Évaluer les extensions de navigateur avant leur déploiement

Lire un manifeste aide à préparer une revue d’extension : quelles API sont demandées, pour quels sites, et à quel moment ? La déclaration décrit un périmètre demandé. Les accès effectifs dépendent aussi des autorisations accordées, des réglages du navigateur, des stratégies et du code exécuté.

Sélection éditoriale de 20 permissions Chrome, noms vérifiés dans la documentation officielle le 23 octobre 2026. Les capacités et questions sont une synthèse CIE. Ce répertoire n’est ni la liste complète des permissions ni une échelle officielle de risque ; il ne s’applique pas automatiquement à Firefox ou à toutes les versions d’Edge.

Cinq déclarations à ne pas confondre

Google Chrome · Declare permissions · Documentation consulted 2026-10-23; browser behaviour remains version-dependent

Google Chrome · Permissions API · Documentation consulted 2026-10-23; browser behaviour remains version-dependent

20 permissions : capacités et preuves à examiner

Google Chrome · Permissions · Documentation consulted 2026-10-23; browser behaviour remains version-dependent

Hôtes, chemins et contexte : cinq repères

Google Chrome · Match patterns · Documentation consulted 2026-10-23; browser behaviour remains version-dependent

Google Chrome · activeTab · Documentation consulted 2026-10-23; browser behaviour remains version-dependent

Google Chrome · Content scripts · Documentation consulted 2026-10-23; browser behaviour remains version-dependent

Lecteur local de manifeste V3

Collez un manifeste JSON Manifest V3 pour inventorier permissions et déclarations de sites. Le traitement reste dans cette page : aucune installation, requête aux sites, conservation locale, transmission du texte ou export. Les exemples sont fictifs et servent à lire les résultats.

Lecture bornée à 64 Kio UTF-8, 200 déclarations, 20 blocs content_scripts et 2 048 caractères par valeur. Ce lecteur examine les quatre listes de permissions ainsi que matches et exclude_matches des scripts statiques. Il conserve chaque occurrence avec son chemin. Il ne valide pas la syntaxe des motifs, les règles de Chrome, les avertissements d’installation, les globs, les frames, les fichiers de code, les règles réseau, les jetons OAuth, les stratégies ni les accès accordés. Une clé de premier niveau hors périmètre est signalée sans lire sa valeur ; un JSON accepté ici peut être refusé par Chrome. En cas de clé JSON répétée, JSON.parse conserve la dernière valeur ; revoir le fichier d’origine pour lever toute ambiguïté.

Huit exemples à lire aussi sans JavaScript

{
    "manifest_version": 3,
    "name": "CIE fictional review example",
    "version": "1.0.0",
    "permissions": [
        "activeTab",
        "scripting",
        "storage"
    ]
}

{
    "manifest_version": 3,
    "name": "CIE fictional review example",
    "version": "1.0.0",
    "permissions": [
        "cookies",
        "webRequest"
    ],
    "host_permissions": [
        "<all_urls>"
    ]
}

{
    "manifest_version": 3,
    "name": "CIE fictional review example",
    "version": "1.0.0",
    "permissions": [
        "storage"
    ],
    "optional_permissions": [
        "history"
    ],
    "optional_host_permissions": [
        "https://*/*"
    ]
}

{
    "manifest_version": 3,
    "name": "CIE fictional review example",
    "version": "1.0.0",
    "content_scripts": [
        {
            "matches": [
                "https://*.example.org/*"
            ],
            "exclude_matches": [
                "https://private.example.org/*"
            ],
            "js": [
                "content.js"
            ],
            "run_at": "document_idle"
        }
    ]
}

{
    "manifest_version": 3,
    "name": "CIE fictional review example",
    "version": "1.0.0",
    "permissions": [
        "alarms"
    ],
    "host_permissions": [
        "https://intranet.example.org/private/*"
    ]
}

{
    "manifest_version": 3,
    "name": "CIE fictional review example",
    "version": "1.0.0",
    "permissions": [
        "identity",
        "nativeMessaging"
    ],
    "background": {
        "service_worker": "worker.js"
    },
    "oauth2": {
        "client_id": "fictional.apps.example.invalid",
        "scopes": [
            "fictional-scope"
        ]
    },
    "externally_connectable": {
        "matches": [
            "https://portal.example.org/*"
        ]
    }
}

{
    "manifest_version": 3,
    "name": "CIE fictional review example",
    "version": "1.0.0",
    "permissions": "tabs"
}

{
    "manifest_version": 2,
    "name": "CIE fictional legacy example",
    "version": "1.0.0",
    "permissions": [
        "https://*/*",
        "tabs"
    ]
}

Transformer la lecture en décision vérifiable

1. Fixer le besoin et le périmètre

   Noter identifiant d’extension, éditeur, source de distribution, version, navigateur et poste de test. Relier chaque capacité à une tâche et aux données concernées.

2. Comparer demandé, accordé et observé

   Relever le manifeste, les choix d’accès du profil et les stratégies appliquées, puis observer les gestes et flux sur des données de test. Ces trois niveaux ne sont pas interchangeables.

3. Rejouer après changement

   Comparer les versions, permissions, hôtes, règles et composants natifs. Les avertissements d’installation dépendent des combinaisons de permissions ; leur nombre ne forme pas un score de sécurité.

4. Tester restriction et retrait

   Sur Edge administré, une permission bloquée peut désactiver une extension sans la supprimer. Vérifier la portée de la stratégie et le retrait séparé des composants natifs et données externes. Conserver une preuve de l’état final.

Google Chrome · Permission warning guidelines · Documentation consulted 2026-10-23; browser behaviour remains version-dependent

Google Chrome · Stay secure · Documentation consulted 2026-10-23; browser behaviour remains version-dependent

Microsoft Learn · Manage Microsoft Edge extensions using group policies · Enterprise policy documentation consulted 2026-10-23

Repères techniques : Google Chrome for Developers et Microsoft Learn, liens officiels ci-dessous et à chaque permission. Documentation Google sous CC BY 4.0 sauf mention contraire ; les descriptions et questions ci-dessus sont une synthèse éditoriale CIE adaptée au français et à l’anglais. Les exemples fictifs sont originaux. Cette page ne constitue pas une validation de Google ou Microsoft.

Google Developers · Site policies · Documentation attribution and reuse conditions

Creative Commons Attribution 4.0