Claude Code Mod’ları: Kurulum, Güvenlik ve Yapabildikleri

Claude Code mod’ları canlı bir gösterge paneli ekleyebilir, bir shell komutunu çalışmadan önce yakalayabilir veya modelin gördüğü içeriği değiştirebilir. Anthropic’in resmî duyurusuna göre mod’lar, plugin olarak dağıtılan TypeScript uzantıları. Claude Code ile aynı makine erişimine sahipler; ancak API hâlâ erken erişim aşamasında.

Kurulum komutundan önce güven sınırını anlayın

Claude Code mod’ları, Claude Code plugin’lerinin içine yerleştirilen küçük TypeScript işlevlerinden oluşur. Bir mod, bir olayı izleyebilir, normal davranış devreye girmeden önce olayı değiştirebilir veya isteği doğrudan kendisi yanıtlayabilir. Anthropic’in örnekleri arasında bağlam takibi, komutların etkisini önceden gösterme, düzenlemeleri yeniden oynatma ve takip sorusu önerileri bulunuyor.

Mod’lar sandbox içinde çalışmaz. Bu yüzden üçüncü taraf bir modu masum bir tema ya da prompt dosyası gibi değil, sisteme yüklediğiniz bir kod parçası gibi değerlendirmelisiniz.

“Mod’lar, makinenize Claude Code’un kendisiyle aynı erişim yetkileriyle çalışır.” — PJFP’nin 1 Ekim 2026 tarihli rehberi

Bir kullanıcının 31 mod üzerinde yaptığı incelemede, bu uzantıların komut çalıştırıp çalıştıramadığı, ağa erişip erişemediği ve prompt’ları ya da araç çağrılarını gözlemleyip gözlemleyemediği takip edildi (u/wh4avy). Kurulumdan önce her modun erişebildiği alanları tek tek kontrol edin.

Claude Code mod’ları gerçekte neyi değiştiriyor?

Bir mod, plugin’in hooks modülünde yer alır ve register adlı bir işlev dışa aktarır. Bu işlev, topluluk tarafından hazırlanan öğrenme kaynağında açıklandığı üzere tool.call, turn.start, turn.complete, command.run ve ui.render gibi olaylara tür güvenli işleyiciler bağlar.

Mod’ların üç temel çalışma biçimi vardır:

1. İzleme: Bir olayı inceler, next(e) çağrısını yapar ve sonucu değiştirmeden devam eder.
2. Yeniden yazma: Olayı iletmeden önce değiştirir; örneğin bir komuta güvenlik kuralı ekler.
3. Doğrudan yanıt: Sonucu kendisi döndürür. Örneğin bir araç çağrısını devam ettirmeden reddedebilir.

Resmî showcase, bu yeteneklerin pratikte ne işe yaradığını gösteriyor. Token Weather bağlam kullanımını görüntülüyor; Blast Radius, rm -rf build komutunun çalıştırılmadan önce 9 dosyayı ve 1.1 MB veriyi etkileyeceğini gösterip Proceed veya Cancel seçeneklerini sunuyor; Replay Theater ise üç dosyaya yayılan beş adımlık düzenleme sürecini yeniden oynatıyor.

Mod, plugin, klasik hook, MCP sunucusu ve skill arasındaki fark

Bu kavramlar birbirine yakın görünse de farklı uzantı ihtiyaçlarına karşılık gelir.

Her mod bir plugin’dir, ancak her plugin mod değildir. Harici bir komut yeterliyse klasik hook’u, harici araç veya veri gerekiyorsa MCP’yi, işlem içi olay kontrolü ya da kalıcı bir arayüz istiyorsanız modu tercih edin.

Erişimi farkında olmadan genişletmeden mod kurun

Anthropic’e göre mod’lar Claude dizini veya /plugin üzerinden kurulabilir; CLI, masaüstü uygulaması ya da her ikisi için hedeflenebilir. Claude Code sürümünüzün desteklediği kesin komutu görmek için plugin’in güncel README dosyasına ve resmî dokümantasyona bakın.

Tipik bir marketplace kurulumu şu şekilde görünür:

/plugin marketplace add your-org/my-mods
/plugin install token-weather@my-mods
/reload-plugins

Yerel geliştirme için resmî duyuruda, mevcut oturumda bir plugin oluşturma veya yükleme akışı da destekleniyor. Yerel bir dizini şu komutla yükleyebilirsiniz:

claude --plugin-dir ./token-weather

Plugin kaynak kodunu sürüm kontrolünde tutun, onaylanmış sürümü sabitleyin ve yayıncı incelemeye açık yeni bir sürüm sunmadan davranışı değiştirirse plugin’i kaldırın.

Minimal bir function-hook yapısı

Küçük bir TypeScript gözlemcisi şöyle görünebilir:

export function register(on) {
  on("tool.call", { tool: "Bash" }, async ($, e, next) => {
    return next(e)
  })
}

Bu örnek, Bash olaylarını değiştirmeden iletir. Yeniden yazma işleminde next işlevine değiştirilmiş olayı gönderirsiniz; reddetme işleminde ise bunun yerine bir ret yanıtı döndürürsünüz. Bu kod parçasını kalıcı bir sözleşme olarak görmeyin: function-hook API’si Claude Code sürümleriyle birlikte değişebilir.

