دو پرسش درباره یک لینک، ایمیل، پیامک یا کد QR مشکوک؛ سپس چه چیزهایی را باید بررسی و چه اقداماتی انجام دهید.
جدید
جستجوی شناسه اکستنشن
اجرای محلیجدید
خود ابزار به زبان انگلیسی است؛ این صفحه آن را به زبان شما توضیح میدهد.
از جستجوی شناسه اکستنشن استفاده کنید
کارکرد
صفحات فروشگاه یک افزونهٔ مرورگر را از روی شناسهٔ آن باز کنید و ببینید مجوزهای آن چقدر پرخطر هستند: لینکهای فروشگاه برای کروم، اج و فایرفاکس و متنی ساده از مجوزهای تعریف‌شده در منیفست آن.
این کاملاً در مرورگر شما اجرا می‌شود: هیچ‌یک از اطلاعاتی که وارد می‌کنید بارگذاری نمی‌شود.
چگونه از جستجوی شناسه اکستنشن استفاده کنیم
- شناسه را پیدا کنید. آن را از chrome://extensions یا edge://extensions با حالت توسعه‌دهنده روشن کپی کنید، یا از about:debugging در فایرفاکس. آدرس صفحه فروشگاه هم کار میکند.
- شناسه یا نشانی وب را جای‌گذاری کنید. آن را در Extension ID یا store URL بچسبانید. شناسههای Chrome و Edge شامل ۳۲ حرف از a تا p هستند؛ شناسههای Firefox شبیه {guid} یا name@example هستند.
- افزودن دسترسیها (اختیاری). فایل manifest.json یا فقط فهرستی از نام‌های مجوز را در کادر دوم قرار دهید تا میزان ریسک را دریافت کنید.
- به بالا نگاه کن. دکمهٔ Look up یا Enter را فشار دهید، سپس لینکهای فروشگاه را باز کرده و نام و توسعه‌دهنده را با آنچه نصب کرده‌اید مقایسه کنید.
- اقدام در قبال ریسک بالا. اگر افزونه‌ای که نمی‌شناسید دسترسی پرخطر دارد، آن را حذف کنید. سپس رمزهای عبوری را که در آن مرورگر استفاده کرده‌اید تغییر دهید و کیفپولهای خود را بررسی کنید.
مثال
یک افزونهٔ ساختگی «Wallet Helper» با دسترسی گسترده
abcdefghijklmnopabcdefghijklmnop
---
{"name": "Wallet Helper", "manifest_version": 3, "permissions": ["storage", "clipboardWrite", "scripting", "tabs"], "host_permissions": ["<all_urls>"]}BROWSER
Chrome or Edge (Chromium)
EXTENSION ID
abcdefghijklmnopabcdefghijklmnop
Chrome Web Store
↗
(new tab)
Microsoft Edge Add-ons
↗
(new tab)
An ID that no store knows was installed from outside the store (developer mode, a ZIP, a policy): treat it with suspicion.
Wallet Helper · Manifest V3
Wallet-drainer pattern: access to every website together with clipboard or script injection is how fake wallet and “crypto helper” extensions swap addresses and read seed phrases.
Permissions and what they allow
PERMISSION RISK WHAT IT ALLOWS
<all_urls> high Read and change everything on every website you open (pages, forms, passwords as you type them).
clipboardWrite medium Change what you copied: the trick clipboard hijackers use to swap a wallet address.
scripting medium Run its own code in pages it has access to.
tabs medium See the address and title of every open tab.
storage low Store its own data.ID و مینیفست برای این مثال ساختگی هستند و به هیچ افزونه واقعی تعلق ندارند؛ ID تنها فرمت صحیح (۳۲ حرف a–p) را دارد. مانند هر شناسه، لینکهای Chrome Web Store و Edge Add-ons را ارائه میدهد. مینیفست با الگوی خالی‌کننده کیف پول علامت‌گذاری شده است: دسترسی به همه وبسایتها به‌علاوه نوشتن در کلیپبورد و تزریق اسکریپت، ترکیبی که افزونههای جعلی کیف پول برای جابه‌جایی آدرس‌ها از آن استفاده میکنند.
