Alternative à ModHeader : quoi vérifier avant de changer

Ce qui s’est passé

Le 10 juillet 2026, Google a retiré ModHeader du Chrome Web Store.

Le 13 juillet 2026, Stripe OLT a publié son analyse de ModHeader 7.0.18, la version alors en ligne sur le store. Le rapport y décrit un code capable de collecter l’historique de navigation et de l’envoyer, inactif dans cette version : une liste d’autorisation vide le tenait désactivé. Ses auteurs précisent n’avoir observé aucune exfiltration active de l’historique dans cette version.

En 2026, ModHeader a aussi quitté Microsoft Edge Add-ons : sa fiche n’y est plus disponible (vérifié le 18 octobre 2026).

Le rapport conseille à ceux qui l’utilisaient de retirer l’extension, d’effacer ses données dans le navigateur et de vérifier que la synchronisation ne l’a pas réinstallée.

Source : Stripe OLT, « Hidden Exfiltration Capability Discovered in a Trusted, 900,000-User Chrome Web store Extension » (en anglais), publié le 13 juillet 2026, mis à jour le 10 septembre 2026.

Ce qu’il faut vérifier avant de choisir un remplaçant

Un éditeur d’en-têtes a du pouvoir sur vos requêtes. Ces vérifications montrent ce qu’une extension s’accorde, avant et après l’installation.

1. La boîte d’installation

Quand vous ajoutez une extension, votre navigateur liste ce qu’elle demande. Une ligne qui annonce qu’elle peut lire et modifier toutes vos données sur tous les sites veut dire qu’elle atteint chaque site dès l’installation. Un éditeur d’en-têtes a bien besoin d’un accès aux sites pour appliquer ses changements, mais il peut le demander plus tard, pour les sites que vous choisissez : son manifeste les liste alors sous optional_host_permissions plutôt que sous host_permissions.

2. La politique de sécurité du contenu

Dans le manifeste, content_security_policy → extension_pages fixe les adresses auxquelles les pages et le script d’arrière-plan de l’extension peuvent se connecter. connect-src 'none' veut dire aucune ; une liste d’adresses, seulement celles-là. Sans directive connect-src, la politique ne limite pas les serveurs que l’extension peut contacter.

3. Du code dans les pages que vous visitez

content_scripts dans le manifeste, ou la permission scripting, permet à une extension d’exécuter son code dans les pages web. Changer des en-têtes n’en a pas besoin : le navigateur peut appliquer lui-même des règles d’en-têtes (declarativeNetRequest).

Lire le manifeste d’une extension

Les réponses de Wirelet

Reprendre vos profils

Wirelet lit l’export JSON de ModHeader et dit, profil par profil, ce qu’il a gardé, adapté, ignoré ou désactivé : importer vos profils ModHeader.