Une extension Chrome dangereuse se repère d’abord à ce qu’elle demande : des autorisations sans rapport avec ce qu’elle fait, un éditeur qu’on ne sait pas identifier, une fiche muette sur vos données. Mais une extension saine peut aussi changer de main ou être piratée, et tourner mal du jour au lendemain par une simple mise à jour. Ce guide montre ce qu’il faut regarder avant d’installer, ce que Chrome fait pour vous, et que faire quand une extension a mal tourné.
Pourquoi une extension peut être dangereuse
Une extension n’est pas un site que l’on visite : elle vit dans le navigateur, et ce que vous l’autorisez à faire, elle le fait sur chaque page. Une extension qui a le droit de lire et modifier vos données sur tous les sites voit ce que vous voyez : vos courriels ouverts dans le navigateur, les formulaires que vous remplissez, les pages de votre banque. Elle peut aussi modifier ces pages, ajouter de la publicité ou détourner un lien.
Elle se met à jour toute seule, sans rien vous demander tant que ses autorisations ne changent pas. C’est pratique, et c’est le point faible : l’extension que vous avez installée il y a trois ans n’est plus forcément celle qui tourne aujourd’hui.
Trois histoires vraies
Elles montrent que le danger ne vient pas toujours d’une extension louche à l’installation.
The Great Suspender, 2021. Une extension très appréciée, qui mettait en veille les onglets inutilisés pour soulager la mémoire. Son auteur l’a cédée en 2020 à un acheteur qui ne s’est jamais fait connaître. Quelques mois plus tard, une nouvelle version chargeait du code venu d’un serveur extérieur. Google l’a retirée du store au début de 2021 et l’a désactivée sur les ordinateurs, avec la mention « contient un logiciel malveillant ».
Cyberhaven, Noël 2024. Une entreprise de sécurité, justement. Un faux courriel du Chrome Web Store, qui menaçait de retirer son extension, a mené un employé à autoriser une application piège. Les attaquants ont publié une version piégée le 25 décembre, installée automatiquement chez les utilisateurs, qui volait leurs sessions ouvertes. Elle a été retirée dans la journée, mais la même campagne a touché d’autres extensions.
Des extensions mises en avant, 2025. Des chercheurs de Koi Security ont relevé une douzaine d’extensions ordinaires, des pipettes de couleur, des claviers d’émojis, des VPN, dont certaines portaient le badge de mise en avant du store. Elles se comportaient bien depuis longtemps, puis une mise à jour leur a ajouté de quoi suivre chaque page visitée et rediriger le navigateur.
La leçon est la même trois fois : ni la popularité ni un badge ne protègent d’une mauvaise mise à jour. Ce qui protège, c’est d’installer peu, de n’accorder que le nécessaire, et de regarder de temps en temps ce qui est installé.
Avant d’installer : lire la fiche du store
N’installez que depuis le Chrome Web Store : une extension proposée par un site, un courriel ou une fenêtre surgissante échappe à ses contrôles. Puis lisez la fiche, en bas surtout, là où personne ne va :
- le développeur : un nom, un site qui existe et qui parle de l’extension, une adresse de contact. Dans l’Union européenne, la fiche dit aussi s’il s’est déclaré professionnel, ce qui l’engage à respecter le droit de l’Union,
- la section Confidentialité : les données que l’extension déclare traiter, et ses engagements, ne pas les vendre et ne pas s’en servir pour autre chose que sa fonction. Une fiche qui déclare beaucoup de données pour une petite fonction mérite qu’on se demande pourquoi,
- la date de la dernière mise à jour : une extension abandonnée depuis des années n’est pas dangereuse en soi, mais elle est à vendre, et c’est souvent ainsi que les choses tournent mal,
- les avis les plus récents : un brusque changement de ton, « depuis la dernière version, des publicités partout », est le premier signe d’un changement de propriétaire.
Une extension qui copie le nom d’une autre très connue, avec une faute ou un mot en plus, est à fuir : c’est un procédé courant pour récolter des installations.
Les autorisations qui doivent alerter
Au moment de l’installation, Chrome affiche ce que l’extension pourra faire. C’est la fenêtre la plus importante, et celle qu’on lit le moins. Après coup, la même liste se retrouve sur la page de l’extension : chrome://extensions, puis Détails. Voici celle d’une extension d’exemple créée pour ce guide, qui demande beaucoup.
La question à se poser pour chaque ligne : est-ce que la fonction de l’extension l’exige ?
- Lire et modifier toutes vos données sur les sites Web que vous consultez : la plus large. Normale pour un bloqueur de publicité, un gestionnaire de mots de passe ou un correcteur d’orthographe, qui doivent agir sur toutes les pages. Suspecte pour une pipette de couleur, un minuteur ou un fond d’écran,
- Consulter et modifier votre historique de navigation : l’extension sait où vous allez. Rarement nécessaire,
- Accéder aux données que vous copiez et collez : un mot de passe copié, un numéro de carte, tout passe par là,
- Gérer vos applications, extensions et thèmes : une extension qui peut en désactiver d’autres, y compris celles qui vous protègent.
Si une mise à jour demande une autorisation nouvelle qui mérite un avertissement, Chrome désactive l’extension et attend votre accord pour la rallumer. Ne cliquez pas machinalement : c’est précisément le moment où une extension rachetée change de nature.
Limiter ce qu’une extension peut voir
Sur la même page, la section Accès aux sites propose trois réglages :
- En cas de clic : l’extension ne fait rien tant que vous ne cliquez pas sur son icône, sur la page ouverte,
- Sur des sites spécifiques : seulement sur les sites que vous listez,
- Sur tous les sites : le réglage par défaut de celles qui le demandent.
