní (skills/, agents/, hooks/, commands/, .mcp.json) sedí vedle jako obyčejné složky, které Claude Code hledá podle konvence.

Zde je malý, ale kompletní plugin, anotovaný:

team-standards/
├── .claude-plugin/
│   └── plugin.json
├── skills/
│   └── code-review/
│       └── SKILL.md
├── hooks/
│   └── hooks.json
└── commands/
    └── deploy.md

// .claude-plugin/plugin.json
{
  "name": "team-standards",
  "version": "1.2.0",
  "description": "Náš hook pro lintování, skill pro revizi a příkaz pro nasazení v jedné instalaci.",
  "author": "platform-team"
}

Manifest je záměrně tenký. Identifikuje plugin a jeho verzi; nevyjmenovává každý soubor uvnitř, protože Claude Code automaticky objevuje skills/, hooks/ a commands/ podle názvů složek.

// hooks/hooks.json
{
  "PreToolUse": [
    {
      "matcher": "Bash",
      "hooks": [{ "type": "command", "command": "./scripts/check-branch.sh" }]
    }
  ]
}

Tento hook se spustí před jakýmkoli voláním Bash nástroje a může jej zablokovat, což je způsob, jakým plugin vynucuje něco jako "nikdy nespouštěj destruktivní git příkazy na main" bez toho, aby se spoléhal na to, že si Claude zapamatuje zkontrolovat.

<!-- commands/deploy.md -->
---
description: Spusťte náš checklist nasazení proti staging
---

Ověřte, že větev není main, potvrďte aplikaci migrací,
tpak spusťte `./deploy.sh staging`. Zaznamenejte souhrn logu nasazení.

Napsání /deploy spustí přesně toto, pokaždé, formulované identicky pro každého člena týmu, který plugin nainstaluje. Tato konzistence je celý argument: tři komponenty, jedno číslo verze, jedna instalace a nikdo nemá lokální konfiguraci, která by se lišila od ostatních.

Samostatný soubor, marketplace.json, není součástí samotného pluginu. Je to index, který repozitář tržiště publikuje, aby Claude Code věděl, jaké pluginy tam žijí a odkud je načíst. marketplace.json jednoho repozitáře může obsahovat desítky nesouvisejících pluginů; myslete na to jako na registr, s plugin.json jako jednotlivým balíčkem uvnitř.

Instalace z tržišť

Získání pluginu na váš stroj jsou dva příkazy. Nejprve nasměrujte Claude Code na tržiště:

/plugin marketplace add anthropic/plugins

Toto přečte marketplace.json daného repozitáře a přidá každý plugin, který obsahuje, do toho, co můžete procházet. Poté nainstalujte jeden:

/plugin install code-standards@anthropic

Část @anthropic určuje, ze kterého tržiště se má stáhnout, protože můžete mít přidáno několik a stejný název pluginu by teoreticky mohl existovat ve více než jednom. Claude Code načte soubory pluginu, zaregistruje jeho skilly a příkazy a propojí všechny hooky nebo MCP servery, které deklaruje.

Zde je část, která by vám měla znít povědomě, pokud jste četli cokoli jiného, co jsme napsali: nikdo toto nereviduje. Přidání tržiště znamená důvěřovat tomu, kdo tento repozitář spravuje, a instalace pluginu z něj znamená důvěřovat všem souborům, které plugin přináší, včetně hooků, které spouštějí shell příkazy, a MCP serverů, které získávají síťový přístup. Toto je přesně ten problém důvěry, který jsme zdokumentovali pro skilly, jen s tím rozdílem, že plugin má více pohyblivých částí, což znamená více míst, kde se může něco špatného skrývat. Skill může být pouze přesvědčivý text načtený do kontextu. Plugin může být také hook, který se spustí při každém commitu, ať už ho sledujete, nebo ne.

