Plugin de Postman en Claude Code o Codex: cómo detectarlo y eliminarlo

Desde finales de octubre de 2026, varios usuarios de Postman para escritorio han visto que, al abrir la app, Claude Code y Codex reciben un plugin de Postman, un hook SessionStart y un servidor MCP remoto, y que aparece la CLI de Postman en ~/.local/bin. Aquí revisamos cada archivo, lo borramos y vemos cómo evitar que vuelva.

Qué pasó

El reporte es el issue #14370 del repositorio de Postman, con Postman 12.33.4 en macOS. El log ~/Library/Application Support/Postman/logs/main.log registró:

PostmanAgentPluginService~install: script completed
{"source":"auto-existing-upgrade","results":["claude-code:installed","codex:installed"],"installer":"script"}

Main: autoInstall.plugin.existing-user finished
{"outcome":"installed","platform":"darwin","exposed":true,"signedIn":true,"flagTimedOut":false,"useScript":true,"installer":"script","scriptResults":"claude-code:installed,codex:installed"}

Otro usuario vio lo mismo al actualizar de 12.31.3 a 12.35.1. Cambios: [marketplaces.postman], [plugins."postman@postman"] y un registro hooks.state con trusted_hash en ~/.codex/config.toml; un hook SessionStart que carga la skill postman:api-engineer; un MCP remoto en https://mcp.postman.com/mcp; postman@claude-plugins-official activado en ~/.claude/settings.json; y la CLI en ~/.local/bin. El README del plugin dice que en Codex la instalación «also approves Postman’s session-start hook». El autor del reporte no afirma que haya fuga de datos.

Comprobar

claude plugin list
codex plugin list
grep -il postman ~/.claude/settings.json ~/.codex/config.toml
grep -n -i -A3 postman ~/.codex/config.toml
ls -la ~/.local/bin | grep -i postman
grep -il postman ~/.copilot/settings.json

Eliminar el plugin de Postman

Ruta oficial: Help → Postman CLI and Plugins → Uninstall Postman Coding Agent Plugin, o npx @postman/postman-plugin remove. Un usuario indica que no limpió Copilot.

Claude Code (comandos de la referencia oficial de la CLI de plugins):

claude plugin uninstall postman@claude-plugins-official --scope user
claude plugin uninstall postman@postman --scope user

Codex:

codex plugin remove postman@postman
codex plugin marketplace remove postman

Después haz copia de ~/.codex/config.toml y borra a mano las tablas [marketplaces.postman], [plugins."postman@postman"] y [hooks.state."postman@postman:hooks/codex-hooks.json:session_start:0:0"]; el desinstalador de Postman no toca hooks.state.

CLI: borra el ejecutable de Postman y su carpeta lib en ~/.local/bin según lo que muestre ls. El issue no da el nombre exacto de la carpeta.

Evitar que se reinstale

A 5 de noviembre de 2026 el issue sigue abierto y no existe un interruptor publicado. La cuenta zecoquit, que respondió en nombre de Postman (GitHub no la marca como miembro), prometió hacer el opt-in «más claro». Si no usas la app, desinstálala; si la usas, repite las comprobaciones tras cada actualización y no apruebes hooks que no reconozcas.

Más: plugins y hooks de Claude Code, skills vs MCP, mejores MCP, API key filtrada y errores de Claude Code.