آنچه بررسی میکند
| سیگنال | معنای آن |
|---|---|
| مرورگر | کروم یا اج (کرومیم) برای یک شناسهٔ ۳۲ کاراکتری خام؛ فروشگاه وب کروم، افزونههای مایکروسافت اج یا فایرفاکس وقتی ابزار لینک فروشگاه یا شناسهٔ فایرفاکس را خواند. |
| لینکهای فروشگاه | یک شناسهٔ خام Chromium هم لینک Chrome Web Store و هم لینک Edge Add-ons را دریافت میکند. اگر هیچ فروشگاهی شناسه را نشناسد، افزونه از خارج یک فروشگاه نصب شده است. |
| نه شناسهٔ افزونه و نه آدرس فروشگاه. | ورودی یک شناسهٔ a-p ۳۲حرفی، شناسهٔ فایرفاکس یا لینکی به کروم، اج یا addons.mozilla.org نیست. |
| الگوی خالی‌کننده کیف | دسترسی به هر وب‌سایت همراه با clipboardRead، clipboardWrite یا اسکریپت‌نویسی: ترکیبی که کمک‌کننده‌های کیف‌پول جعلی برای تبادل آدرس‌ها و خواندن عبارت‌های بازیابی استفاده میکنند. |
| هر وب‌سایتی را که باز می‌کنید میخواند و تغییر میدهد. | دسترسی به تمام سایت‌ها، نوشته شده به صورت <all_urls> یا *://*/* در مجوزها یا اسکریپت‌های محتوا، بدون ترکیب کلیپبورد یا اسکریپت‌نویسی. |
| خطر: بالا | مجوزهایی مانند کوکیها، تاریخچه، clipboardRead، webRequest، دیباگر، nativeMessaging، مدیریت و پروکسی. |
| ریسک: متوسط | اجازه‌هایی مانند برگه‌ها، اسکریپت‌نویسی، نوشتن در کلیپبورد، دانلودها و هویت، و دسترسی میزبان محدود به سایت‌های فهرست‌شده. |
| خطر: کم یا نامشخص | Low پوشش کارهای خانه مانند ذخیره‌سازی، هشدارها و activeTab را در بر میگیرد. Unknown به این معنی است که نام در فهرست ابزار وجود ندارد؛ آن را در مستندات مرورگر جستجو کنید. |
نمونه‌های بیشتر
افزونه فایرفاکس از صفحه فروشگاه آن
https://addons.mozilla.org/en-US/firefox/addon/example-helper/مرورگر: فایرفاکس. نام صفحهٔ افزونه: example-helper. یک لینک: افزونههای فایرفاکس.
یک فهرست اجازه‌نامه بدون شناسه
cookies, history, storage, alarmsهیچ کادر هشدار. جدول: کوکیها زیاد، تاریخچه زیاد، حافظه کم، هشدارها کم، هر کدام با آنچه مجاز هستند.
نمایش محدود به یک سایت
{"name": "Price Helper", "version": "1.2.0", "manifest_version": 3, "permissions": ["activeTab", "storage", "contextMenus", "nativeMessaging"], "content_scripts": [{"matches": ["https://*.example.com/*"]}]}Price Helper 1.2.0 · Manifest V3. پیامرسانی بومی در سطح بالا؛ دسترسی میزبان در سطح متوسط (خواندن و تغییر صفحات در: https://*.example.com/*); تب فعال، ذخیره‌سازی و منوهای زمینه در سطح پایین.
سوالات متداول
شناسهٔ یک افزونه را از کجا پیدا کنم؟
در کروم یا اج، chrome://extensions (edge://extensions) را باز کنید، حالت توسعه‌دهنده را فعال کنید تا شناسه زیر هر افزونه نمایش داده شود. در فایرفاکس، about:debugging را باز کنید، «This Firefox» را انتخاب کنید و شناسه افزونه را بخوانید. URL فروشگاه نیز کار میکند.
کدام مجوزها خطرناک هستند؟
دسترسی به تمام وبسایتها، کوکیها، تاریخچه، خواندن کلیپبورد، دیباگر، پیامرسانی بومی، مدیریت و پروکسی میتواند حسابها و کیفپولهای شما را در معرض خطر قرار دهد. بپرسید آیا این افزونه واقعاً برای انجام کاری که ادعا میکند به این دسترسیها نیاز دارد.
آیا این ابزار با فروشگاهها تماس میگیرد؟
خیر. این فقط لینکهای صفحات فروشگاه را میسازد و منیفستی را که در مرورگرتان میچسبانید، میخواند. فروشگاه تنها در صورتی شناسه را میبیند که یکی از لینکها را باز کنید.
چرا یک شناسهٔ خالی هم لینک کروم و هم لینک اج را ارائه میدهد؟
هر دو مرورگر از شناسههای ۳۲حرفی استفاده میکنند و تنها شناسه به خودی خود نشان نمیدهد که از کدام فروشگاه آمده است. افزونههای Edge شناسههای مخصوص به خود را دارند، بنابراین معمولاً تنها یکی از این دو لینک صفحه را پیدا میکند.
آیا یک افزونهٔ ایمن میتواند بعداً مضر شود؟
بله. افزونهها بهطور خودکار بهروزرسانی میشوند و ممکن است مالک آنها تغییر کند و یک بهروزرسانی مضر دریافت کنند. وقتی مرورگر از شما میخواهد مجوزهای جدید را تأیید کنید، دوباره بررسی کنید و افزونههایی را که دیگر استفاده نمیکنید حذف کنید.
یک افزونه که به آن اعتماد دارم، با درجه ریسک بالا ارزیابی شده است. آیا مخرب است؟
ضروری نیست. مدیریتکنندههای رمز عبور و مسدودکنندههای تبلیغات برای کار کردن به دسترسی گستردهای نیاز دارند. جدول نشان میدهد یک افزونه چه کارهایی میتواند انجام دهد، نه چه کارهایی انجام میدهد؛ بپرسید آیا این دسترسی با هدف آن سازگار است و آیا از توسعهدهندهی مورد انتظار میآید.