Modules complémentaires officiels : pourquoi les choisir

Une extension de navigateur est un petit programme qui s'exécute au cœur de votre navigation : elle peut lire les pages que vous visitez, accéder à des cookies, modifier des contenus. C'est ce qui la rend utile, et ce qui la rend dangereuse si elle est malveillante. Installer des modules complémentaires officiels, c'est-à-dire ceux publiés sur les boutiques des éditeurs de navigateurs, permet de bénéficier de contrôles qu'une extension téléchargée ailleurs n'a jamais subis. Cet article explique ce que Google, Mozilla et Microsoft vérifient, ce que ces contrôles ne garantissent pas, et comment installer une extension avec prudence.

À retenir : une boutique officielle ne garantit pas qu'une extension soit irréprochable, mais elle ajoute des vérifications, des règles contraignantes pour les développeurs et des moyens de retrait rapide. Hors boutique, aucune de ces protections ne s'applique.

Pourquoi une extension est un point sensible

Selon la procédure de revue du Chrome Web Store, certaines permissions attirent un examen renforcé : les accès étendus à tous les sites (motifs comme *://*/*) et les permissions sensibles comme les onglets, les téléchargements, les cookies ou l'interception des requêtes réseau. Une extension qui les obtient peut, en théorie, observer ou modifier une grande partie de ce que vous faites en ligne, y compris vos sessions connectées.

Ce que Google contrôle sur le Chrome Web Store

Une revue automatisée et humaine

D'après Google, la revue combine des systèmes manuels et automatisés, avec le même traitement pour tous les développeurs, quelle que soit leur ancienneté. Un examen plus approfondi est déclenché par les nouveaux développeurs, les nouvelles extensions, les permissions dangereuses et les changements de code importants.

Les relecteurs vérifient notamment :

• le respect des règles du programme et l'absence d'intention malveillante ;
• les permissions d'accès aux sites et les permissions d'exécution sensibles ;
• la complexité du code, son obfuscation et sa minification, qui compliquent l'analyse.

La plupart des extensions sont examinées en quelques jours, certaines prennent plusieurs semaines quand les permissions sont larges ou le code difficile à lire.

Une surveillance après publication

La revue ne s'arrête pas à la mise en ligne : selon Google, les extensions existantes sont réexaminées périodiquement, et une infraction détectée sur une nouvelle version peut relancer l'examen des versions déjà publiées. Les sanctions sont graduées :

• infraction mineure : un délai de 7 à 30 jours pour se mettre en conformité ;
• infraction grave : retrait immédiat ;
• logiciel malveillant : retrait sans préavis et suspension possible et définitive du compte.

Des règles strictes pour les développeurs

Les règles du programme interdisent les logiciels malveillants, les logiciels espions et l'hameçonnage. Elles proscrivent aussi les descriptions trompeuses et les avis manipulés, et exigent une politique de confidentialité exacte et un consentement éclairé pour la collecte de données. Les données collectées doivent rester nécessaires à la fonction unique de l'extension : les vendre à des régies publicitaires ou à des courtiers en données est interdit. Les extensions doivent demander « les permissions les plus restreintes possibles ».

Manifest V3 : plus de code distant

Avec Manifest V3, une extension ne peut exécuter que du code inclus dans son paquet, donc soumis à la revue du Chrome Web Store. Le chargement de code hébergé à distance, qui permettait de modifier le comportement d'une extension après validation, est supprimé. C'est un gain de sécurité important, même si tout risque n'est pas éliminé.

Des badges qui signalent la réputation

D'après Google, deux badges existent. Featured est attribué après une évaluation manuelle par l'équipe Chrome. Established Publisher signale un développeur dont l'identité a été vérifiée et dont le respect des règles est établi dans la durée. Aucun des deux ne peut être acheté. Ils sont utiles, mais ne constituent pas une preuve absolue de sécurité (voir plus bas).

