Uma extensão que corrige texto, salva páginas, captura tela ou preenche formulários pode parecer pequena. A permissão pedida por ela pode não ser.

No Chrome, algumas extensões podem receber autorização para ler e alterar dados no site aberto, em sites específicos ou em todos os sites visitados. O próprio navegador permite mudar esse alcance depois da instalação.

Isso não significa que uma extensão que pede acesso amplo seja automaticamente maliciosa. Significa que você precisa comparar a função prometida com o alcance solicitado.

A pergunta prática é: esta extensão precisa mesmo ver tudo o que estou autorizando?

Permissão ampla não é sinônimo de malware

Algumas funções exigem acesso significativo. Um corretor que atua em vários editores web pode precisar ler conteúdo em várias páginas. Um gerenciador de senhas precisa interagir com formulários. Uma automação pode precisar operar em sites diferentes.

O problema aparece quando a permissão parece maior do que a tarefa.

Uma extensão para alterar a cor de um único site, por exemplo, dificilmente deveria receber acesso a tudo sem uma boa justificativa.

O que significa ler e alterar dados

Segundo a ajuda do Chrome, o usuário pode configurar o acesso ao site em três níveis principais: ao clicar na extensão, em sites específicos ou em todos os sites.

Se você concede acesso em todos os sites, a extensão pode atuar automaticamente nas páginas autorizadas conforme sua implementação.

No computador de trabalho, isso pode envolver webmail, CRM, documentos, sistemas financeiros, painéis administrativos e ferramentas de clientes.

Quanto mais sensíveis são os sites usados no navegador, mais importante fica limitar o alcance.

Use uma matriz de três fatores

Antes de instalar, avalie necessidade, alcance e sensibilidade.

Necessidade Alcance Sensibilidade Decisão inicial
Baixa Amplo Alta Não instalar
Alta Amplo Alta Procurar restrição ou alternativa
Alta Específico Média Testar com cautela
Alta Ao clicar Baixa Risco operacional menor
Baixa Específico Baixa Talvez não valha adicionar software

Essa matriz é uma ferramenta editorial, não uma classificação oficial do Chrome. Ela serve para impedir que “é útil” vire automaticamente “pode acessar tudo”.

Quando usar ao clicar

Se a extensão só precisa agir em situações ocasionais, permitir acesso apenas quando você clica pode ser suficiente.

Exemplos incluem capturar uma página, analisar um texto específico, enviar uma página para outro serviço ou executar uma ação pontual.

A vantagem é reduzir o tempo em que a extensão tem acesso automático ao conteúdo.

Quando usar sites específicos

Se a extensão trabalha apenas em dois ou três sistemas, veja se o navegador permite restringir o acesso a esses domínios.

Isso aplica o mesmo princípio discutido em conta de administrador separada: usar o menor privilégio necessário.

Cinco perguntas antes de instalar

A função justifica a permissão?

Compare a promessa com o acesso.

Quem publicou?

Confira desenvolvedor, site oficial e identidade apresentada na loja.

A extensão ainda é mantida?

Veja atualizações, histórico e documentação. Uma extensão abandonada pode continuar funcionando, mas sem receber correções.

Existe alternativa com menos acesso?

Às vezes o próprio navegador já oferece a função.

Eu realmente vou usar?

Extensão instalada “para um dia talvez” continua aumentando a quantidade de software que você precisa acompanhar.

Avaliação e quantidade de usuários ajudam, mas não bastam

Boa nota, muitas avaliações ou número alto de instalações são sinais úteis, mas não provam que a extensão é adequada ao seu ambiente.

Uma extensão popular pode pedir mais acesso do que você precisa, mudar de proprietário, alterar permissões em atualização ou ter política de dados incompatível com seu trabalho.

Use reputação como um componente, não como autorização automática.

Mudança de permissão merece nova decisão

Se uma extensão que funcionava bem passa a pedir acesso adicional, trate isso como uma nova instalação.

Pergunte o que mudou, qual recurso exige a nova permissão, se você precisa dele e se é possível continuar com acesso menor.

Faça uma auditoria trimestral

Abra a página de extensões e classifique:

Extensão Ainda uso? Acesso Sites necessários Ação
Corretor Sim Todos os sites 3 sistemas Restringir
Captura Raramente Todos os sites Pontual Mudar para ao clicar
Ferramenta antiga Não Amplo Nenhum Remover
Gerenciador Sim Compatível Vários Manter e revisar

Remova o que não usa e confira permissões das restantes.

O Chrome também inclui o Safety Check, que verifica itens de segurança do navegador, incluindo extensões que possam representar risco.

Extensão de VPN ou proxy exige atenção extra

A ajuda do Chrome observa que mudanças comuns de acesso ao site não se aplicam da mesma forma a extensões que alteram a rede em nível mais baixo, como VPNs ou proxies.

Ferramentas que mexem no tráfego do navegador merecem análise específica.

Dados de clientes mudam a tolerância ao risco

Se o navegador acessa documentos, dados financeiros, contratos ou informações de clientes, uma permissão ampla tem peso diferente de um computador usado apenas para navegação pública.

Antes de instalar extensões em máquinas de trabalho, considere os dados acessados, obrigação de confidencialidade, contas administrativas e ambientes financeiros.

Veja também como proteger os dados dos seus clientes.

A regra prática

Instale extensão como instalaria um pequeno programa dentro do navegador.

Ela não é apenas um botão na barra. Pode receber permissões, ler conteúdo e interagir com páginas.

A melhor extensão não é a que pede menos permissões a qualquer custo. É a que pede um nível de acesso coerente com a função que você realmente usa.

Fontes consultadas

Vídeo relacionado

How to know if permissions are safe to request in your Chrome Extension

Fonte:Chrome for Developers