Postmanが入れたClaude Code・Codexの設定を確かめる｜読み取り専用の点検表

Postmanが追加した設定を確かめるなら、まず ~/.codex/config.toml と ~/.claude/settings.json などを読み、postman を含む登録を探してください。Postman Desktop 12.33.4からClaude Code・Codexへプラグインが自動導入されたという報告が、公式トラッカーのissue #14370にあります。Postmanは11月5日に変更を取り消すと返答しました。データの外部送信は未検証です。この記事ではアプリの起動や削除をせず、手元に残る登録を読む方法を示します。

確認日：2026-11-08 JST。報告対象：Postman Desktop 12.33.4、Codex向けPostman plugin 1.1.0、Claude Code側の導入記録2.0.1、source revision 6c8e452e0f4237f4bcc0901cb1ac442dec707e49。実測環境：macOS（Darwin 25.6.0）、Claude Code 2.1.317、codex-cli 0.166.0。指定した2か所にPostman.appはありませんでした。Desktopの取り消し版、設定の自動削除、実通信の内容は未確認です。

要点は4つです。

• 報告者が見つけたのは、プラグイン、起動hook、リモートMCPの登録とPostman CLIです。このMacの観測とは区別します。
• 固定版のインストーラーには、Codexの自分のhookを承認しようとする処理があります。保存されたtrustの値だけで、記録を作った人までは分かりません。
• 現在のrepositoryにはCodexの起動hookを外す変更と、古い承認記録を除く remove の説明があります。Desktop更新時の自動撤去を確かめたものではありません。
• 設定を読む点検では、プラグインの導入・削除やMCPへの接続は不要です。見つかった登録の出所は日時やログと照合して判断します。

#Postman Desktopは何を入れたと報告されていますか？

#出典と対象バージョンはどれですか？

issue #14370の報告者は、既存のPostmanを開いたあと、Mac上のClaude CodeとCodexで予期しない変化を見つけたと述べています。報告に含まれる証拠はauto-existing-upgrade と両エージェントへの導入成功を記録したPostmanのログ、ユーザー共通の設定、CLIの存在です。報告者自身も、初期状態のMacでの再現はしていないと限定しています。

報告上のDesktopのバージョンは12.33.4です。Codex向けpluginの1.1.0、Claude Code側の2.0.1、後述するインストーラーの0.7.2は別のバージョン番号です。いずれもDesktopの修正版番号へ読み替えないでください。

#起動hookを「信頼済み」にする処理は何ですか？

報告されたrevisionのhook定義は、SessionStart と startup|clear|compact を指定しています。起動時の文書には、広いAPI開発タスクをPostmanのskillへ誘導する指示があります。これは調査対象の文書であり、点検する人への実行指示ではありません。

同じrevisionの呼び出し元は、導入後に approvePostmanHook を呼びます。承認処理は hooks/list でhashを取得し、config/batchWrite で hooks.state の trusted_hash を追加・更新しようとします。APIが使えない場合などは、承認をスキップする設計です。コードが示すのは承認の試行で、すべての環境での承認成功ではありません。Codexの全バージョンのtrustの意味や挙動まで検証したものでもありません。

Claude Codeについては公式hook資料に、SessionStartのプレーンテキスト標準出力がコンテキストへ加わるという説明があります。Codexの内部仕様とは分けて読んでください。

#Postmanの返答と、その後の変更はどうなっていますか？

Postman側の返答は2026-11-05のものです。MEMBER表示の preethammavin はセットアップを簡単にする意図だったが、利用者の制御を見直し、それまで変更を取り消すと述べています。issueは同日11:41:48 UTCに a85 がcloseし、APIのstate_reasonは completed でした。closeだけで修正版の配布を確認できるわけではありません。

#データは外部へ送られたのですか？

データの外部送信は未検証です。報告者も外部送信の立証は主張していません。固定版のMCP定義は https://mcp.postman.com/mcp を指し、issueには認証要求で接続に失敗したログがあります。この接続失敗を、すべての通信がなかった証拠として扱うこともできません。

#Desktopを更新すると既存の設定も消えますか？

未確認です。プラグインrepositoryの変更と、Desktopの配布・既存設定の自動削除は別に確認する必要があります。この記事では更新も削除も実行していません。現在のREADMEにある手動の remove の説明から、自動撤去を推定しないでください。

#自分のMacでは、どこを読めば分かりますか？

下の表は既定の保存先を対象にしています。CODEX_HOME や CLAUDE_CONFIG_DIR を変えている場合は、その保存先も確認してください。ファイル内に語がないことだけで、キャッシュ・project scope・管理者設定を含む全登録の不在は証明できません。

このMacではprojectの .claude/settings.json と .claude/settings.local.json もありませんでした。任意の場所へ置かれたPostman.appや過去の導入履歴は調べていません。対象ファイルの実測前後のSHA-256は一致しました。

#Codexでは何を確かめますか？

config.toml の [marketplaces.postman]、[plugins."postman@postman"]、[hooks.state."postman@postman:hooks/codex-hooks.json:session_start:0:0"] が報告された表名です。存在した場合は、その設定とpluginの保存先を手元で照合してください。~/.codex/plugins などのファイル名だけでは有効化や実行までは分かりません。今回は該当するplugin・hookの名前を見つけていません。