Bir modu erişebildiği yüzeye göre inceleyin

Awesome Claude Code Mods tarayıcısı, 17 Eylül 2026 tarihli snapshot’ında 72 mod raporladı: 30’u host süreçleri çalıştırıyor, 11’i dosya yazıyor, 24’ü dosya okuyor, 14’ü ağa erişiyor, 24’ü tüm araç çağrılarını ve 23’ü tüm prompt’ları görebiliyor.

Bu tarayıcıdaki erişim seviyeleri şöyle tanımlanıyor: L0, arayüz çizer ve hatırlar; L1, okur; L2, dosya yazar veya süreç çalıştırır; L3 ise ağa erişir. Bu seviyeler kaliteyi değil, erişim alanını gösterir. Asıl önemli olan, her yeteneğin gerekli, görünür ve incelenebilir olup olmadığıdır.

Bir modu etkinleştirmeden önce şunları kontrol edin:

• Hangi olaylara bağlanıyor: prompt’lara, araç çağrılarına, komutlara veya yalnızca arayüze mi?
• Dosya yazabiliyor, süreç çalıştırabiliyor, ağa bağlanabiliyor veya agent başlatabiliyor mu?
• Gizli bilgileri maskelemeden önce inceleyebiliyor mu?
• Depo herkese açık mı, lisansı var mı ve arkasında kimliği belli bir geliştirici bulunuyor mu?
• README dosyası, hangi verilerin makine dışına çıktığını açıklıyor mu?
• Kullandığınız Claude Code sürümü için bir test veya doğrulama komutu var mı?
• Ayar ya da kimlik bilgisi bırakmadan devre dışı bırakabilir veya kaldırabilir misiniz?

Mod’lar nerede işe yarar, nerelerde henüz kullanmazdım?

İlk projeler için en mantıklı seçenekler, kapsamı dar güvenlik ve görünürlük araçlarıdır: üretim komutları için onay paneli, gizli bilgi maskeleyici, bağlam veya maliyet ölçer, CI durumu paneli ya da yeniden oynatılabilir düzenleme görünümü. Bu örneklerin her birinde net bir olay sınırı ve kullanıcıya doğrudan görünen bir fayda vardır.

Trafiği sessizce başka bir yere yönlendiren, izinleri otomatik onaylayan veya ortada açık bir ihtiyaç yokken tüm prompt’ları okuyan bir modla başlamayın. Bu tür tercihler, uzantıyı yeterince test etmeden önce güven sınırını genişletir.

Ekip kullanımı için onaylanmış bir marketplace’ten küçük ve tek amaca odaklanan bir modla başlayın, onaylanan sürümü kayda geçirin, daha sonra yüklenen bir modun ret kuralını aşamadığını test edin ve geri dönüş seçeneğini koruyun.

Claude Code mod’ları hakkında sık sorulan sorular

Mod ile plugin arasındaki fark nedir?

Mod, davranışını TypeScript function-hook’larıyla gerçekleştiren bir plugin’dir. Genel amaçlı bir plugin ise skill, agent, klasik hook veya MCP sunucularını paketleyebilir.

Mod’lar CLI’da ve masaüstü uygulamasında çalışır mı?

Anthropic, mod’ların Claude Code CLI’ı, masaüstü uygulaması veya her ikisi için hedeflenebileceğini söylüyor. Belirli bir plugin’in gerçekten desteklediği platformlar manifest dosyasına ve dokümantasyonuna bağlıdır.

Claude Code mod’ları sandbox içinde mi çalışır?

Hayır. Anthropic’e göre mod’lar Claude Code ile aynı makine erişimine sahip. Bir modu kurmadan önce kaynak kodunu ve istediği izinleri inceleyin.

Claude Code bir mod geliştirebilir mi?

Anthropic, Claude Code’un TypeScript kodunu oluşturabildiğini, modu kurabildiğini ve mevcut oturuma hot-reload ile yükleyebildiğini belirtiyor. Ancak oluşturulan kodun da kaynak incelemesinden ve testlerden geçmesi gerekir.

Claude Code mod’ları ek ücretli mi?

Resmî duyuruda mod’lar için ayrı bir ücret belirtilmiyor. Bununla birlikte bir mod, kendi ücretlendirmesi olan harici bir servisi veya API’yi çağırabilir.

İlk mod olarak en güvenli seçenek hangisi?

Bağlam ölçer, yıkıcı komutlar için inceleme paneli veya CI durumu ekranı gibi kapsamı dar ve davranışı görünür bir araç seçin. Tüm prompt’ları yakalamaya veya izinleri otomatik onaylamaya, modun toplam erişim alanını tam olarak anlamadan başlamayın.

Önce claude --plugin-dir ile modu yerel olarak kurun, istediği yetenekleri inceleyin ve ortak kullanılan bir marketplace’e taşımadan önce doğrulayın.