拡張機能のサイト権限｜必要なページだけにアクセスを絞る

仕事用のページを読みやすくしたい。拡張機能を追加しようとすると、すべてのサイトのデータを読み取り、変更する許可を求められた。そんなときは、使いたい機能にどこまでのアクセスが必要かを考えてから進めたい。Googleの説明では、警告はアクセスの可能性を知らせるもので、それだけで危険な拡張機能とは判断できない。¹

まず試したいのは、呼び出したときだけ、または必要なサイトだけの許可だ。ChromeとEdgeにはそのための設定がある。Firefoxでは拡張機能の種類と、表示される任意の権限を確認する。²³⁴⁵

許可する前に、触れられる情報を考える

Mozillaによると、すべてのサイトへのアクセスには、ページの内容やフォームに入力したユーザー名、パスワードを読む能力が含まれうる。判断するときは、目の前の仕事用ページに加えて、同じブラウザーで開くメールやログイン画面も思い浮かべたい。⁶

この説明から、実際の収集や送信まで分かるわけではない。開発者のプライバシーポリシーも読み、集める情報と用途を確かめる。Mozillaも、機能に見合う権限か、開発者を信頼できるか、データの扱いを受け入れられるかを確認するよう案内している。⁷

Chromeのホスト権限は、アクセスを求めるサイトをURLのパターンで宣言する仕組みだ。⁸ 実際に許可された範囲は、インストール済み拡張機能の設定で確認する。自動アクセスを制限できる場合や、追加機能の利用時に任意の権限を求められる場合もある。²⁴

操作したときだけ必要な機能から絞る

現在のページを保存するために使うなら、操作する前のアクセスが必要な理由を確認する。ページを自動で変更する機能には、それに応じたアクセスが必要になる。Mozillaは、パスワード管理や広告の除去を、サイトのデータにアクセスする用途の例として挙げている。⁶

特定の仕事用サイトでしか使わないなら、まずそのサイトを許可してみる。うまく動かないときも、必要なページや権限を一つずつ確かめたい。自動処理を選ぶ便利さと、許可する範囲を自分で結び付けて判断するためだ。²³

表示や仕組み	意味	確認するところ
インストール・更新時の警告	要求する能力の説明	機能とのつながり1
サイトへのアクセス	対応するサイトの許可範囲	自動アクセス先23
activeTab	利用者の操作後の一時的なアクセス	許可が終わる条件9
任意の権限	追加機能などのための許可	不要な権限のスイッチ4
プライベート閲覧の許可	専用ウィンドウでの実行	通常の閲覧とは別の設定10

activeTabは開発者が使う権限で、拡張機能を呼び出すなどの操作後、現在のタブへ一時的にアクセスできる。同じオリジン内の移動では許可が続く場合がある。別のオリジンへ移動するかタブを閉じると終了し、ブラウザー内部の制限ページにはアクセスできない。設定画面のクリック時アクセスと、内部実装が必ず同じとは限らない。⁹

ChromeとEdgeで変更する

パソコン版Chromeの拡張機能管理画面から、対象の「詳細」を開く。サイトへのアクセスを、選択時か特定のサイトに絞り、不要な許可先を削除する。Googleの現行ヘルプと手元の版では、項目名が違うこともある。変更後に画面を開き直し、残った許可先を確認する。²

Edgeは拡張機能の管理から「詳細」を開く。ツールバーのメニューにも、クリック時、現在のサイト、すべてのサイトという選択肢がある。InPrivateでの実行と、ファイルURLへのアクセスはそれぞれ別に見直したい。³

サイト制限だけで全権限を調整できるとは考えないこと。Googleは、VPNやプロキシ設定による下位のネットワークアクセスには、このサイト権限の変更が影響しないと明記している。履歴やブックマークへの権限も別に確認する。²¹

Firefoxは表示される権限を確かめる

拡張機能の管理画面で対象を選び、権限のページを開く。Mozillaの資料には、版に応じて「権限」や「権限とデータ」に当たる項目が掲載されている。任意の権限にスイッチがあれば、使わないものを無効にする。すべての項目を個別に切り替えられるとは限らない。⁴

ツールバーからサイトの許可を管理する説明は、Manifest V3の拡張機能が対象だ。以前の方式の拡張機能に、Chromeと同じ選択肢があると決めつけない。必要な範囲に収まらなければ、管理画面から無効化や削除を選ぶ。必須権限と任意の権限にも区別があり、Mozillaの取り消しAPIが対象にするのは任意の権限だ。⁵¹¹

