Расширения браузера: какие права они запрашивают и чем это опасно

Расширение — набор файлов на HTML, JavaScript и CSS с описанием возможностей и прав. Оно выполняется внутри браузера, может менять содержимое страниц, добавлять кнопки, блокировать запросы, подставлять пароли или переводить текст. Устанавливаются они из официального каталога либо вручную из файла.

Во многих браузерах сегодня используется единый принцип описания — манифест, где расширение заранее перечисляет, чем именно оно собирается пользоваться. Именно этот список и показывается вам при установке.

В отличие от отдельной программы, расширение живёт в окружении браузера и не требует прав администратора компьютера. Но именно поэтому его возможности ограничены рамками браузера — и при этом достаточно широки, чтобы работать со всем, что вы открываете во вкладках.

Самое чувствительное — доступ к данным на всех сайтах. Такое разрешение позволяет читать и менять всё, что вы вводите и видите на страницах: пароли, номера карт, переписку. Помимо него встречаются права на вкладки и историю, закладки, буфер обмена, скачивания, уведомления, управление прокси и куки.

Право должно соответствовать задаче. Калькулятору не нужна история посещений, а блокировщику рекламы действительно нужно видеть запросы страниц. Это простой критерий: если запрошено заметно больше, чем требует функция, лучше отказаться.

Расширение может быть написано добросовестно и всё равно стать проблемой: разработчик продаёт проект, а новый владелец выпускает обновление с шпионским кодом. Браузер обновляет расширения автоматически, и пользователь узнаёт об этом слишком поздно. Бывают и откровенно вредоносные дополнения, замаскированные под полезные.

Отдельная зона риска — расширения, которые собирают историю просмотров для «аналитики». Формально это описано в политике, но по факту наружу уходит ваш путь по сайтам.

Бывает и промежуточный вариант: расширение честно работает, но подключает внешние скрипты с сервера автора. Тогда его поведение может измениться без обновления пакета, и проверить это по описанию в каталоге невозможно.

Ставьте только то, чем реально пользуетесь, и удаляйте остальное. Смотрите на издателя, число установок, свежесть обновлений и отзывы, а не только на рейтинг. Читайте запрошенные права до подтверждения. Там, где браузер позволяет, ограничьте расширение конкретными сайтами или включайте его «по клику».

Для чувствительных задач, например банкинга, полезен отдельный профиль браузера без дополнений. Так у вредоносного кода просто нет доступа к нужным страницам.

Помогает и простая гигиена обновлений: если расширение внезапно запросило новые права после апдейта, браузер обычно отключает его до подтверждения. Не подтверждайте такое автоматически, сначала выясните, зачем понадобился новый доступ.

«Официальный каталог сам по себе исключает риск». Проверка есть, но вредоносные расширения периодически проходят её и позже удаляются. «Если расширение не просит много прав, то безопасно». Даже узкие права иногда достаточны для вреда. «Антивирус проверяет расширения». Обычно нет, для этого нужна проверка самого браузера или ручной аудит.

Ещё одна ошибка: считать, что приватный режим отключает расширения. По умолчанию они там не работают, но их можно отдельно разрешить.

Стоит помнить и о «двойниках»: вредоносные копии популярных дополнений с похожим названием и значком. Сверяйте издателя и число установок, а переходите в каталог по ссылке с официального сайта самого расширения.

Откройте страницу управления расширениями через меню браузера. Для каждого дополнения видны версия, включённость и кнопка «Подробнее» с правами и доступом к сайтам. Отсортируйте по давности обновления: давно не обновляемые заслуживают удаления. После аудита перезапустите браузер и проверьте, что нужные функции работают.

Проверьте отдельно параметр «разрешить в приватном режиме» и доступ к адресам файлов. Для каждого расширения оцените, когда оно последний раз обновлялось и что написано в журнале изменений: отсутствие записей за долгое время — повод искать замену.