Claude Codeがzip配布のプラグインに対応

今回のアップデートで何ができるようになったか

Claude Codeのv2.1.224で、プラグインの入手方法に新しい選択肢が増えました。それが「archive plugin source」と呼ばれる仕組みです。ひとことで言うと、HTTPS経由でzipファイルをダウンロードするだけでプラグインをインストールできるようになった、というアップデートです。

これまでプラグインを配るには、gitリポジトリを使ったり、npmパッケージとして公開したりする必要がありました。どちらも便利な仕組みですが、裏を返せば「gitやnpmが使える環境」が前提になっていたということでもあります。社内のネットワーク制限が厳しい環境や、そもそもgit/npmを使わない配布ポリシーのチームでは、これが地味なハードルになっていました。

今回のarchiveソースは、そうした前提を取り払い、「zipファイルをHTTPSでダウンロードできる場所に置いておけばそれでいい」というシンプルな配布方法を追加するものです。

プラグインって何だったか、おさらい

プラグインは、Skill・hooks・サブエージェント・MCPサーバーといった拡張機能をひとまとめにして配布できるClaude Codeの仕組みです。マーケットプレイスを通じてチームに配ることもできます。

プラグインを「どこから取ってくるか」を決めるのが今回話題になっている「プラグインソース」で、これまではgitリポジトリかnpmパッケージが主な選択肢でした。今回、そこに3つ目の選択肢として「zipアーカイブをHTTPS経由で取得する」方法が加わった、というのが今回のアップデートの中身です。

安全性への配慮:SHA-256による検証

zipファイルをネット経由で落としてくる、と聞くと「変なファイルが混入していたらどうするの?」と不安になる人もいると思います。そこでarchiveソースには、任意でSHA-256のハッシュ値を指定して、ダウンロードしたzipが改ざんされていないかを検証できる機能が用意されています。これを「pinning(ピン留め)」と呼びます。

ハッシュ値というのは、ファイルの中身から計算される一種の「指紋」のようなものです。あらかじめ正しいファイルのハッシュ値を控えておき、ダウンロードしたzipのハッシュ値と一致するかどうかを確認すれば、途中で内容がすり替えられていないかをチェックできます。これを設定しておけば、配布元のサーバーが乗っ取られたり、通信経路上でファイルが差し替えられたりするリスクに備えられるわけです。

どんな場面で嬉しいか

たとえば、社内でしか使わない業務用のスクリプトやテンプレートをプラグイン化して配りたい場合、わざわざ社内Git基盤やnpmレジストリを整備しなくても、社内のファイルサーバーやS3のようなストレージにzipを置いておくだけで配布が完結します。

また、gitやnpmの利用が制限されている環境(セキュリティポリシーが厳しい企業など)でも、HTTPSさえ通れば導入できるという点は大きな利点です。配布のハードルが下がることで、チーム内での小さな自動化ツールやSkillの共有がより気軽にできるようになるはずです。