Como complemento à nossa postagem do blog sobre como proteger os usuários do Windows contra extensões maliciosas, estamos aplicando as seguintes mudanças a partir do Chrome 33 Beta e dos canais estáveis para Windows:
- Os usuários só podem instalar extensões hospedadas na Chrome Web Store, exceto as instalações por política corporativa ou modo de desenvolvedor.
- As extensões que foram instaladas anteriormente, mas não estão hospedadas na Chrome Web Store, serão desativadas permanentemente (ou seja, o usuário não poderá ativá-las novamente), exceto as instalações feitas pela política corporativa ou pelo modo de desenvolvedor.
Qual é o motivo dessa medida?
Consulte Como proteger os usuários do Windows contra extensões mal-intencionadas.
Para extensões que estão hospedadas fora da Chrome Web Store, o que deve ser feito e até quando?
Se as suas extensões estiverem hospedadas fora da Chrome Web Store, migre-as para lá o mais rápido possível. As mudanças acima já estão em vigor no Chrome 33 Beta para Windows e vão entrar em vigor no Chrome 33 Stable para Windows (por volta do final de fevereiro de 2014). Depois que você migrar suas extensões para a Chrome Web Store, não haverá impacto para os usuários, que ainda poderão usar sua extensão como se nada tivesse mudado. Se você estiver migrando suas extensões para a Chrome Web Store, comece a testar com o Chrome 33 imediatamente.
O que vai acontecer se eu migrar a extensão para a Chrome Web Store no futuro? Vou perder todos os meus usuários?
As extensões de fora da loja serão desativadas permanentemente para os usuários quando a restrição for implementada no Chrome 33 estável/Beta para Windows. No entanto, se a extensão for migrada para a Chrome Web Store após o lançamento, os usuários poderão ativá-la manualmente na página de configurações de extensões (chrome://extensions) ou na página de detalhes da Chrome Web Store.
E se eu quiser restringir o acesso a determinados usuários ou impedir que minha extensão seja listada na Chrome Web Store?
É possível restringir o acesso à sua extensão limitando a visibilidade dela ao Trusted Tester ou removendo a extensão da Chrome Web Store.
Quais sistemas operacionais e canais do Chrome são afetados por essa mudança?
As mudanças só são válidas para os canais estável e Beta do Windows a partir do Chrome 33.
Isso vai afetar minha capacidade de desenvolver extensões no Windows?
Não. Ainda é possível carregar extensões descompactadas no modo de desenvolvedor no Windows. Além disso, você pode continuar desenvolvendo extensões no canal de desenvolvedor/Canary do Chrome, em que essas mudanças não são aplicadas.
Como posso distribuir minha extensão se não posso fazer upload dela para a Chrome Web Store por motivos de política?
Essas mudanças só são válidas nos canais estável e Beta do Windows. Os usuários que quiserem receber extensões que não estão hospedadas na Chrome Web Store podem fazer isso nos canais Chrome Dev/Canary no Windows ou em todos os canais do Chrome em outros sistemas operacionais.
Por que esse problema não pode ser resolvido com uma configuração/opção para carregar extensões que não estão hospedadas na Chrome Web Store?
Ao contrário dos sistemas operacionais modernos para dispositivos móveis, o Windows não coloca os aplicativos em sandbox. Portanto, não seria possível diferenciar um usuário que ativa essa configuração de um app nativo malicioso que substitui a configuração do usuário.
Quais são as opções de implantação compatíveis com as extensões após essa mudança?
Além da instalação de extensões da Chrome Web Store pelos usuários, as seguintes opções de implantação serão aceitas:
- No OSX e no Linux, as extensões podem ser instaladas usando um arquivo JSON de preferências.
- No Windows, as extensões podem ser instaladas pelo Registro do Windows. No registro do Windows, verifique se a chave de registro update_url aponta para o seguinte URL: https://clients2.google.com/service/update2/crx. As instalações locais de .crx pela chave de registro de caminho foram descontinuadas. Essa opção de implantação funciona apenas para extensões hospedadas na Chrome Web Store, e update_url não pode apontar para nenhum outro host além de https://clients2.google.com/service/update2/crx.
- Para empresas, vamos continuar oferecendo suporte à política de grupo para instalar extensões, independentemente de onde elas estejam hospedadas. A máquina do usuário precisa ingressar em um domínio para que as políticas de GPO sejam aplicadas.
Há outras considerações a serem feitas sobre extensões que dependem de um binário de app nativo?
Antes, quando as extensões de fora da loja eram aceitas, era possível atualizar os binários do aplicativo de terceiros e a extensão de sideload ao mesmo tempo. No entanto, as extensões hospedadas na Chrome Web Store são atualizadas pelo mecanismo de atualização do Chrome, que não é controlado pelos desenvolvedores. Os desenvolvedores de extensões precisam ter cuidado ao atualizar extensões que dependem do binário do app nativo (por exemplo, extensões que usam mensagens nativas ou extensões legadas que usam NPAPI).
O que os usuários vão ver quando a extensão de fora da loja for desativada como resultado desse lançamento?
Eles vão receber uma notificação com a mensagem "Extensões suspeitas desativadas" e um link para o seguinte artigo de suporte.
Por que aparece um balão sobre "Desativar extensões do modo de desenvolvedor" ao carregar uma extensão descompactada nos canais estável e Beta do Windows?
Não queremos que o modo de desenvolvedor seja usado como um vetor de ataque para espalhar extensões maliciosas. Por isso, estamos informando os usuários sobre as extensões do modo de desenvolvedor nos canais estável/Beta do Windows e oferecendo a opção de desativá-las.