¿Qué es HOL Plugins?
HOL Plugins es un catálogo público de plugins para agentes de programación, los paquetes que añaden skills, servidores MCP, hooks y comandos a Claude Code, Codex, Cursor, Antigravity CLI, OpenCode y otros agentes. Cada ficha muestra un Trust Score sobre 100, una etiqueta de seguridad, verificación del propietario, actividad en GitHub y comandos de instalación por agente. El informe de noviembre de 2026 de HOL cuenta 1,063 plugins empaquetados, de los que 844 se habían analizado, dentro de un índice más amplio de 53,114 fichas que son sobre todo servidores MCP.
La puntuación sale de un análisis estático: HOL lee los archivos y manifiestos del plugin, pero nunca lo ejecuta. HOL publica el método, con pesos, topes y su propia prueba de los puntos ciegos del analizador, y repite en cada página que un análisis no es una garantía de seguridad. Una API JSON, un endpoint MCP de solo lectura y la CLI de código abierto hol-guard exponen los mismos datos; hol-guard puede instalar un plugin listado en Claude Code o Codex y rechaza uno que el análisis haya bloqueado.
HOL lo gestiona Hashgraph Online DAO LLC, registrada en Majuro, Islas Marshall, y fundada en 2024. Navegar y listar un repositorio público de GitHub es gratis; HOL gana dinero con membresías de fichas, posiciones patrocinadas, anuncios y su producto de seguridad HOL Guard.
¿Merece la pena HOL Plugins?
Instalar un plugin de Claude Code o Codex significa dejar que las instrucciones y scripts de un desconocido se ejecuten con tu shell, tus archivos y a menudo tus claves de API. La mayoría mira las estrellas y cruza los dedos.
HOL Plugins hace por ti un primer repaso. Lee los archivos de cada plugin, lo puntúa sobre 100 y pone el resultado junto al comando de instalación de cada agente compatible. Su informe de noviembre cuenta 1,063 plugins empaquetados y 844 analizados; Codex aparece declarado en 624 y Claude Code en 618.
La puntuación se publica hasta la aritmética. La seguridad pesa el 40%: empieza en 100 y pierde 45 puntos por un hallazgo crítico, 35 por uno alto, 12 por uno medio y 5 por uno bajo. La procedencia, como un commit fijado o un digest de manifiesto verificado, pesa el 20%; la instalabilidad, el 15%; la configuración de servidores MCP, el 10%; un editor con nombre y verificado, el 10%; y archivos de mantenimiento como README, SECURITY.md y un lockfile, el 5%. Cualquier hallazgo alto o crítico limita el total a 39, se vea como se vea el resto. Las etiquetas Safe, Review, Caution y Unsafe salen solo de la parte de seguridad, así que un plugin pulido no puede esconder un mal hallazgo tras un buen papeleo.
Lo que da más confianza que la puntuación es lo que HOL admite sobre ella. En su propia prueba de 11 trucos de evasión, el analizador detectó 4 y se le escaparon 7, entre ellos un comando en base64 enviado a un shell, caracteres de ancho cero y una frase normal que pide al agente pegar tu archivo .env en su respuesta. Y 531 de los 844 plugins analizados, el 62.9%, llevan la segunda peor etiqueta, hallazgos que revisar con atención.
La pega: el número de fichas exagera la cobertura. El mismo informe lista 52,042 servidores MCP, de los que HOL había analizado 14. El dinero también está cerca de la puntuación. La membresía nunca la cambia, dice HOL, pero HOL Blue a $4.99 al mes hace que cada nueva versión se vuelva a analizar en menos de una hora, una insignia en el README que enlaza a HOL suma un 2%, las posiciones patrocinadas empiezan en $200 al mes y el patrocinador que aparece en la página es Guard, el producto de la propia HOL. El operador es una DAO LLC de las Islas Marshall cuya página de presentación no nombra a ninguna persona.
Nuestra opinión: lee la puntuación como la pegatina de higiene en el escaparate de un restaurante. Una mala es una buena razón para seguir andando; una buena te dice que el inspector miró, no que la cocina esté limpia.
Dónde se gana su sitio
Un desarrollador backend a punto de instalar el plugin de Claude Code de un desconocido
Comprobar que no leerá mis secretos ni ejecutará algo malicioso
Abre la página de confianza del plugin, mira el componente de seguridad y sus hallazgos en lugar del número de portada, y trata cualquier puntuación en el tope de 39 o por debajo como un hallazgo grave que leer en el código. Gratis, y unos minutos por plugin.
Un responsable de plataforma en una empresa con 30 desarrolladores
Redactar una lista aprobada de plugins de agentes para el equipo
Usa la etiqueta Safe, la verificación del propietario y la procedencia con commit fijado como primer filtro, y revisa la lista corta a mano. Imponerla en los portátiles con HOL Guard Team a $30 por puesto sale a $900 al mes.