« En cas de clic » convient à beaucoup d’extensions qu’on n’utilise que de temps en temps, une traduction, une capture, un outil de développeur. Notre guide pour gérer ses extensions Chrome détaille cette page, de l’épingle à la suppression.
La protection renforcée de Chrome
Chrome compare les extensions, les sites et les téléchargements à la liste de la navigation sécurisée de Google. Le réglage se trouve dans les paramètres, Confidentialité et sécurité, puis Sécurité.
- Protection standard, celle de tout le monde : Chrome bloque ce qui est connu pour être dangereux,
- Protection renforcée : Chrome vérifie aussi en temps réel, et le store vous prévient avant d’installer une extension d’un développeur qu’il ne connaît pas encore. Google ne fait confiance à un développeur qu’après plusieurs mois de respect de ses règles : l’avertissement ne dit pas que l’extension est malveillante, seulement qu’elle est nouvelle ou que son éditeur n’a pas encore fait ses preuves.
La contrepartie est écrite sous l’option : en protection renforcée, davantage de données de navigation partent chez Google pour être analysées. À vous de peser.
Le contrôle de sécurité
Quand Google retire une extension du store parce qu’elle contient un logiciel malveillant, Chrome la désactive sur les ordinateurs. Pour les autres cas, une extension retirée par Google, dépubliée par son développeur ou signalée comme dangereuse, le Contrôle de sécurité, dans Confidentialité et sécurité, vous la signale et propose de la supprimer.
Un coup d’œil tous les mois ou deux suffit. Ici, rien à signaler.
Les signes qu’une extension a mal tourné
Une extension qui change de nature laisse souvent des traces :
- des publicités là où il n’y en avait pas, ou des liens qui mènent ailleurs qu’annoncé,
- un moteur de recherche ou une page d’accueil qui changent sans que vous y ayez touché,
- des onglets qui s’ouvrent tout seuls,
- une extension désactivée par Chrome qui réclame de nouvelles autorisations,
- un navigateur soudain plus lent, avec une extension en tête du gestionnaire de tâches de Chrome (le menu des trois points, Plus d’outils, Gestionnaire de tâches).
Pour savoir laquelle est en cause, désactivez-les toutes, puis rallumez-les une à une.
Que faire si une extension est suspecte
- Supprimez-la depuis
chrome://extensions. La désactiver ne suffit pas pour une extension qu’on soupçonne : elle peut être rallumée par erreur. - Fermez vos sessions importantes et changez vos mots de passe, en commençant par votre messagerie et votre banque. Une extension qui volait des sessions ouvertes n’a pas besoin de votre mot de passe : se déconnecter de partout invalide ce qu’elle a pris.
- Signalez-la depuis sa fiche du Chrome Web Store, par le lien de signalement en bas de page. C’est ce qui permet à Google d’agir pour les autres.
- Vérifiez vos réglages : moteur de recherche, page de démarrage, page nouvel onglet. Une extension malveillante les modifie volontiers.
Et Hoome ?
Hoome est notre extension de nouvel onglet, alors autant appliquer ce guide à elle. Sur sa page de détails, Chrome n’affiche qu’une autorisation, « Remplace la page qui s’affiche lorsque vous ouvrez un nouvel onglet », et l’accès à deux sites seulement, ceux des services d’icônes d’où elle télécharge le logo de vos raccourcis. Elle ne lit pas les pages que vous visitez, ni votre historique, ni ce que vous copiez. Vos raccourcis, vos notes et vos réglages restent dans votre navigateur, et passent par la synchronisation de votre navigateur si vous l’allumez. Seule la synchronisation du compte, avec Premium, en dépose une copie sur nos serveurs, et un interrupteur l’arrête. La confidentialité stricte coupe même la météo et les icônes. Le détail est dans notre politique de confidentialité.
C’est ce qu’il faut attendre d’une extension de nouvel onglet : elle remplace une page, elle n’a pas besoin d’en lire d’autres.
Les questions qu’on se pose
Les extensions du Chrome Web Store sont-elles vérifiées ? Oui, chacune est examinée à sa publication et à ses mises à jour, en partie automatiquement. Cela arrête beaucoup de choses, pas tout : les histoires plus haut sont passées par le store.
Une extension populaire est-elle sûre ? Pas forcément. Une extension populaire intéresse justement les acheteurs mal intentionnés : ses utilisateurs sont déjà là, et la mise à jour automatique leur livre la nouvelle version.
Un antivirus protège-t-il des extensions ? Rarement : pour lui, une extension est une partie de Chrome. La protection vient de Chrome lui-même et de vos choix.
Les extensions marchent-elles en navigation privée ? Seulement celles que vous y autorisez, par le réglage Autoriser en navigation privée de leur page de détails, éteint par défaut. Laissez-le éteint, sauf pour une extension en qui vous avez toute confiance.
Combien d’extensions garder ? Aussi peu que possible. Chacune est une porte de plus : notre sélection des meilleures extensions Chrome en propose une par besoin, pas dix.
En résumé
- Installez depuis le Chrome Web Store, et lisez la fiche jusqu’en bas : développeur, confidentialité, dernière mise à jour, avis récents,
- comparez chaque autorisation à la fonction de l’extension, et limitez l’accès aux sites quand vous le pouvez,
- quand Chrome désactive une extension qui réclame de nouvelles autorisations, demandez-vous pourquoi avant d’accepter,
- passez par le Contrôle de sécurité de temps en temps, et faites le ménage dans ce que vous n’utilisez plus,
- au moindre doute : supprimer, se déconnecter de partout, changer ses mots de passe, signaler.