Introduzione

Un'estensione non è un'icona innocua. È software che gira dentro il browser, spesso con il diritto di leggere ogni pagina che apri.

Il browser è già il programma con cui fai banca, posta, fatture, password. Aggiungere pezzi di codice di terzi è allargare la superficie di attacco. A volte serve (un adblocker serio). Spesso no (sconti, "pulizia PC", PDF, tema, cattura schermo che non usi da un anno).

In questa guida:

perché le estensioni sono rischio, non comfort
cosa significa il permesso "leggere tutti i dati su tutti i siti"
i fake adblocker e i cloni nello store
come rivedere l'elenco su Chrome, Edge e Firefox
cosa tenere: uBlock Origin, dal negozio ufficiale
in azienda: non lasciare che ognuno installi ciò che vuole
una pulizia che si può ripetere

Non ti serve disinstallare il browser. Ti serve sapere cosa c'è dentro, e togliere ciò che non usi. Dieci minuti, una volta al trimestre, bastano.

Vuoi una revisione delle estensioni sui PC dell'ufficio? Contattaci

Perché un'estensione è superficie di attacco

Il modello è semplice. Il sito che visiti è isolato (in teoria) dagli altri siti. L'estensione no: può avere un permesso che attraversa quell'isolamento.

Una estensione con accesso a tutte le pagine vede:

URL, titolo, parte del contenuto
form (a volte, campi che non sono "password" ma lo sono comunque)
cookie e sessioni, se il permesso lo consente
click e navigazione, se è fatta per quello

Non deve "sembrare virus". Può essere legittima oggi e venduta domani. Può avere un aggiornamento silenzioso. Lo store aggiorna da solo. Tu non rivedi il changelog.

Ogni estensione è un programma con un editore che non è Google, Mozilla o Microsoft. Trattala come un software installato, non come un tema.

I browser hanno sandbox. Aiutano. Non cancellano un permesso che hai concesso tu. "L'ho presa dallo store ufficiale" riduce il rischio di un exe a caso. Non lo azzera. Gli store hanno avuto estensioni malevole, cloni, e editori che cambiano padrone.

Cosa può andare storto

Furto di sessione: un token di un pannello admin vale più di una password.
Iniezione di ads e affiliate: la pagina cambia, tu non l'hai chiesto.
Keylogging soft: non un virus classico; un permesso troppo largo su tutti i form.
Cryptomining o redirect: il PC diventa lento. A volte è l'estensione, non "Windows". Vale la pena incrociare con PC lento.
Phishing assistito: una pagina falsa più una estensione che "aiuta" a compilare. Il riconoscimento resta il tuo: riconoscere il phishing.

Un'estensione può essere il canale. Il click sul link resti tu a farlo. Non delegare il giudizio a un'icona verde.

Il permesso che conta: "leggere tutti i dati"

Nello store lo vedi scritto in modi diversi.

Chrome / Edge: "Leggi e modifica tutti i tuoi dati sui siti web visitati" / "Read and change all your data on all websites"
Firefox: "Accedere ai tuoi dati per tutti i siti web" (permesso all_urls)

Significa quello che dice. Non "funziona meglio". Significa che il codice dell'estensione può vedere il contenuto delle pagine, di solito tutte.

Un adblocker serio ha bisogno di questo permesso: deve ispezionare le richieste e le pagine per bloccare tracker e script. Per quello uBlock Origin lo chiede, e per quello lo prendi solo dall'editore giusto, nello store ufficiale.

Un convertitore di unità, un selettore di colore, un "sconto automatico" non hanno lo stesso bisogno. Se lo chiedono, è un no. O spieghi perché, o non la installi.

Tipo di estensione	Permesso largo atteso?	Nota
uBlock Origin	Sì	Solo build ufficiale, store ufficiale
Password manager noto	Spesso sì	Solo vendor vero, 2FA sull'account
Traduttore del browser	A volte	Preferisci quello integrato
"Sconti e coupon"	Lo chiedono, non serve	Rifiuta di default
Temi e pack icone	No	Se chiedono tutti i siti, via
PDF / screenshot	Dipende	Il browser lo fa già
Estensione "antivirus"	Sospetto	Il browser non si protegge così

Il permesso largo non è automaticamente malevole. È automaticamente potente. Lo dai a pochi, per nome, e li rivedi.