#Claude Codeでは何を確かめますか？

settings.json の enabledPlugins と、plugins/installed_plugins.json の導入記録を照合します。公式plugin資料と設定資料も参照してください。MCPの直接登録は ~/.claude.json やprojectの .mcp.json、pluginに同梱された定義などに分かれます。保存範囲はClaude CodeのMCP設定で整理しています。

次のブロックは既定の設定ファイルを読み、一致した行番号だけを表示します。設定値は表示しません。ファイルなし、一致なし、読取不能を分け、symlink自体は読み飛ばします。親ディレクトリを含む信頼できる作業場所で実行してください。

for file in \
  "$HOME/.codex/config.toml" \
  "$HOME/.claude/settings.json" \
  "$HOME/.claude/plugins/installed_plugins.json" \
  "$HOME/.claude/plugins/known_marketplaces.json" \
  "$HOME/.claude.json" \
  .claude/settings.json .claude/settings.local.json .mcp.json
do
  label=${file#"$HOME"/}
  if [ -L "$file" ]; then
    printf '%s: SYMLINK_SKIPPED\n' "$label"
  elif [ ! -e "$file" ]; then
    printf '%s: MISSING\n' "$label"
  elif [ ! -f "$file" ] || [ ! -r "$file" ]; then
    printf '%s: UNREADABLE\n' "$label"
  else
    lines=$(grep -n -i 'postman' "$file")
    result=$?
    case "$result" in
      0) printf '%s: MATCH_LINES\n' "$label"
         printf '%s\n' "$lines" | cut -d: -f1 ;;
      1) printf '%s: NO_MATCH\n' "$label" ;;
      *) printf '%s: READ_ERROR\n' "$label" ;;
    esac
  fi
done

このブロックをsh・zshの合成環境で検査しました。表示は点検の手がかりで、有効な設定全体を解析するものではありません。各行に UNREADABLE や READ_ERROR が出たら「一致なし」に数えないでください。

#CLIやアプリ側の痕跡はどこにありますか？

アプリのバージョンは起動せず Info.plist の CFBundleShortVersionString から読めます。~/Library/Application Support/Postman/logs/main.log があれば、手元で PostmanAgentPluginService や auto-existing-upgrade を探し、設定の更新時刻と比べてください。CLIは ~/.local/bin/postman と command -v postman で所在を確かめます。ログの原文やPATHにはアカウント名などが含まれ得るため、共有する前に伏せてください。

#登録が見つかったら、削除の前に何をしますか？

#記録してから外す順番はどうなりますか？

該当するファイル名、登録名、更新時刻を手元に控え、意図して入れたものかを確認してください。そのあと、作業中のCodex・Claude Codeを終了し、PostmanのREADMEや各CLIの公式手順に照らして削除範囲を決めます。READMEの remove は削除操作です。今回は実行しておらず、残存設定を含む削除結果は検証していません。

READMEは status も案内していますが、npx @postman/postman-plugin@latest status は第三者のコードを取得・実行します。また claude mcp list は公式資料で接続状態を表示するコマンドと説明されています。今回は接続を避けるため、どちらも使っていません。--dry-run による無変更の保証も検証していません。

#チームで確認結果を共有するにはどうしますか？

同じファイル一覧で点検し、「一致あり」「一致なし」「ファイルなし」「未確認」を区別して共有してください。trusted_hash の値、認証情報、アカウント名やログ全文を貼る必要はありません。一致だけでPostman Desktopが原因と断定せず、導入日時と本人の操作も確認します。

#他のアプリが設定を追加した場合にも気づくには？

起動時に何が読み込まれるかは、hookの終了コードと出力やskillsの保存先と一緒に確認できます。worktreeによる作業分離を使う場合も、ユーザー共通設定は別に点検してください。ファイルへの書き込み範囲を絞りたい場合は、作業フォルダ外への書き込み制限とその対象外も参考になります。

#よくある質問にはどう答えますか？

#アプリを開いただけで入ったのですか？

issueでは既存のPostmanを開いたあと、自動アップグレード由来の導入ログと設定を見つけたと報告されています。初期状態のMacやすべての利用者での再現は確認していません。

#プラグインを消せばhookの承認記録も消えますか？

現在のPostman READMEは、removeが以前のCodex hook承認記録も片付けると説明しています。今回そのコマンドは実行しておらず、各環境での削除結果は未確認です。

#このMacでは影響がありましたか？

指定した2か所にPostman.appはなく、対象のユーザー設定にpostmanの一致はありませんでした。過去に影響がなかったことや、全保存先の不在までは確認していません。

#claude mcp listで確かめてもよいですか？

接続状態を確かめるコマンドなので、通信を避けたい点検ではファイルを先に読んでください。この記事の実測では使っていません。

#npxのPostman statusは安全ですか？

READMEにはstatusの案内がありますが、npxは第三者のコードを取得・実行します。今回は実行せず、安全性や無変更を保証していません。

#CursorやCopilot CLIも自動導入の対象ですか？

READMEは他エージェントへの対応も記載していますが、この記事が扱うissueの具体的な設定証拠はClaude CodeとCodexです。他環境での自動導入は未確認です。