Qu’est-ce que HOL Plugins ?
HOL Plugins est un catalogue public de plugins pour agents de code, ces paquets qui ajoutent skills, serveurs MCP, hooks et commandes à Claude Code, Codex, Cursor, Antigravity CLI, OpenCode et d'autres agents. Chaque fiche affiche un Trust Score sur 100, un label de sécurité, la vérification du propriétaire, l'activité GitHub et les commandes d'installation par agent. Le rapport de novembre 2026 de HOL compte 1,063 plugins empaquetés, dont 844 analysés, au sein d'un index plus large de 53,114 fiches composé surtout de serveurs MCP.
La note repose sur une analyse statique : HOL lit les fichiers et manifestes du plugin mais ne l'exécute jamais. HOL publie la méthode, avec pondérations, plafonds et son propre test des angles morts du scanner, et répète sur chaque page qu'une analyse n'est pas une garantie de sécurité. Une API JSON, un endpoint MCP en lecture seule et la CLI open source hol-guard exposent les mêmes données ; hol-guard peut installer un plugin listé dans Claude Code ou Codex et refuse celui que l'analyse a bloqué.
HOL est exploité par Hashgraph Online DAO LLC, enregistrée à Majuro, aux îles Marshall, et fondée en 2024. Parcourir le catalogue et lister un dépôt GitHub public sont gratuits ; HOL gagne de l'argent avec des abonnements de fiche, des emplacements sponsorisés, de la publicité et son produit de sécurité HOL Guard.
HOL Plugins vaut-il le coup ?
Installer un plugin Claude Code ou Codex, c'est laisser les instructions et scripts d'un inconnu tourner avec votre shell, vos fichiers et souvent vos clés API. La plupart des gens regardent le nombre d'étoiles et espèrent.
HOL Plugins fait le premier examen à votre place. Il lit les fichiers de chaque plugin, le note sur 100 et place le résultat à côté de la commande d'installation pour chaque agent pris en charge. Son rapport de novembre compte 1,063 plugins empaquetés, dont 844 analysés ; Codex est déclaré par 624 d'entre eux et Claude Code par 618.
La note est publiée jusqu'au calcul. La sécurité compte pour 40 % : elle part de 100 et perd 45 points pour un problème critique, 35 pour un élevé, 12 pour un moyen et 5 pour un faible. La provenance, comme un commit épinglé ou un condensé de manifeste vérifié, compte pour 20 % ; l'installabilité, 15 % ; la configuration des serveurs MCP, 10 % ; un éditeur nommé et vérifié, 10 % ; et les fichiers d'entretien comme README, SECURITY.md et un lockfile, 5 %. Tout problème élevé ou critique plafonne le total à 39, quel que soit le reste. Les labels Safe, Review, Caution et Unsafe viennent de la seule partie sécurité, si bien qu'un plugin soigné ne peut pas cacher un mauvais résultat derrière une bonne paperasse.
Ce qui inspire davantage confiance que la note, c'est ce que HOL en admet. Dans son propre test de 11 techniques d'évasion, le scanner en a détecté 4 et manqué 7, dont une commande base64 envoyée à un shell, des caractères de largeur nulle et une simple phrase demandant à l'agent de coller votre fichier .env dans sa réponse. Et 531 des 844 plugins analysés, soit 62.9 %, portent le deuxième plus mauvais label : des problèmes à examiner de près.
Le hic : le nombre de fiches flatte la couverture. Le même rapport recense 52,042 serveurs MCP, dont HOL en avait analysé 14. L'argent est aussi proche de la note. L'abonnement ne la change jamais, affirme HOL, mais HOL Blue à $4.99 par mois fait réanalyser chaque nouvelle version en moins d'une heure, un badge dans le README renvoyant vers HOL ajoute 2 %, les emplacements sponsorisés commencent à $200 par mois, et le sponsor affiché sur la page est Guard, le produit de HOL elle-même. L'exploitant est une DAO LLC des îles Marshall dont la page de présentation ne nomme personne.
Notre avis : lisez la note comme l'autocollant d'hygiène sur la vitrine d'un restaurant. Une mauvaise est une bonne raison de passer son chemin ; une bonne vous dit que l'inspecteur a regardé, pas que la cuisine est propre.
Là où il fait la différence
Un développeur backend sur le point d'installer le plugin Claude Code d'un inconnu
Vérifier qu'il ne lira pas mes secrets et n'exécutera rien de malveillant
Ouvrir la page de confiance du plugin, regarder la composante sécurité et ses problèmes plutôt que le chiffre global, et traiter toute note au plafond de 39 ou en dessous comme un problème grave à lire dans le code. Gratuit, quelques minutes par plugin.
Une responsable plateforme dans une entreprise de 30 développeurs
Rédiger une liste approuvée de plugins d'agents pour l'équipe
Utiliser le label Safe, la vérification du propriétaire et la provenance avec commit épinglé comme premier filtre, puis revoir la sélection à la main. L'imposer sur les portables avec HOL Guard Team à $30 par poste revient à $900 par mois.