Fake adblocker e cloni

Gli adblocker sono il cavallo di Troia preferito. La gente li cerca. Lo store ne mostra dieci. Quello in cima può essere un clone con recensioni comprate.

Cosa vedi nei falsi:

nome quasi uguale (uBlock, uBlock Plus, AdBlock Ultra Pro)
icona simile
"10 milioni di utenti" e tre recensioni identiche
permesso di leggere tutto, più "dati di navigazione" extra
editore senza sito, o un sito fatto ieri

uBlock Origin è un progetto noto, open source, di Raymond Hill (gorhill). Su Chrome lo store ufficiale è il Chrome Web Store. Su Firefox è addons.mozilla.org. Su Edge, il negozio Microsoft o l'installazione da store Chrome se la policy lo consente. Non un sito "download ublock crack" e non un banner su un forum.

Se l'adblocker lo hai installato da un popup "il tuo browser non è protetto, installa", disinstallalo. È il contrario di un adblocker.

Lo stesso schema vale per "VPN gratis", "Download accelerator", "PDF editor", "Dark mode" di editori sconosciuti. Il bisogno è reale. L'estensione a caso no. Firefox e Chrome hanno già il PDF. Il tema scuro spesso è nel sito o nel browser.

Rivedere l'elenco: Chrome, Edge, Firefox

Non fidarti della memoria. Apri la pagina delle estensioni. Conta. Per ognuna: la uso? Chi è l'editore? Che permessi ha?

Chrome

Menu → Estensioni → Gestisci estensioni
oppure vai su chrome://extensions
Attiva "Modalità sviluppatore" solo se sai perché. Per la pulizia non serve.
Per ciascuna card: dettagli → permessi e sito.
Disattiva (toggle) prima di rimuovere, se vuoi un giorno di prova.
Rimuovi quelle morte.

Edge

Edge è Chromium. La logica è la stessa.

edge://extensions
Stesso controllo: nome, editore, permessi.
Attenzione alle estensioni "installate dall'amministratore" e a quelle venute con un software di terze (toolbar, "helper" di un antivirus consumer). Quelle si tolgono dal pannello o disinstallando il programma che le ha messe.

Firefox

Menu → Componenti aggiuntivi e temi
oppure about:addons
Scheda Estensioni.
Ingranaggio o "Estensione" → permessi.
Rimuovi. I temi stanno in un'altra scheda: non confonderli, ma un tema che chiede dati di navigazione non è un tema.

Segnali per togliere

Non ricordi di averla installata
Non la usi da mesi
Editore sconosciuto
Permesso su tutti i siti senza motivo
Recensioni che parlano di ads inattesi

Segnali per tenere (per ora)

La usi ogni settimana
Editore che sai nominare
Store ufficiale, URL giusto
Permessi coerenti con il lavoro
Aggiornata di recente

Cose da togliere di default, se non hai un motivo scritto

Coupon, cashback, "offerte"
Toolbar e helper di antivirus consumer
Download manager e "acceleratori"
Estensioni installate da un setup di un altro programma
Cloni di adblocker e "privacy shield" generici
Qualsiasi cosa arrivata da un popup o da una mail

Pulizia: un passaggio ripetibile

Non è un progetto. È una lista.

Apri la pagina estensioni.
Scrivi i nomi (un foglio, tre minuti). Ti serve se domani "manca qualcosa".
Disattiva tutto ciò che non è: password manager, uBlock Origin, eventuale estensione aziendale.
Naviga un giorno. Banca, posta, gestionale.
Riattiva una alla volta solo se ti manca.
Rimuovi il resto. Non "disattiva per sempre": rimuovi.
Controlla che l'update automatico sia quello dello store, non un installer parallelo.

Disattivata e dimenticata è ancora codice sul disco, ancora un permesso in lista. Se non la usi, rimuovila.

Dopo la pulizia, il browser è più leggero. Meno estensioni, meno script in ogni pagina. Se il PC "volava male" solo in Chrome, spesso era questo, non il RAM da 8 GB. Per il resto della macchina, PC lento.

uBlock Origin, e basta

Un adblocker. Quello. Dal negozio ufficiale. Liste di default, senza dieci liste extra "perché sì" (più liste = più rotture, non più sicurezza).

