当サイトには多くの DeepSeek Harness プラグインが収録されていますが、「インストールできる」ことと「インストールすべき」ことは別問題です。このチュートリアルでは、カタログでの検索、詳細ページのセキュリティシグナルの読み方、dsp CLI でのドライランと安全なインストールまで、各ステップに明確な確認リストを示します。
カタログでプラグインを探す
プラグイン探しの第一歩は、当サイトのプラグインカタログです。登録済みのすべてのプラグインを収録しています。絞り込みには3つの方法があります：
- カテゴリ別に閲覧：カタログは用途別に agents、cli、ui、workflows、tools、notify、dev、fun の8カテゴリに分かれています。Agent の機能を強化するプラグインを探すなら、agents カテゴリを直接見てください；
- キーワード検索：検索はプラグイン名、説明、README 内のタグに一致し、関連度順に並びます。具体的な表現ほど的確な結果が得られます；
- 人気検索：カタログページに人気検索の入口があり、他のユーザーが何をインストールしているか分かります。
コマンドライン派は dsp で直接検索することもできます：
dsp search "code review"
プラグイン詳細ページを読み解く
任意のプラグインをクリックすると詳細ページに移動します。インストール前に、このページの4つの情報を必ず確認してください。
README とクイック統計
ページの本体はプラグインの GitHub README で、中国語版とオリジナル版を切り替えられます。まず読んで、プラグインの機能と必要な設定を確認してください。ページ上部のクイック統計には Star、Fork、未解決 Issue、Watcher の数が表示され、コミュニティでの人気を素早く把握できます。
リポジトリ情報と信頼レベル
リポジトリ情報セクションには、主言語、ライセンス、作成日、更新日、最新コミット日が並びます。さらに重要なのが信頼レベルの表示です：公式、検証済み、コミュニティのいずれかで、レベルが低いほど自分自身での確認が重要になります。
インストールメタデータと flags
インストールメタデータセクションには、パッケージ名、正確なバージョン、整合性ハッシュがあり、ショートカットインストールの根拠になります。あわせてページに表示される flags（ライフサイクルスクリプトの検出など）や、下部の関連プラグイン推奨も確認してください。同種の代替のほうが活発にメンテナンスされているかもしれません。
セキュリティシグナルスコアを理解する
各プラグインには5点満点のセキュリティシグナルスコアがあります。公開メタデータから固定ルールで計算され、コード監査ではありませんが、明らかにリスクのあるプラグインを素早く除外できます。評価は5項目です：
- 出所の追跡可能性：公開カタログに登録され、公開 GitHub リポジトリを指している；
- ライセンス：明確なオープンソースライセンスがあれば加点、ライセンスがない場合は警告；
- メンテナンス活動：180日以内にコミットがあれば活発；
- インストールエビデンス：正確な npm バージョンと整合性ハッシュが登録され、bundle チェックを通過；
- インストールライフサイクルスクリプト：preinstall、postinstall などのスクリプトが検出されると警告。これらはインストール時に自動実行され、最もリスクが高いです。
dsp CLI で安全にインストール
確認が済んだら、dsp CLI でのインストールを優先してください。完全なインストールエビデンスを持つプラグインのみショートカットインストールでき、全体をプレビュー可能です：
dsp show owner/repo
dsp install owner/repo --dry-run
dsp install owner/repo --yes
dsp show でまずインストールエビデンスを確認し、--dry-run で計画を表示（何も変更しません）、問題がなければ --yes で実行します。インストール全体の流れ（dsp 自体のインストールを含む）は『クイックスタート』を参照してください。
エビデンスのないプラグインを手動インストール
プラグインにインストールエビデンスがない（正確なバージョンやハッシュが登録されていない）場合、dsp はショートカットインストールを提供しません。その場合はプラグインの README に従って手動でインストールします。一般的な形は次のとおりです（必ず README を優先してください）：
# 一般的な形の例。必ずプラグインの README に従ってください
git clone https://github.com/owner/repo.git
cd repo
npm install
手動インストールでは dsp の整合性チェックがすべて無効になるため、パッケージの出所と内容を自分で確認する必要があります。
インストール前のセキュリティチェックリスト
どの方法でインストールする場合も、インストール前にこのリストを確認してください。各項目は詳細ページまたはドライランの出力で答えが分かり、5分もかかりません：
- 出所のリポジトリが存在し、公開されていることを確認：詳細ページの「リポジトリ情報」からリンクされている GitHub リポジトリが正常に開き、空ではなく、コミット履歴が実際に見える；
