On a appris à se méfier des pièces jointes, des mots de passe faibles, des liens louches. Mais on continue d’installer des extensions comme on ajoute des stickers sur une valise : “ça rend service”, “tout le monde l’a”, “c’est dans le store donc c’est safe”. Sauf qu’une extension, ce n’est pas un gadget. C’est souvent du code qui s’invite dans votre navigateur avec des droits très larges, au cœur de ce que vous faites de plus sensible : connexion, paiement, messagerie, travail.
Et là est le problème : si un attaquant contrôle une extension (ou une mise à jour d’extension), il ne “hacke” pas votre navigateur. Il s’installe à l’intérieur — là où la plupart des défenses deviennent aveugles.
Ce qui se passe vraiment : pourquoi les extensions sont une cible parfaite
Une extension, c’est un compromis assumé : vous acceptez de confier à un tiers un accès privilégié à vos pages web. Selon les permissions, une extension peut lire ce que vous voyez, modifier ce que vous envoyez, injecter des scripts, intercepter des formulaires, observer vos onglets, parfois même dialoguer avec des serveurs externes.
Le danger ne vient pas seulement des extensions “malveillantes” dès le départ. Le danger vient du fait qu’une extension peut devenir malveillante après coup : par changement de propriétaire, par mise à jour, par compromission de la chaîne de build, ou par ajout discret de permissions “justifiées” par une nouvelle fonctionnalité.
Permissions abusives : le “tout est permis” déguisé en confort
Le piège classique, c’est l’extension qui demande des droits disproportionnés par rapport à son utilité. Un bloqueur de pubs a besoin de permissions fortes, oui. Mais une extension “convertisseur PDF”, “emoji”, “couleur de page”, “coupon”, “petit outil de productivité” qui réclame un accès à tous les sites, à l’historique et aux onglets… c’est un signal. Pas forcément une preuve de malveillance, mais un risque structurel.
Ce qui rend ça toxique, c’est que les permissions ne sont pas un concept abstrait. “Lire et modifier les données sur les sites que vous consultez”, ça veut dire : l’extension peut, techniquement, voir des champs, des tokens, des contenus de pages — et parfois les altérer.
Rachat d’extensions : la dérive la plus rentable
Le scénario le plus sous-estimé n’est pas “un hacker publie une extension malveillante”. C’est : une extension devient populaire parce qu’elle rend service, gagne une base d’utilisateurs, puis est rachetée (ou reprise) — et sa monétisation change. Officiellement, c’est “nouvelle équipe”, “nouvelle vision”. Officieusement, c’est parfois : tracking, injection de pubs, redirections, collecte de données, ou pire.
Pourquoi c’est si efficace ? Parce que la confiance est déjà installée. L’extension a des avis, des téléchargements, une ancienneté. Et surtout : elle est déjà autorisée dans votre navigateur. La mise à jour arrive comme une routine, pas comme une alerte.
Injections de code : quand l’extension devient un homme-du-milieu
L’injection de code, c’est le point de bascule : l’extension n’est plus un outil, elle devient un acteur qui modifie vos pages. Elle peut injecter un script qui :
- ajoute des éléments invisibles (tracking),
- modifie des liens (affiliation, redirection),
- altère une page de paiement (le cauchemar),
- ou capture des saisies selon des conditions.
Et c’est là que beaucoup d’équipes se trompent : elles cherchent des “malwares” au niveau système, alors que l’attaque se déroule dans le navigateur, avec un mécanisme “légitime”.
La zone grise qui détruit la sécurité : “ce n’est pas un virus”
Le grand poison, c’est l’entre-deux. Beaucoup d’extensions ne sont pas “malveillantes” au sens criminel. Elles sont juste agressives, opaques, sur-permissionnées, et prêtes à pivoter vers une exploitation plus sale si le business l’exige. Résultat : vous n’avez pas un indicateur binaire “safe / unsafe”, vous avez un gradient de risques — et plus l’extension a de droits, plus le coût d’une dérive est élevé.
Comment réduire le risque sans tomber dans la parano
Vous n’avez pas besoin de bannir toutes les extensions. Vous devez reprendre le contrôle sur trois axes : quantité, permissions, gouvernance.
D’abord, réduire la quantité : chaque extension est une surface d’attaque supplémentaire, point. Ensuite, vérifier les permissions : une extension doit être jugée à la question suivante — “si elle devenait hostile demain, qu’est-ce qu’elle pourrait faire avec les droits que je lui ai donnés ?”. Enfin, la gouvernance : qui l’édite, comment elle se finance, comment elle évolue, et comment elle réagit aux incidents.
Vous voulez une règle simple qui ne ment pas ? Le risque d’une extension est souvent proportionnel à l’écart entre son utilité et ses permissions.
Exigence : le test de crédibilité d’une extension
Une extension mérite sa place si elle passe ce test :
- elle a une utilité claire et irremplaçable,
- ses permissions sont cohérentes avec cette utilité (pas “tout le web” par confort),
- son modèle économique et son éditeur sont compréhensibles,
- et vous êtes prêt à la supprimer à la moindre dérive (permissions qui explosent, comportement étrange, rachat obscur, mises à jour agressives).
Sinon, vous n’avez pas “un petit outil pratique”. Vous avez un composant à privilèges dans votre navigateur — et c’est exactement ce que les attaquants cherchent.
