Sécuriser les extensions navigateur est devenu un réflexe de survie pour les PME-ETI. La découverte récente d’un bloqueur de publicités Chrome, installé plus de 10 millions de fois, embarquant une capacité dormante d’injection de scripts, le rappelle brutalement : une extension navigateur approuvée hier peut devenir demain le cheval de Troie de votre poste de travail. Ce tutoriel vous guide pas à pas pour auditer, durcir et gouverner les extensions sur l’ensemble de votre parc.
Pourquoi les extensions navigateur sont un angle mort critique
Une extension navigateur s’exécute dans le contexte de chaque page visitée. Avec les bonnes permissions, elle peut lire vos formulaires, capturer vos identifiants, modifier le DOM, injecter du JavaScript et exfiltrer des données vers un serveur distant. Le danger ne vient pas seulement des extensions ouvertement malveillantes : le scénario le plus courant en 2026 est celui de l’extension légitime, populaire, rachetée ou compromise, dont une mise à jour silencieuse active une charge utile restée jusque-là inerte.
Pour une PME-ETI, le risque est double : la compromission d’un poste isolé, mais aussi l’effet de surface — une extension déployée à grande échelle devient un vecteur d’attaque sur l’ensemble des navigateurs de l’entreprise. C’est exactement la même logique de chaîne d’approvisionnement que nous décrivions pour les extensions d’éditeurs de code (OpenVSX, VS Code).
Étape 1 : inventorier les extensions navigateur déployées
On ne sécurise que ce que l’on connaît. Commencez par établir un inventaire exhaustif des extensions navigateur présentes sur le parc :
- Chrome / Edge : les extensions installées sont listées dans
chrome://extensionset stockées sous le profil utilisateur (~/.config/google-chrome/Default/Extensionssous Linux,%LOCALAPPDATA%sous Windows). - Firefox : consultez
about:addonset le fichierextensions.jsondu profil. - À l’échelle du parc : récupérez l’inventaire via votre solution de gestion de postes (Intune, GPO, MDM) ou un script qui collecte les identifiants d’extensions et les remonte vers votre SIEM.
Pour chaque extension, notez l’éditeur, le nombre d’installations, la date de dernière mise à jour et surtout les permissions demandées.
Étape 2 : auditer les permissions de chaque extension
Le cœur de l’audit consiste à confronter les permissions à l’usage réel. Une extension de prise de notes qui réclame l’accès à « toutes vos données sur tous les sites » est un signal d’alerte. Classez les permissions par niveau de risque :
- Critiques :
<all_urls>,webRequest,scripting,cookies,debugger— accès total au contenu et au trafic. - Élevées :
tabs,history,downloads, accès au presse-papiers. - Faibles :
storage,alarms, permissions limitées à un domaine précis.
Toute extension demandant des permissions critiques sans justification métier évidente doit être retirée ou remplacée. C’est le même principe de moindre privilège que l’on applique à un poste de développeur après une compromission.
Étape 3 : verrouiller via une liste blanche (allowlisting)
La mesure la plus efficace pour sécuriser les extensions navigateur à l’échelle d’une PME-ETI est de basculer d’un modèle permissif vers une liste blanche. Seules les extensions explicitement approuvées par l’IT peuvent être installées.
- Chrome / Edge (GPO ou Intune) : utilisez la stratégie
ExtensionInstallAllowlistpour autoriser uniquement les ID validés, etExtensionInstallBlocklistavec la valeur*pour bloquer tout le reste par défaut. Forcez les extensions métier viaExtensionInstallForcelist. - Firefox (policies.json) : la clé
ExtensionSettingspermet de définirinstallation_mode: "blocked"par défaut et d’autoriser explicitement les extensions de confiance. - Magasins privés : pour les usages avancés, hébergez vos extensions internes dans un magasin maîtrisé plutôt que de dépendre du store public.
Étape 4 : surveiller et détecter les dérives
Le durcissement n’est pas un acte ponctuel. Une extension de confiance peut être compromise par une mise à jour. Mettez en place une surveillance continue :
- Remontez l’inventaire des extensions vers votre SIEM (Wazuh, par exemple) et alertez sur toute nouvelle installation hors liste blanche.
- Surveillez les connexions sortantes inhabituelles depuis les navigateurs — une exfiltration via extension génère du trafic vers des domaines récents ou peu réputés.
- Suivez les bulletins de sécurité et les changements de propriété des extensions critiques de votre parc.
Checklist de durcissement des extensions navigateur
- Inventorier toutes les extensions sur l’ensemble du parc.
- Auditer les permissions au regard du besoin métier réel.
- Appliquer une liste blanche stricte via GPO, Intune ou policies.json.
- Bloquer l’installation libre par défaut.
- Surveiller les nouvelles installations et le trafic sortant via le SIEM.
- Réviser l’inventaire à chaque trimestre et après tout incident.
Conclusion
Apprendre à sécuriser les extensions navigateur n’est plus optionnel : chaque extension est une dépendance à laquelle vous accordez un accès privilégié à votre navigateur, donc à vos identifiants et vos données. En combinant inventaire, audit des permissions, liste blanche et surveillance continue, une PME-ETI réduit drastiquement cette surface d’attaque souvent négligée. Le réflexe à retenir : une extension est un contrat de confiance — ne le signez jamais sans l’avoir lu.