Un auteur indépendant de plugins qui publie pour Claude Code et Codex
Obtenir une meilleure note sans payer
Lister gratuitement le dépôt public via GitHub, ajouter SECURITY.md, un lockfile et une licence, épingler les versions à des commits et garder les contrôles de sécurité en CI pour éviter la déduction de 10 %. Blue à $4.99 par mois ne fait qu'accélérer les réanalyses.
Avant de vous engager
- Mise en route
- Parcourez hol.org/plugins sans compte ; les propriétaires de plugins connectent GitHub pour lister gratuitement un dépôt public. La CLI hol-guard s'installe avec pipx et peut planifier, appliquer et annuler l'installation d'un plugin listé dans Claude Code et Codex.
- Intégrations
- API JSON sur hol.org/registry/api/v1 (recherche, détail du plugin, commandes d'installation, détail de sécurité), un endpoint MCP en lecture seule, un index llms-full.txt, des flux d'événements d'intégrité en JSON et RSS et un jeu de données de sécurité sous Apache-2.0 sur Hugging Face.
- Données et confidentialité
- Parcourir ne demande pas de compte ; les publicités Google peuvent déposer des cookies quand elles sont activées et ne se chargent pas avec Do Not Track. Les rapports d'installation de HOL Guard sont facultatifs et n'envoient chaque semaine que la fiche, le runtime et la version ; les rapports bruts sont supprimés après 13 semaines et les totaux hebdomadaires gardés 12 mois. La réutilisation commerciale des notes de HOL exige une autorisation écrite.
- Coût à grande échelle
- Gratuit pour les lecteurs à toute échelle ; une équipe qui veut l'imposer sur les machines paie HOL Guard Team à $30 par poste et par mois, et un auteur avec plusieurs fiches paie Gold à $22.99 par mois pour des réanalyses prioritaires.
- Limites
- Analyse statique seulement, avec des ratés documentés sur les commandes encodées, les commandes assemblées à l'exécution, les charges téléchargées et les instructions en prose ; les serveurs MCP sont pour la plupart non analysés ; les notes ne sont pas normalisées par runtime ; l'API est limitée en débit sans chiffres publiés.
Les points forts
- Gratuit, sans compte pour parcourir
- Méthode de notation publiée avec pondérations, plafonds et ajustements
- Un problème élevé ou critique plafonne un plugin à 39, quel que soit son soin
- Publie les ratés de son scanner : 7 tests d'évasion sur 11
- Commandes d'installation pour Claude Code, Codex, Cursor et d'autres sur une page
Les points faibles
- Analyse statique seulement ; n'exécute jamais le plugin
- 14 serveurs MCP analysés sur 52,042 listés
- Les fiches Blue payantes sont réanalysées plus vite ; un lien de badge ajoute 2 %
- Les chiffres du catalogue diffèrent d'une page à l'autre
- Exploitant : une DAO LLC des îles Marshall sans personne nommée
Idéal pour
Développeurs et équipes plateforme qui veulent un signal de risque rapide et documenté avant d'installer un plugin d'agent de code, et qui liront quand même le code.
HOL Plugins : questions fréquentes
- HOL Plugins vaut-il le coup ?
- Un premier test utile pour les plugins d'agents de code, honnête sur ses propres angles morts, mais la note est une lecture statique des fichiers et l'argent se tient un peu trop près d'elle. Nous lui donnons 3.6 sur 5.
- Combien coûte HOL Plugins ?
- Gratuit pour parcourir et pour lister un dépôt GitHub public. En option pour les propriétaires de plugins : HOL Blue $4.99/mois par fiche, Gold $22.99/mois ; emplacements sponsorisés dès $200/mois. HOL Guard est à part : Free, Solo $4.99, Pro $15, Team $30/poste/mois.
- Quels sont les inconvénients de HOL Plugins ?
- Analyse statique seulement ; n'exécute jamais le plugin; 14 serveurs MCP analysés sur 52,042 listés; les fiches Blue payantes sont réanalysées plus vite ; un lien de badge ajoute 2 %; les chiffres du catalogue diffèrent d'une page à l'autre; exploitant : une DAO LLC des îles Marshall sans personne nommée.
- À qui s’adresse HOL Plugins ?
- Développeurs et équipes plateforme qui veulent un signal de risque rapide et documenté avant d'installer un plugin d'agent de code, et qui liront quand même le code.
- Combien coûte HOL Plugins pour une équipe ou en production ?
- Gratuit pour les lecteurs à toute échelle ; une équipe qui veut l'imposer sur les machines paie HOL Guard Team à $30 par poste et par mois, et un auteur avec plusieurs fiches paie Gold à $22.99 par mois pour des réanalyses prioritaires.
- HOL Plugins est-il sûr pour les données de l’entreprise ?
- Parcourir ne demande pas de compte ; les publicités Google peuvent déposer des cookies quand elles sont activées et ne se chargent pas avec Do Not Track. Les rapports d'installation de HOL Guard sont facultatifs et n'envoient chaque semaine que la fiche, le runtime et la version ; les rapports bruts sont supprimés après 13 semaines et les totaux hebdomadaires gardés 12 mois. La réutilisation commerciale des notes de HOL exige une autorisation écrite.
Réponses vérifiées le 11 nov. 2026.