Non sommare AdBlock + Adblock Plus + uBlock + un "anti-tracker" a caso. Si pestano i piedi. Aumenti i permessi, non la protezione.

Il browser (Firefox in particolare, e le protezioni native di Edge/Chrome) già blocca parte del tracking. uBlock Origin aggiunge il filtro. Il resto è disciplina: meno estensioni, meno click su allegati e link di phishing.

Se dopo uBlock Origin ti manca ancora un'estensione, va bene. Se ne hai dodici e non sai a cosa servono, non stai "personalizzando". Stai collezionando rischio.

In azienda: non lasciare il browser libero

Sul PC di casa decidi tu. In ufficio, un'estensione su un profilo con accesso al gestionale è un problema dell'azienda, non "del collega che voleva i coupon".

Policy minime, concrete:

Store consentiti: solo quelli ufficiali, meglio una allowlist.
Blocco delle estensioni non approvate (Chrome/Edge: policy ExtensionInstallAllowlist / blocco sideload; Firefox: policy Enterprise).
Le poche ammesse: uBlock Origin, password manager aziendale, ciò che serve al mestiere (un connettore del centralino, se è quello).
Niente installazione da .crx scaricato, niente "forza modalità sviluppatore" per caricare zip.
Profilo di lavoro separato dal profilo personale, se qualcuno "deve" tenere il resto.

"Siamo pochi, ci fidiamo" non scala. Basta un tirocinante e un clone di adblocker. La allowlist si scrive una volta. Il recupero di una sessione admin no.

Chi gestisce i PC (Intune, GPO, un RMM) può spingere le estensioni buone e togliere le altre. Se oggi ognuno è amministratore del proprio Chrome, quella è la prima cosa da chiudere. Non dopo l'incidente.

Devi impedire le installazioni libere sui browser aziendali? Parliamone

Problemi comuni

"Me l'ha chiesta il sito"

I siti non ti devono installare estensioni. Se un gestionale serio ne ha una, te la dà l'IT, con nome e store. Un banner "installa la nostra estensione per continuare" su un sito qualunque è un no. Stesso naso del phishing.

"Ha tante stelline"

Le recensioni si comprano. Guarda l'editore, la data, i permessi, il codice se è open source. Tre milioni di utenti non puliscono un permesso largo in mano a un editore opaco.

"La uso solo per un sito"

Chrome e Firefox permettono di limitare l'estensione a siti specifici (dettagli → "Su siti specifici"). Fallo. Un password manager su tutti i siti ha un motivo. Un selettore colori su tutti i siti no.

"L'ho tolta e il sito è rotto"

A volte il sito era fatto per un adblocker spento, o per una toolbar. Riattiva una, non dieci. Se il sito aziendale richiede una estensione, deve stare in elenco, firmata, non "quella che ho trovato io".

"Firefox / Chrome mi avvisa che è malevola"

Togli. Non "aspetta, mi serve". Lo store a volte ritira in ritardo. L'avviso del browser, quando c'è, si ascolta.

Checklist trimestrale

Apri chrome://extensions, edge://extensions o about:addons
Rimuovi ciò che non usi da 30 giorni
Verifica editore e permessi di ciò che resta
Un solo adblocker: uBlock Origin ufficiale
In ufficio: niente fuori dalla allowlist

Conclusione

Le estensioni sono comode e sono codice di terzi nel programma con cui apri la banca. Il permesso di leggere tutti i siti è il più grosso. Lo dai a pochi. I fake adblocker esistono per quello: sembrano utili, chiedono tutto, finiscono in mezzo al traffico.

Rivedi l'elenco. Togli l'inutile. Tieni uBlock Origin dallo store ufficiale. In azienda, non lasciare che ognuno installi. Se il PC è lento solo nel browser, parti da qui, poi da PC lento. Se qualcosa ti chiede un'installazione per "continuare", trattala come phishing finché non dimostra il contrario.

Serve una policy browser per il team, senza complicare il lavoro quotidiano? Contattaci

Risorse utili (autorevoli):

uBlock Origin (GitHub) - Progetto ufficiale, link agli store
Chrome Web Store - Unico canale sano per le estensioni Chrome
Firefox Browser Add-ons - Catalogo ufficiale Mozilla
Microsoft Edge Add-ons - Catalogo ufficiale Edge
Google — Stay safe with extensions - Permessi e segnalazione, documentazione Chrome