O que é HOL Plugins?
HOL Plugins é um catálogo público de plugins para agentes de programação, os pacotes que adicionam skills, servidores MCP, hooks e comandos ao Claude Code, Codex, Cursor, Antigravity CLI, OpenCode e outros agentes. Cada ficha mostra um Trust Score de até 100, um rótulo de segurança, verificação do dono, atividade no GitHub e comandos de instalação por agente. O relatório de novembro de 2026 da HOL conta 1,063 plugins empacotados, dos quais 844 tinham sido analisados, dentro de um índice maior de 53,114 fichas que são, em sua maioria, servidores MCP.
A nota vem de uma análise estática: a HOL lê os arquivos e manifestos do plugin, mas nunca o executa. A HOL publica o método, com pesos, tetos e um teste próprio dos pontos cegos do scanner, e repete em todas as páginas que uma análise não é garantia de segurança. Uma API JSON, um endpoint MCP somente leitura e a CLI de código aberto hol-guard expõem os mesmos dados; o hol-guard pode instalar um plugin listado no Claude Code ou no Codex e recusa um que a análise bloqueou.
A HOL é operada pela Hashgraph Online DAO LLC, registrada em Majuro, nas Ilhas Marshall, e fundada em 2024. Navegar e listar um repositório público do GitHub é grátis; a HOL ganha dinheiro com assinaturas de fichas, posições patrocinadas, anúncios e seu produto de segurança HOL Guard.
HOL Plugins vale a pena?
Instalar um plugin do Claude Code ou do Codex significa deixar instruções e scripts de um estranho rodarem com o seu shell, os seus arquivos e muitas vezes as suas chaves de API. A maioria olha as estrelas e torce.
O HOL Plugins faz uma primeira olhada por você. Ele lê os arquivos de cada plugin, dá uma nota de 0 a 100 e coloca o resultado ao lado do comando de instalação de cada agente suportado. O relatório de novembro conta 1,063 plugins empacotados e 844 analisados; o Codex aparece declarado em 624 e o Claude Code em 618.
A nota é publicada até a aritmética. Segurança vale 40%: começa em 100 e perde 45 pontos por um achado crítico, 35 por um alto, 12 por um médio e 5 por um baixo. Procedência, como um commit fixado ou um digest de manifesto verificado, vale 20%; instalabilidade, 15%; configuração de servidores MCP, 10%; um publicador nomeado e verificado, 10%; e arquivos de manutenção como README, SECURITY.md e um lockfile, 5%. Qualquer achado alto ou crítico limita o total a 39, não importa como esteja o resto. Os rótulos Safe, Review, Caution e Unsafe vêm só da parte de segurança, então um plugin caprichado não consegue esconder um achado ruim atrás de uma boa papelada.
O que gera mais confiança do que a nota é o que a HOL admite sobre ela. No próprio teste com 11 truques de evasão, o scanner pegou 4 e deixou passar 7, entre eles um comando em base64 enviado a um shell, caracteres de largura zero e uma frase comum pedindo ao agente que cole o seu arquivo .env na resposta. E 531 dos 844 plugins analisados, 62.9%, têm o segundo pior rótulo, achados para revisar com atenção.
O porém: o número de fichas exagera a cobertura. O mesmo relatório lista 52,042 servidores MCP, dos quais a HOL tinha analisado 14. O dinheiro também fica perto da nota. A assinatura nunca a altera, diz a HOL, mas o HOL Blue a $4.99 por mês faz cada nova versão ser reanalisada em até uma hora, um selo no README com link para a HOL soma 2%, as posições patrocinadas começam em $200 por mês e o patrocinador mostrado na página é o Guard, produto da própria HOL. A operadora é uma DAO LLC das Ilhas Marshall cuja página institucional não cita nenhuma pessoa.
Nossa opinião: leia a nota como o selo de vigilância sanitária na vitrine de um restaurante. Um selo ruim é um bom motivo para seguir em frente; um bom diz que o fiscal olhou, não que a cozinha está limpa.
Onde ele se destaca
Um desenvolvedor backend prestes a instalar o plugin do Claude Code de um estranho
Conferir que ele não vai ler meus segredos nem rodar algo malicioso
Abra a página de confiança do plugin, olhe o componente de segurança e seus achados em vez do número principal e trate qualquer nota no teto de 39 ou abaixo como um achado grave a ser lido no código. Grátis, e alguns minutos por plugin.
Uma líder de plataforma em uma empresa com 30 desenvolvedores
Montar uma lista aprovada de plugins de agentes para o time
Use o rótulo Safe, a verificação do dono e a procedência com commit fixado como primeiro filtro e revise a lista curta à mão. Impor isso nos notebooks com o HOL Guard Team a $30 por assento sai por $900 por mês.