Un autor independiente de plugins que publica para Claude Code y Codex
Mejorar mi puntuación sin pagar por ello
Lista el repositorio público gratis a través de GitHub, añade SECURITY.md, un lockfile y una licencia, fija las versiones a commits y mantén las comprobaciones de seguridad en CI para evitar la deducción del 10%. Blue a $4.99 al mes solo acelera los reanálisis.
Antes de decidirte
- Puesta en marcha
- Navega por hol.org/plugins sin cuenta; los propietarios de plugins conectan GitHub para listar gratis un repositorio público. La CLI hol-guard se instala con pipx y puede planificar, aplicar y deshacer la instalación de un plugin listado en Claude Code y Codex.
- Integraciones
- API JSON en hol.org/registry/api/v1 (búsqueda, detalle del plugin, comandos de instalación, desglose de seguridad), un endpoint MCP de solo lectura, un índice llms-full.txt, feeds de eventos de integridad en JSON y RSS y un dataset de seguridad Apache-2.0 en Hugging Face.
- Datos y privacidad
- Navegar no requiere cuenta; los anuncios de Google pueden poner cookies cuando están activos y no se cargan con Do Not Track. Los informes de instalación de HOL Guard son opcionales y solo envían ficha, runtime y versión cada semana; los informes en bruto se borran a las 13 semanas y los totales semanales se guardan 12 meses. Reutilizar comercialmente las puntuaciones de HOL requiere permiso por escrito.
- Coste a escala
- Gratis para lectores a cualquier escala; un equipo que quiera imponerlo en los equipos paga HOL Guard Team a $30 por puesto al mes, y un autor con varias fichas paga Gold a $22.99 al mes por reanálisis prioritarios.
- Límites
- Solo análisis estático, con fallos documentados ante comandos codificados, comandos montados en tiempo de ejecución, cargas descargadas e instrucciones en prosa; los servidores MCP están en su mayoría sin analizar; las puntuaciones no se normalizan por runtime; la API tiene límites de uso sin cifras publicadas.
Lo bueno
- Gratis y sin cuenta para navegar
- Método de puntuación publicado con pesos, topes y ajustes
- Un hallazgo alto o crítico limita el plugin a 39 por pulido que esté
- Publica los fallos de su analizador: 7 de 11 pruebas de evasión
- Comandos de instalación para Claude Code, Codex, Cursor y más en una página
Lo malo
- Solo análisis estático; nunca ejecuta el plugin
- 14 de 52,042 servidores MCP listados analizados
- Las fichas Blue de pago se reanalizan antes; un enlace de insignia suma un 2%
- Los recuentos del catálogo difieren entre páginas
- El operador es una DAO LLC de las Islas Marshall sin personas nombradas
Ideal para
Desarrolladores y equipos de plataforma que quieren una señal de riesgo rápida y documentada antes de instalar un plugin de agente de programación, y que aun así leerán el código.
HOL Plugins: preguntas frecuentes
- ¿Merece la pena HOL Plugins?
- Una primera prueba útil para plugins de agentes de programación, honesta con sus propios puntos ciegos, pero la puntuación es una lectura estática de los archivos y el dinero queda incómodamente cerca de ella. Le damos un 3.6 sobre 5.
- ¿Cuánto cuesta HOL Plugins?
- Gratis para navegar y para listar un repositorio público de GitHub. Opcional para propietarios de plugins: HOL Blue $4.99/mes por ficha, Gold $22.99/mes; posiciones patrocinadas desde $200/mes. HOL Guard va aparte: Free, Solo $4.99, Pro $15, Team $30/puesto/mes.
- ¿Qué inconvenientes tiene HOL Plugins?
- Solo análisis estático; nunca ejecuta el plugin; 14 de 52,042 servidores MCP listados analizados; las fichas Blue de pago se reanalizan antes; un enlace de insignia suma un 2%; los recuentos del catálogo difieren entre páginas; el operador es una DAO LLC de las Islas Marshall sin personas nombradas.
- ¿Para quién es HOL Plugins?
- Desarrolladores y equipos de plataforma que quieren una señal de riesgo rápida y documentada antes de instalar un plugin de agente de programación, y que aun así leerán el código.
- ¿Cuánto cuesta HOL Plugins para un equipo o en producción?
- Gratis para lectores a cualquier escala; un equipo que quiera imponerlo en los equipos paga HOL Guard Team a $30 por puesto al mes, y un autor con varias fichas paga Gold a $22.99 al mes por reanálisis prioritarios.
- ¿Es HOL Plugins seguro para los datos de la empresa?
- Navegar no requiere cuenta; los anuncios de Google pueden poner cookies cuando están activos y no se cargan con Do Not Track. Los informes de instalación de HOL Guard son opcionales y solo envían ficha, runtime y versión cada semana; los informes en bruto se borran a las 13 semanas y los totales semanales se guardan 12 meses. Reutilizar comercialmente las puntuaciones de HOL requiere permiso por escrito.
Respuestas comprobadas el 11 nov 2026.