- ソースを読む：少なくともメインエントリファイルに目を通し、不審なネットワークリクエストやコマンド実行がないか確認；
- ライセンスを確認：ライセンスのないプラグインは慎重に；
- メンテナンス活動を確認：最新コミットが180日以内か、Issue に反応があるか；
- セキュリティシグナルスコアを確認：詳細ページの5点満点スコアと5項目を照合し、警告項目（ライフサイクルスクリプトなど）があれば理由を個別に確認；
- インストールスクリプトを確認：package.json の preinstall、postinstall などのライフサイクルスクリプトをチェック；
- ドライランで計画を確認：パッケージ名、バージョン、対象 profile、出力に書かれた書き込み予定のファイルと権限が想定どおりか；
- 権限モデルを意識する：サードパーティプラグインはあなたのユーザー権限で実行され、あなたと同じことができてしまいます。
読み込みを確認
インストール後に Harness Web UI を起動し、プラグインが起動ログに表示されることを確認します：
dsh web
# http://127.0.0.1:3080 を開く
読み込み済み一覧にプラグイン名が見えればインストール成功です。読み込みに失敗した場合は、エラーメッセージを手がかりに詳細ページでバージョンと設定を再確認してください。
更新とアンインストール
プラグインはインストールしっぱなしでよいものではありません。新バージョンは問題の修正や機能追加をもたらす一方、互換性のない変更を含む可能性もあります。更新もアンインストールも「まず確認、それから実行」のリズムで進めます。
インストール済みプラグインを更新
まずプラグインの詳細ページを開き、インストールメタデータの最新登録バージョンと現在インストールしているバージョンを比較し、最新コミット日時からメンテナンスが継続していることを確認します。更新する場合は、安全なインストールの流れをもう一度行うだけです。dsp は登録された packageName@version をインストールするため、再実行すると最新の登録バージョンが入ります：
dsp show owner/repo
dsp install owner/repo --dry-run
dsp install owner/repo --yes
更新前に1分だけ README や changelog を読んでください。メジャーバージョンアップでは設定形式が変わる可能性があります。ドライランの出力には書き込まれる profile とバージョンが明記されるので、問題がなければ --yes を付けます。
プラグインをアンインストール
アンインストールの基本は、profile のプラグイン設定からプラグインを除去し、Harness を再起動することです。dsp と dsh の正確な管理コマンドは公式ドキュメントを参照してください（DeepSeek Harness 公式クイックスタート）。
README に従って手動インストールした場合（git clone 方式）は、アンインストールも手動です。clone したディレクトリを削除し、profile 設定に追加したプラグイン参照を除去してから、dsh web を再起動して起動ログにプラグインが表示されなくなったことを確認してください。
検索とインストールのよくある質問
セキュリティシグナルスコアは何を表しますか？
公開メタデータから固定ルールで算出される5点満点のスコアで、出所、ライセンス、メンテナンス活動、インストールエビデンス、ライフサイクルスクリプトの5項目を評価します。メタデータが揃っているかを示すだけで、コード監査ではなく、あなた自身の判断を代替するものではありません。
インストールエビデンスのないプラグインはインストールできますか？
できますが、プラグインの README に従って手動でインストールする必要があり、dsp のショートカットインストールは使えません。整合性ハッシュがないと、インストールする内容を登録情報と照合できないため、必ずソースを読み、メンテナンスが信頼できることを確認してからインストールしてください。
プラグインがまだメンテナンスされているかはどう判断しますか？
詳細ページの最新コミット日時と更新日時を確認してください。180日以内にコミットがあればメンテナンス活動があるとみなされます。未解決 Issue に反応があるか、更新頻度が安定しているかも参考になります。長期間更新されていないプラグインは、新しい Harness と互換性がない可能性があります。
プラグインを更新すると設定は失われますか？
更新では新しいバージョンのプラグインパッケージをインストールするだけで、profile 内の設定が意図的に消去されることはありません。ただしメジャーバージョンアップでは設定形式が変わる可能性があるため、更新前に README や changelog を読み、--dry-run で書き込まれるバージョンと profile を確認してください。
手動インストールしたプラグインはどうアンインストールしますか？
手動インストールしたプラグインは dsp の管理対象外です。clone したディレクトリを削除し、profile 設定に追加したプラグイン参照を除去してから、dsh web を再起動して起動ログに表示されなくなったことを確認してください。dsh の正確な管理コマンドは公式ドキュメントを参照してください。