Tes extensions de navigateur te surveillent

Ce qu'une extension voit vraiment

La plupart des extensions de navigateur demandent l'accès à toutes les pages que tu visites. Dans Chrome, la permission s'intitule « Lire et modifier toutes vos données sur les sites que vous consultez ». Ça a l'air très technique, mais concrètement, ça signifie que l'extension peut lire n'importe quel champ sur n'importe quelle page : champs de mot de passe, session tokens planqués dans le DOM, messages privés, données bancaires, tout y passe.

Dans la foulée, elle peut intercepter les requests, lire les cookies, ouvrir des onglets, capter les frappes au clavier et injecter du contenu qu'on ne distingue plus à l'œil d'un vrai élément de la page. Une extension, dans les faits, c'est un man in the browser. Ce n'est pas un bug, c'est le parti pris de design sans lequel les gestionnaires de mots de passe, les ad blockers et les traducteurs ne fonctionneraient tout simplement pas.

Le navigateur ne t'affiche ces permissions qu'une seule fois, au moment de l'installation, et après plus jamais. Sur beaucoup de stores, les mises à jour ont le droit d'élargir des permissions déjà accordées sans te redemander quoi que ce soit, tant qu'elles n'ajoutent pas une catégorie complètement nouvelle.

Comment les extensions deviennent une surface d'attaque

Les extensions se font compromettre de trois manières, et les trois sont devenues bien plus fréquentes ces dernières années.

Vente à un nouveau propriétaire. Un développeur du dimanche maintient un petit outil pendant des années, puis finit par recevoir une offre de rachat. Derrière les acheteurs, on trouve presque toujours des boîtes de marketing, parfois des acteurs plus louches qui avancent masqués et qui veulent surtout une base d'utilisateurs déjà constituée pour y injecter de la pub, faire de la redirection d'affiliation ou carrément lancer des campagnes d'infostealer.

Phishing visant les développeurs. En 2023, plus de vingt extensions Chrome sont passées entre les mains d'attaquants en un seul week-end, parce que leurs auteurs s'étaient fait avoir par un prompt OAuth déguisé en notification Google Mail. L'attaquant a eu le temps de publier des mises à jour malveillantes avant que qui que ce soit ne se rende compte de l'intrusion.

Dépendances. Les extensions tirent des bibliothèques. Ces bibliothèques ont leurs propres mainteneurs et leur propre supply chain. Un paquet npm détourné peut très bien finir dans le navigateur de l'utilisateur final en passant par plusieurs extensions, sans que les auteurs de ces extensions n'aient eux-mêmes rien fait de mal.

Des cas dont tu n'as sans doute jamais entendu parler

La liste est longue et elle s'allonge. The Great Suspender n'est que l'exemple le plus médiatisé. Nano Adblocker et Nano Defender ont basculé du côté obscur en 2020 après un changement de propriétaire et se sont mis à logger les requests des utilisateurs. Stylish, une extension de personnalisation graphique avec deux millions d'utilisateurs, s'est fait racheter et a commencé à renvoyer chaque URL visitée vers des serveurs externes.

En 2024, Secure Annex a documenté plusieurs dizaines d'extensions Chrome dans des catégories très variées (notes, PDF, météo, captures d'écran), toutes rétroactivement piégées avec du code de vol de credentials. À elles toutes, elles totalisaient plus de soixante millions d'installations.

Auditer tes propres extensions

Ce petit tour te prend dix minutes et permet de trancher pour de bon quelles extensions méritent de rester.

1. 1

   Ouvre la page des extensions de ton navigateur

   chrome://extensions sous Chrome, about:addons sous Firefox, edge://extensions sous Edge. Tu y retrouveras tout ce que tu as pu installer au fil du temps.
2. 2

   Vire tout ce que tu n'as pas utilisé ces deux dernières semaines

   Toute extension que tu n'utilises pas vraiment, c'est de la surface d'attaque gratuite. Un outil de captures d'écran que tu sors une fois par mois ne justifie pas une permission permanente de lire partout.
3. 3

   Sur celles qui restent, regarde l'éditeur et la date de la dernière mise à jour

   Éditeur inconnu, vente récente, plus de mise à jour depuis plus d'un an : autant de drapeaux rouges. Un long silence côté updates, ce sont des patches de sécurité qui manquent ; des changements de propriétaire à répétition, c'est le profil typique des reprises hostiles.
4. 4

   Restreins l'accès aux sites dès que tu le peux

   Sous Chrome, tu peux cantonner une extension à des sites précis ou la passer en « au clic ». Un outil de prise de notes n'a rien à faire sur ton site de banque en ligne.

Une configuration par défaut plus sûre

La bonne réponse n'est presque jamais « tu jettes toutes tes extensions ». Un gestionnaire de mots de passe et un ad blocker gagnent largement leur place. La bonne réponse, c'est de basculer la navigation sensible dans un environnement qui ne connaît aucune extension. Un navigateur tout neuf et isolé, sans le moindre add-on, c'est la surface d'attaque la plus propre que tu puisses t'offrir.

Concrètement : ton navigateur de tous les jours garde les extensions auxquelles tu tiens, tu sais à quoi tu t'exposes et tu fais le ménage régulièrement. Banque en ligne, logins admin, wallets crypto, recherches sur des sites dont tu te méfies, tout ça passe dans une session isolée. Aucune extension n'y lit par-dessus ton épaule, tout simplement parce qu'il n'y en a pas.