MCP, plugins & extensions

Au-delà de Claude « nu », tout un écosystème permet d’étendre ses capacités : serveurs MCP, extensions d’éditeur, intégrations. Bien choisis, ces outils décuplent votre efficacité. Mal choisis, ils ajoutent de la complexité et ouvrent des risques de sécurité réels. Ce module vous aide à trier.

Comprendre les MCP

Un « serveur MCP » est un petit programme qui donne à l’IA une nouvelle capacité — lire votre base de données, piloter un navigateur, accéder à GitHub, interroger une documentation. L’idée est puissante : plutôt qu’une IA qui ne fait que produire du texte, vous obtenez une IA qui agit dans votre environnement de travail. Mais chaque capacité ajoutée est aussi une porte ouverte — d’où l’importance de choisir avec discernement.

Les intégrations réellement utiles

Indispensables (ou presque) selon votre projet

• Accès au système de fichiers : le socle qui permet à Claude Code de lire et modifier votre projet.
• Intégration Git / GitHub : pour travailler avec votre historique, vos branches, vos diffs.
• MCP de base de données (Supabase/PostgreSQL) : laisser l’IA consulter la structure lui évite d’inventer des champs.
• Pilotage de navigateur (type Playwright) : pour que l’IA teste réellement votre site et attrape les erreurs.

Facultatifs mais appréciables

• Accès à la documentation à jour : réduit les hallucinations sur les API (Module 6).
• Recherche web : utile pour vérifier une information, avec un œil critique sur les sources.
• Intégrations métier (gestion de projet, communication, design) : pertinentes si elles correspondent à votre flux réel, superflues sinon.

Avantages et limites

Les avantages sont clairs : moins de copier-coller, une IA plus autonome, un contexte plus riche (donc moins d’erreurs), la capacité de tester directement. Les limites méritent d’être connues : la complexité croît vite (chaque intégration est une pièce de plus à configurer et déboguer), la fiabilité varie d’un serveur à l’autre, et multiplier les outils actifs peut disperser l’attention de l’IA. Un équipement ciblé est souvent plus efficace qu’un arsenal.

Les risques de sécurité (le point à ne pas négliger)

C’est le sujet le plus important de ce module, et le plus sous-estimé. Installer un serveur MCP ou une extension, c’est accorder un accès — à vos fichiers, votre base de données, parfois vos identifiants. Cela impose une vigilance réelle :

La confiance dans la source.

Un serveur MCP tiers exécute du code sur votre machine et accède à ce que vous lui autorisez. Installer un outil non vérifié, c’est potentiellement laisser entrer un programme malveillant. N’installez que ce dont vous connaissez et vérifiez l’origine.

L’étendue des permissions.

Un outil qui demande l’accès à toute votre base, à vos secrets ou à Internet doit être questionné. Principe du moindre privilège : n’accorder que le strict nécessaire.

L’injection de prompt via des données externes.

Si l’IA lit un contenu externe (page web, fichier reçu) contenant des instructions cachées, elle pourrait être manipulée. Ne lui faites pas exécuter aveuglément des instructions issues de sources que vous ne contrôlez pas.

La fuite de données sensibles.

Un outil connecté à un service externe peut transmettre des informations hors de votre environnement — un enjeu de conformité (RGPD).

Chaque intégration doit être justifiée, vérifiée, et limitée au strict nécessaire. Un équipement MCP minimal et sûr vaut infiniment mieux qu’un arsenal impressionnant mais incontrôlé.