La regla de partida: una extensión es código con tus permisos
Antes de instalar una extensión de un editor o de un agente de programación conviene asumir que se incorpora código ejecutable. El host de VS Code puede leer y escribir archivos, hacer peticiones de red, lanzar procesos y modificar ajustes. Aplica este proceso solo a equipos y repositorios bajo tu autorización, y no ejecutes paquetes sospechosos para «confirmarlos».
No se trata de demostrar que una extensión sea segura, sino de reunir señales independientes, reducir el alcance de un error y dejar una decisión revisable.
Empieza por el identificador y el canal
Busca el identificador publisher.name, no solo el nombre o el icono. Comprueba que publisher, dominio, repositorio y enlace de descarga coinciden con los del fabricante. Un nombre parecido, una cuenta recién creada o un marketplace distinto son motivos para detenerse.
El distintivo de editor verificado ayuda, pero no garantiza el comportamiento. Acredita el control del dominio y que el publisher mantiene una trayectoria válida en el marketplace durante al menos seis meses. Es una señal de identidad, no una auditoría de cada versión. En Cursor, la misma pareja publisher.extension puede apuntar a código distinto en Open VSX y en el Marketplace de Microsoft.
Anota el canal: marketplace oficial, registro alternativo, VSIX o npm. No mezcles versiones de canales distintos: la historia de una versión no se transfiere automáticamente.