Vérifier vous-même les permissions de Wirelet

Le manifeste d’une extension dit ce qu’elle peut faire, et votre navigateur le fait respecter. Voici comment obtenir celui de Wirelet, quoi y lire, et comment constater qu’il ne fait aucune requête réseau.

1. Obtenir le paquet

Depuis les versions publiques

Les paquets Chrome et Edge de chaque version sont publiés dans les versions du dépôt Wirelet/feedback, avec leurs empreintes SHA-256 (SHA256SUMS.txt) et un rapport de version. Téléchargez wirelet-1.0.2-chrome.zip (ou -edge.zip) et SHA256SUMS.txt depuis la version 1.0.2, puis comparez l’empreinte :

shasum -a 256 wirelet-1.0.2-chrome.zip

Sous Windows, dans PowerShell : Get-FileHash wirelet-1.0.2-chrome.zip.

Depuis votre navigateur

Les fichiers installés sont dans votre profil de navigateur, sous Extensions/<ID>/<version>/. L’identifiant de Wirelet est bljgefhnlagohdjnogbdnomlidbkbkem dans Chrome et eakjkekgdahclbmojnbiilneemmkgjeh dans Edge. Pour trouver le dossier de votre profil, ouvrez chrome://version (ou edge://version) : la page indique son chemin.

Le store ajoute quelques éléments à ce qu’il sert, comme update_url dans le manifeste et un dossier _metadata.

2. Lire manifest.json

unzip -p wirelet-1.0.2-chrome.zip manifest.json

Dans la version 1.0.2, vous trouvez :

"permissions": [
  "declarativeNetRequestWithHostAccess",
  "storage",
  "alarms",
  "activeTab"
],
"optional_host_permissions": ["<all_urls>"],
"content_security_policy": {
  "extension_pages": "default-src 'self'; script-src 'self'; object-src 'none'; base-uri 'none'; form-action 'none'; connect-src 'none'"
}

Ce qui manque compte aussi : ni host_permissions, ni content_scripts, ni permission scripting. Et le code ne fait aucune requête :

unzip -p wirelet-1.0.2-chrome.zip '*.js' | grep -c "fetch("

affiche 0.

3. Observer le réseau

1. Ouvrez les réglages de Wirelet et appuyez sur F12 (Option+Commande+I sur Mac) pour ouvrir les outils de développement, puis l’onglet Réseau.
2. Utilisez Wirelet : créez un profil, activez-le, importez un fichier. Seuls les fichiers de Wirelet apparaissent (chrome-extension://…), rien d’Internet.
3. Pour le script d’arrière-plan, ouvrez chrome://extensions (ou edge://extensions), activez le mode développeur, cliquez sur le lien « service worker » de Wirelet et ouvrez son onglet Réseau.
4. Une tentative de connexion serait bloquée par la politique, et la console afficherait une erreur de Content Security Policy.

Les requêtes de vos pages sont celles des pages : votre navigateur leur applique les règles d’en-têtes de Wirelet.