Náš bezpečnostní checklist pro skilly se zde aplikuje s jedním dodatkem. Před instalací pluginu:

1. Přečtěte si manifest a každý soubor, na který odkazuje, před spuštěním instalačního příkazu, ne po něm. plugin.json tvrdící, že je "pomocník pro nasazení", který také deklaruje MCP server směřující na neznámou doménu, je signál, na který stojí za to se zastavit.
2. Připněte verzi. Nainstalujte code-standards@1.2.0, ne cokoli, co latest vyřeší příští úterý. Plugin, který změní své chování hooku poté, co jste mu již důvěřovali, je horší než ten, který byl špatný od prvního dne, protože ho nebudete hledat.
3. Zkontrolujte, jaké hooky a příkazy jsou dodány, konkrétně. Hooky se spouštějí automaticky, aniž byste cokoli napsali, při událostech jako volání nástrojů a ukládání souborů. To je komponenta, kterou se nejvíce vyplatí číst celou, protože je to ta, která jedná bez vašeho okamžitého promptu.
4. Zacházejte s MCP serverem zabaleným v pluginu jako s jakýmkoli jiným MCP serverem: získává skutečný síťový přístup a často skutečné přihlašovací údaje. Zabalením do pluginu se nestává bezpečnějším, pouze se snáze instaluje, aniž byste si všimli, že je tam.

Celý model hrozeb, včetně toho, jak vypadá škodlivý hook nebo skill v praxi, pokrýváme v našem průvodci bezpečností skillů Claude. Vše, co tam platí o zacházení s instrukcemi třetích stran jako se závislostí, kterou jste neauditovali, platí i pro pluginy, jen s větším poloměrem výbuchu.

Kdy zabalit konfiguraci vašeho týmu jako plugin

Nejjasnější signál, že jste připraveni na plugin: napsali jste stejné instalační instrukce v README, připnuté zprávě na Slacku a v dokumentaci pro zaškolení, a už jsou na dvou ze tří míst mimo synchronizaci.

Vezměme si konkrétní případ. Platformní tým chce, aby každá relace Claude Code inženýra vynucovala stejné standardy: žádné přímé commity do main, konzistentní revize kódu před sloučením a nasazení jedním příkazem na staging. Odděleně zabalené, je to hook, který si někdo musí pamatovat přidat do settings.json, skill, který si někdo musí pamatovat nainstalovat, a příkaz, o kterém si někdo musí pamatovat, že existuje. Zabalené jako plugin team-standards, je to jeden řádek:

/plugin install team-standards@our-org

a každý nový zaměstnanec získá hook pro ochranu větví, skill checklist pro revizi kódu a příkaz /deploy v jednom kroku, verzované společně, takže aktualizace nasazovacího skriptu a aktualizace kritérií revize se dodají ve stejném vydání místo toho, aby se rozcházely.

Opačný signál je také důležitý: pokud je vaše konfigurace jediný skill bez hooků, příkazů nebo závislosti na MCP, zabalení jej jako plugin přidává manifest a seznam tržišť bez jakéhokoli přínosu. Publikujte jej jako samostatný skill, jak popisujeme v co jsou skilly Claude, a sáhněte po pluginu pouze tehdy, když je více než jedna pohyblivá část, kterou je třeba udržovat v synchronizaci. Pokud je MCP server složitou částí vaší konfigurace, naše poznámky k jeho sestavení najdete v MCP Builder, což stojí za zvážení, než se rozhodnete, zda plugin potřebuje vlastní server, namísto odkazování na již existující.

Náš vlastní 30minutový průvodce nastavením Claude Code prochází budováním této vrstvy vrstvu po vrstvě pro jednotlivce; týmový plugin je stejné cvičení ve vrstvení, jen verzované a sdílené místo ručního sestavování na každém notebooku.

Ekosystém v roce 2026, upřímně

Pluginy jsou mladé a je to vidět. Formát tržiště se stabilizoval teprve před několika měsíci, což znamená, že většina marketplace.json souborů v oběhu byla napsána proti ranému návrhu specifikace a od té doby se s nimi nehýbalo. Kvalita dokumentace se enormně liší: některé repozitáře pluginů mají jasné README s historií verzí, jiné jsou jediným commitem bez vysvětlení, co vlastně dodaný hook dělá.