開発者の説明と更新履歴を読む

開発者名と、リンク先の公式サイトや問い合わせ先がつながっているかを確認する。権限の説明を読み、インストール済みの版に対応する更新履歴も探したい。アクセスが増えたなら、どの機能に必要なのかを問い合わせる。更新時にも警告が出ることはGoogleの案内にある。⁷¹

更新日だけでは判断しにくい。最近更新されたという事実だけでは、アクセスの使い方まで分からない。Mozillaも、ストアの検査や人による審査で安全を保証できるわけではないと説明している。納得できる説明が見つからない間は、管理画面で無効にして調べられる。⁷⁵

普通のページで動作と設定を照らし合わせる

個人情報のないページを使い、設定変更後に再読み込みするか、閉じて開き直す。許可したサイトで機能を使い、別の普通のサイトではアクセス表示やメニューを確認する。機能が使えることと、許可範囲が期待どおりであることを分けて確認したい。²³⁵

動かない場合は必要なサイトや任意の権限を調べてから追加する。この確認で分かるのは設定と目に見える動作まで。通信内容やコードを調査したことにはならない。プライベート閲覧も別途確認する。Firefoxでは標準で明示的な許可が必要で、ChromeとEdgeにも専用の設定がある。⁴⁷¹⁰²³

削除したら、別の端末にも目を向ける

使わない拡張機能は管理画面から削除し、一覧に残っていないかを見る。アイコンの固定を外す操作と削除は、ChromeやFirefoxでも別に案内されている。²⁵

Chrome、Firefox、Edgeはいずれも拡張機能の同期に対応している。利用中のアカウントと同期項目を調べ、別のプロフィールやパソコンでも状態を確認する。サイト権限の変更が同じ内容で直ちに反映されると期待せず、実際の設定を見る。拡張機能専用のサービスアカウントがあれば、そのデータの扱いは開発者の説明に戻って確認したい。^1213147

参考文献

Footnotes

1. Google Chrome ウェブストア ヘルプ — インストール・更新時の警告とアクセス能力：https://support.google.com/chrome_webstore/answer/186213?hl=ja ↩ ↩² ↩³ ↩⁴

2. Google Chrome ヘルプ — サイト許可、シークレット設定、削除とネットワーク設定の適用範囲：https://support.google.com/chrome/answer/2664769?hl=ja ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹

3. Microsoft サポート — Edgeのサイトアクセス、InPrivate、ファイルURL：https://support.microsoft.com/ja-jp/edge/change-site-access-permissions-for-extensions-in-microsoft-edge ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶

4. Mozilla サポート — Firefoxの任意の権限の確認と変更：https://support.mozilla.org/ja/kb/manage-optional-permissions-extensions ↩ ↩² ↩³ ↩⁴ ↩⁵

5. Mozilla サポート — 拡張機能管理とManifest V3のサイト許可：https://support.mozilla.org/ja/kb/extensions-button ↩ ↩² ↩³ ↩⁴ ↩⁵

6. Mozilla サポート — サイト内容と入力情報への権限。日本語ページの機械翻訳表示を確認し英語原文と照合：https://support.mozilla.org/ja/kb/permission-request-messages-firefox-extensions ↩ ↩²

7. Mozilla サポート — 開発者やプライバシーポリシーの確認、ストア審査の限界：https://support.mozilla.org/ja/kb/tips-assessing-safety-extension ↩ ↩² ↩³ ↩⁴ ↩⁵

8. Chrome 開発者向け文書 — ホスト権限の宣言と任意の権限を与える時点：https://developer.chrome.com/docs/extensions/develop/concepts/declare-permissions?hl=ja ↩

9. Chrome 開発者向け文書 — activeTabの期限と制限ページ：https://developer.chrome.com/docs/extensions/develop/concepts/activeTab?hl=ja ↩ ↩²

10. Mozilla サポート — プライベートウィンドウでの実行許可：https://support.mozilla.org/ja/kb/extensions-private-browsing ↩ ↩²

11. MDN（英語） — 任意の権限を取り消すAPIの範囲：https://developer.mozilla.org/en-US/docs/Mozilla/Add-ons/WebExtensions/API/permissions/remove ↩

12. Google Chrome ヘルプ（英語） — アカウントで扱う拡張機能データ。日本語URLの取得はタイムアウトしたため原文を参照：https://support.google.com/chrome/answer/165139?hl=en ↩

13. Mozilla サポート（英語） — 同期対象としての拡張機能：https://support.mozilla.org/en-US/kb/how-do-i-choose-what-information-sync-firefox ↩

14. Microsoft サポート（英語） — Edgeの同期項目とアカウント：https://support.microsoft.com/en-us/edge/sign-in-to-sync-microsoft-edge-across-devices ↩