Les protections côté navigateur

• Blocage des sources non officielles. Selon l'aide de Chrome, Chrome désactive les extensions qui ne proviennent pas du Chrome Web Store ou qui ont été jugées dangereuses.
• Avertissement de confiance. La protection renforcée (Enhanced Safe Browsing) avertit quand une extension ne vient pas d'un développeur de confiance, c'est-à-dire qui respecte les règles du programme.
• Demande de permissions à l'installation : le navigateur affiche ce que l'extension va pouvoir faire, et l'utilisateur doit l'accepter.

Et chez Mozilla et Microsoft ?

Les autres navigateurs appliquent des logiques proches.

Firefox. Selon les règles de Mozilla, les modules complémentaires font l'objet d'un test fonctionnel de base et d'une revue de code. Ils doivent être autonomes et ne pas charger de code distant. L'obfuscation est interdite, la minification tolérée. Le consentement explicite de l'utilisateur est obligatoire avant toute transmission de données personnelles, et les mineurs de cryptomonnaie sont interdits. Les versions distribuées par Firefox doivent être signées par Mozilla. Un programme séparé de modules recommandés distingue des extensions de qualité et sûres.

Edge. D'après la documentation de Microsoft, un développeur doit passer par le Partner Center, décrire la fonction unique de l'extension, justifier chaque permission demandée, déclarer l'usage de code distant (interdit avec Manifest V3) et certifier ses pratiques de collecte de données. Une certification peut prendre jusqu'à sept jours ouvrés. Microsoft précise ne pas divulguer les critères exacts qui font signaler une extension comme potentiellement malveillante.

Les limites : une boutique officielle n'est pas infaillible

Des incidents récents le montrent :

• Décembre 2024, Cyberhaven. Selon Cyberhaven, une attaque d'hameçonnage contre un compte administrateur a permis de publier sur le Chrome Web Store une mise à jour malveillante de son extension légitime, qui exfiltrait cookies et jetons de session. L'entreprise dit l'avoir détectée et retirée en une heure environ. D'autres sources indiquent que l'attaque faisait partie d'une campagne visant plus de trente extensions.
• Janvier 2026, fausses extensions d'IA. Selon The Hacker News, deux extensions imitant un assistant d'IA ont volé des conversations avec des assistants d'IA auprès de centaines de milliers d'utilisateurs, dont l'une portait le badge Featured.

Ces cas rappellent qu'une extension légitime peut être détournée par une mise à jour, et qu'un badge ne remplace pas la vigilance. La boutique officielle reste néanmoins un filtre utile : elle permet des retraits rapides et impose un cadre que les sources non officielles n'offrent pas.

Les bons réflexes avant d'installer

1. Installer depuis la boutique officielle, en partant de la page officielle du projet, pas d'une publicité ou d'un lien reçu par message. Notre guide sur l'analyse d'un e-mail de phishing aide à repérer les liens piégés.
2. Vérifier l'éditeur, le nom exact de l'extension, le nombre d'utilisateurs et les avis : les copies imitent souvent des noms connus.
3. Comparer les permissions demandées à l'usage réel : un simple utilitaire n'a pas besoin de lire tous les sites que vous visitez.
4. Limiter le nombre d'extensions et supprimer celles que vous n'utilisez plus.
5. Rester attentif aux changements : nouvelle demande de permission, changement d'éditeur ou comportement inhabituel après une mise à jour.
6. Activer la protection renforcée du navigateur et réagir si une extension est désactivée par le navigateur.
7. En cas de doute, retirer l'extension, changer vos mots de passe (un générateur de mots de passe aide à en créer de solides) et révoquer les sessions actives des comptes sensibles.

Sources

• Google : procédure de revue du Chrome Web Store
• Google : règles du programme du Chrome Web Store
• Google : Manifest V3
• Google : badges du Chrome Web Store
• Aide du Chrome Web Store : extensions désactivées par Chrome
• Aide du Chrome Web Store : installer des extensions en confiance
• Mozilla : règles des modules complémentaires
• Microsoft : publier une extension Edge
• Cyberhaven : incident de l'extension Chrome
• The Hacker News : fausses extensions volant des conversations d'IA