Fragmentace je větší problém. Protože plugin může deklarovat své vlastní skilly namísto odkazování na ty, které již máte nainstalované, stejné chování se opakuje ve dvanácti různých pluginech s dvanácti různými standardy kvality. Viděli jsme skill pro revizi kódu zabalený ve třech nesouvisejících pluginech, z nichž žádný nevěděl o existenci ostatních, každý napsaný podle jiného standardu.

To produkuje stejnou loterii kvality, kterou jsme dokumentovali u komunitních skillů obecně: asi polovina toho, co testujeme, selže při prvním pokusu, ať už kvůli instalačnímu skriptu, který předpokládá strukturu adresářů, kterou autor nikdy neověřil na čistém stroji, nebo hooku, který tiše nic nedělá, protože byl napsán proti starší verzi API hooku. Plugin tento poměr selhání neřeší. Pouze balí více komponent, které se mohou každá nezávisle selhat, a plugin funguje pouze tehdy, pokud funguje každá jeho část.

Nic z toho neznamená, že byste se měli pluginům vyhýbat. Znamená to aplikovat stejnou skepsi, jakou byste aplikovali na jakoukoli závislost: zkontrolujte, kdo ji spravuje, zkontrolujte, kdy byla naposledy aktualizována, a neinstalujte něco se třemi komponentami, když potřebujete jen jednu. Formát balení je skutečně užitečný pro udržení týmu v synchronizaci. Není to náhrada za čtení toho, co instalujete.

FAQ

Jaký je rozdíl mezi pluginem Claude Code a skillem?

Skill je jedno chování v jednom markdown souboru. Plugin je distribuční jednotka, která může sdružovat několik skillů spolu se subagenty, hooky, slash příkazy a MCP serverem, vše nainstalované společně jedním příkazem a jedním číslem verze. Skilly každého pluginu jsou stále skilly pod povrchem; plugin je jen balení kolem nich.

Jak nainstaluji plugin Claude Code?

Nejprve přidejte tržiště pomocí /plugin marketplace add <repo>, poté z něj nainstalujte konkrétní plugin pomocí /plugin install <plugin-name>@<marketplace>. Připněte verzi namísto instalace toho, co tržiště aktuálně označuje jako latest, takže aktualizace nebude tiše měnit chování, které jste již zkontrolovali.

Jsou pluginy Claude Code bezpečné k instalaci?

Zacházejte s nimi stejně jako s jakoukoli závislostí třetí strany a opatrněji než s obyčejným skillem, protože plugin může také dodávat hooky, které automaticky spouštějí shell příkazy, a MCP servery se skutečným síťovým přístupem. Přečtěte si manifest a každý zabalený soubor před instalací, ne po ní. Náš průvodce bezpečností skillů podrobně pokrývá základní model hrozeb.

Mohu umístit svůj vlastní MCP server do pluginu?

Ano. Plugin může deklarovat .mcp.json, který nakonfiguruje MCP server jako součást instalace, takže členové týmu získají připojení nastavené automaticky místo ruční konfigurace v každém projektu. Pokud sestavujete samotný server, nikoli jen jeho propojení, podívejte se na MCP Builder pro jeho sestavení, než se rozhodnete, zda plugin potřebuje vlastní server, namísto odkazování na již existující.

Kde najdu pluginy Claude Code k instalaci?

Anthropic spravuje oficiální tržiště a komunitní tržiště se od spuštění formátu rychle rozrostla. Kvalita se liší stejně jako u komunitních skillů obecně, takže si před přidáním jejich tržiště zkontrolujte manifest, zkontrolujte, kdy byl naposledy aktualizován, a preferujte pluginy od správců, kteří dokumentují, co je skutečně uvnitř.