Um autor independente de plugins que publica para Claude Code e Codex
Ter uma nota melhor sem pagar por isso
Liste o repositório público de graça pelo GitHub, adicione SECURITY.md, um lockfile e uma licença, fixe as versões em commits e mantenha as verificações de segurança no CI para evitar o desconto de 10%. O Blue a $4.99 por mês só acelera as reanálises.
Antes de decidir
- Configuração
- Navegue por hol.org/plugins sem conta; donos de plugins conectam o GitHub para listar um repositório público de graça. A CLI hol-guard é instalada com pipx e pode planejar, aplicar e desfazer a instalação de um plugin listado no Claude Code e no Codex.
- Integrações
- API JSON em hol.org/registry/api/v1 (busca, detalhe do plugin, comandos de instalação, detalhamento de segurança), um endpoint MCP somente leitura, um índice llms-full.txt, feeds de eventos de integridade em JSON e RSS e um dataset de segurança Apache-2.0 no Hugging Face.
- Dados e privacidade
- Navegar não exige conta; anúncios do Google podem gravar cookies quando ativados e não carregam com Do Not Track. Os relatórios de instalação do HOL Guard são opcionais e só enviam ficha, runtime e versão toda semana; relatórios brutos são apagados após 13 semanas e os totais semanais ficam 12 meses. Reutilizar comercialmente as notas da HOL exige permissão por escrito.
- Custo em escala
- Grátis para leitores em qualquer escala; um time que queira impor regras nas máquinas paga o HOL Guard Team a $30 por assento por mês, e um autor com várias fichas paga o Gold a $22.99 por mês por reanálises prioritárias.
- Limites
- Só análise estática, com falhas documentadas para comandos codificados, comandos montados em tempo de execução, cargas baixadas e instruções em texto corrido; os servidores MCP em sua maioria não são analisados; as notas não são normalizadas por runtime; a API tem limites de uso sem números publicados.
O que é bom
- Grátis e sem conta para navegar
- Método de nota publicado com pesos, tetos e ajustes
- Achado alto ou crítico limita o plugin a 39, por mais caprichado que seja
- Publica as falhas do próprio scanner: 7 de 11 testes de evasão
- Comandos de instalação para Claude Code, Codex, Cursor e outros em uma página
O que não é
- Só análise estática; nunca executa o plugin
- 14 de 52,042 servidores MCP listados analisados
- Fichas Blue pagas são reanalisadas mais rápido; um link de selo soma 2%
- As contagens do catálogo variam entre páginas
- A operadora é uma DAO LLC das Ilhas Marshall sem pessoas nomeadas
Ideal para
Desenvolvedores e times de plataforma que querem um sinal de risco rápido e documentado antes de instalar um plugin de agente de programação, e que ainda vão ler o código.
HOL Plugins: perguntas frequentes
- HOL Plugins vale a pena?
- Um primeiro teste útil para plugins de agentes de programação, honesto sobre os próprios pontos cegos, mas a nota é uma leitura estática dos arquivos e o dinheiro fica desconfortavelmente perto dela. Damos nota 3.6 de 5.
- Quanto custa HOL Plugins?
- Grátis para navegar e para listar um repositório público do GitHub. Opcional para donos de plugins: HOL Blue $4.99/mês por ficha, Gold $22.99/mês; posições patrocinadas a partir de $200/mês. O HOL Guard é separado: Free, Solo $4.99, Pro $15, Team $30/assento/mês.
- Quais são as desvantagens de HOL Plugins?
- Só análise estática; nunca executa o plugin; 14 de 52,042 servidores MCP listados analisados; fichas Blue pagas são reanalisadas mais rápido; um link de selo soma 2%; as contagens do catálogo variam entre páginas; a operadora é uma DAO LLC das Ilhas Marshall sem pessoas nomeadas.
- Para quem HOL Plugins é indicado?
- Desenvolvedores e times de plataforma que querem um sinal de risco rápido e documentado antes de instalar um plugin de agente de programação, e que ainda vão ler o código.
- Quanto custa HOL Plugins para uma equipe ou em produção?
- Grátis para leitores em qualquer escala; um time que queira impor regras nas máquinas paga o HOL Guard Team a $30 por assento por mês, e um autor com várias fichas paga o Gold a $22.99 por mês por reanálises prioritárias.
- HOL Plugins é seguro para dados da empresa?
- Navegar não exige conta; anúncios do Google podem gravar cookies quando ativados e não carregam com Do Not Track. Os relatórios de instalação do HOL Guard são opcionais e só enviam ficha, runtime e versão toda semana; relatórios brutos são apagados após 13 semanas e os totais semanais ficam 12 meses. Reutilizar comercialmente as notas da HOL exige permissão por escrito.
Respostas verificadas em 11 de nov. de 2026.