Un'estensione del browser con il permesso di "leggere e modificare i dati su tutti i siti" può fare esattamente questo: vedere le pagine che apri, i moduli che compili, le password che digiti, le sessioni bancarie aperte. È il livello di accesso più profondo che concedi abitualmente sul computer, e di solito lo concedi con un clic e senza pensarci.
Il rischio che quasi nessuno considera
Non è solo che un'estensione possa essere malevola fin dall'inizio. Il problema più insidioso è un altro: un'estensione onesta può cambiare proprietario.
Uno sviluppatore crea uno strumento utile, raccoglie centinaia di migliaia di utenti, poi riceve un'offerta di acquisto. Il nuovo proprietario pubblica un aggiornamento che si installa in automatico su tutti quegli utenti, senza nessun avviso, e improvvisamente l'estensione raccoglie la cronologia, inietta pubblicità o dirotta link di affiliazione.
È accaduto molte volte, con estensioni popolari e in apparenza innocue: convertitori di valuta, blocchi di annunci minori, strumenti per screenshot, temi grafici. Tu non hai fatto nulla: la trasformazione avviene da sola.
I permessi da guardare
Quando installi un'estensione, il browser dichiara cosa potrà fare. I livelli che contano:
- "Leggere e modificare tutti i dati sui siti che visiti": è il permesso massimo. Concedilo solo a strumenti di produttori noti e di cui hai davvero bisogno.
- "Leggere la cronologia di navigazione": raramente necessario.
- "Gestire i download", "Leggere i cookie", "Modificare le impostazioni proxy": quest'ultimo in particolare permette di dirottare tutto il traffico.
Chiediti sempre se il permesso è coerente con la funzione. Un'estensione che cambia lo sfondo della scheda nuova non ha motivo di leggere i dati su tutti i siti.
I segnali di un'estensione problematica
- Pubblicità che compare dove prima non c'era, o banner su siti che non ne hanno.
- Motore di ricerca cambiato senza che tu l'abbia fatto, o pagina iniziale diversa.
- Ricerche che passano da un dominio sconosciuto prima di arrivare ai risultati.
- Browser lento o schede che si aprono da sole.
- Recensioni recenti negative su un'estensione che prima era ben valutata: è il sintomo classico del cambio di proprietà.
- L'estensione ha cambiato nome o icona dopo un aggiornamento.
Come fare pulizia
- Apri l'elenco: su Chrome ed Edge chrome://extensions, su Firefox about:addons.
- Disinstalla tutto quello che non usi attivamente. Non disattivare: rimuovi. Un'estensione disattivata può essere riattivata e resta comunque installata.
- Per quelle che tieni, apri Dettagli e guarda i permessi. Dove possibile, imposta l'accesso ai siti su "Al clic" o "Su siti specifici" invece che "Su tutti i siti": è un'impostazione poco nota che riduce moltissimo l'esposizione.
- Controlla che ogni estensione rimasta abbia uno sviluppatore identificabile e un numero consistente di utenti.
- Verifica motore di ricerca predefinito e pagina iniziale: se sono cambiati, rimettili a posto.
- Se il browser è messo male, usa la funzione di ripristino delle impostazioni: rimuove estensioni e modifiche mantenendo preferiti e password.
Le categorie da guardare con più attenzione
- VPN gratuite come estensione: instradano tutto il traffico attraverso server di cui non sai nulla.
- Estensioni per scaricare video da piattaforme di streaming: categoria storicamente problematica.
- Coupon e cashback: per funzionare devono vedere ogni acquisto che fai, e alcune sostituiscono i codici di affiliazione.
- Temi e sfondi: spesso richiedono permessi assurdi rispetto a quello che fanno.
- Copie di estensioni famose con nome quasi identico. Prima di installare, controlla numero di utenti e sviluppatore.
In azienda
Sui computer aziendali le estensioni sono un ingresso spesso ignorato: un'estensione con accesso completo su un PC che apre il gestionale o l'home banking vede tutto. Con i criteri di gruppo o le policy del browser si può consentire solo una lista approvata e bloccare il resto. È una misura semplice che chiude un rischio concreto.
Conclusione
Le estensioni sono comode e alcune sono ottime, ma vanno trattate come programmi a tutti gli effetti, non come dettagli del browser. Tienine poche, di autori noti, con i permessi ridotti al minimo, e rifai il giro ogni sei mesi. Se in azienda volete definire una lista di estensioni consentite e bloccare le altre, è una configurazione che possiamo impostare.