Проверить расширение браузера

Расширение браузера видит больше, чем почти любое приложение. С доступом «ко всем сайтам» оно читает и меняет страницы, которые вы открываете, — почту, банк, личные кабинеты. Здесь можно посмотреть, что расширение запрашивает, — до установки или уже после.

Файл не загружается на сервер. Разбор идёт прямо в вашем браузере — расширение никуда не отправляется, мы его не видим и не храним.

Как проверить расширение — два шага:

Возьмите файл расширения: .crx (Chrome, Edge), .xpi (Firefox) или папку уже установленного расширения, сжатую в ZIP.
Перетащите его в рамку ниже — или нажмите «Выбрать файл расширения».

Где найти файл уже установленного расширения

Откройте chrome://extensions и включите «Режим разработчика» — у каждого расширения появится его ID.
Найдите папку с этим ID на диске:
- Windows: %LOCALAPPDATA%\Google\Chrome\User Data\Default\Extensions\ID\версия\
- macOS: ~/Library/Application Support/Google/Chrome/Default/Extensions/ID/версия/
- Linux: ~/.config/google-chrome/Default/Extensions/ID/версия/
У Edge путь такой же, только вместо Google\Chrome — Microsoft\Edge.
Сожмите папку версии в ZIP или просто выберите из неё файл manifest.json.

или перетащите сюда — .crx, .xpi, .zip или manifest.json

Файл остаётся в браузере — он никуда не отправляется, мы его не видим и не храним.

Как читать результат

Доступ к сайтам — главное. «Все сайты» значит, что расширение может прочитать и изменить любую страницу, которую вы открываете.
Разрешения взяты из манифеста. Это то, что расширение может делать, а не то, что оно делает на самом деле.
«По запросу» — разрешение не выдаётся при установке: расширение может попросить его позже.
ID расширения берётся из подписи файла .crx или из ключа в манифесте. По нему расширение можно найти в магазине.

Ограничения

Мы читаем файлы расширения, но не запускаем его. Код может быть запутан или подгружаться с сервера уже после установки — такого разбор файла не увидит.
Адреса в коде — это упоминания, а не доказанные передачи данных. Чтобы увидеть сами передачи, нужен перехват трафика — как в проверке HAR.