À retenir
Une extension navigateur s’exécute directement dans les onglets SaaS déjà authentifiés par SSO et MFA. L’auditer consiste à inventorier les extensions installées sur Chrome, Edge et Firefox, à les classer selon l’exposition réelle de leurs permissions plutôt que leur note publique, puis à encadrer l’installation par politique MDM.
1. Pourquoi les extensions navigateur échappent à vos audits SSO et OAuth
Dès qu’un collaborateur est connecté à Google Workspace, Microsoft 365, Salesforce, GitHub ou un outil finance, une extension disposant d’un accès large à tous les sites web peut lire le contenu affiché, capter le presse-papiers, inspecter les requêtes web ou les cookies sans jamais apparaître dans les journaux OAuth de Microsoft Entra ID ou de Google Admin.
De plus, une extension initialement anodine peut être rachetée ou demander de nouvelles permissions lors d’une mise à jour silencieuse. Se fier au nombre de téléchargements laisse passer des VPN gratuits, convertisseurs de fichiers et barres latérales IA non approuvés capables de lire tous les onglets ouverts.
Références : Aide Google Chrome Enterprise - Gérer les extensions dans votre entreprise · Microsoft Learn - Gérer les extensions Microsoft Edge en entreprise
2. Dresser l’inventaire sur Chrome, Edge et Firefox
Un audit limité à Google Chrome laisse un angle mort immédiat si vos équipes techniques utilisent Firefox ou si d’autres métiers travaillent sur Microsoft Edge. Relevez sur chaque navigateur géré le nom de l’extension, sa version, son mode d’installation (forcée par l’IT, installée par l’utilisateur, non empaquetée en mode développeur) et le nombre de postes concernés.
Documentez clairement les écarts techniques entre navigateurs : Google Admin et Intune couvrent finement Chrome et Edge, le fichier policies.json encadre Firefox, tandis que Safari sur macOS gère les extensions via des applications empaquetées et des profils MDM distincts.
Références : Aide Google Chrome Enterprise - Gérer les extensions dans votre entreprise · Microsoft Learn - Gérer les extensions Microsoft Edge en entreprise · Assistance Mozilla - Gérer les modules Firefox par fichier policies.json
3. Prioriser selon l’exposition des permissions et non la notoriété
Concentrez la revue sur les permissions techniques les plus intrusives afin de traiter rapidement la dizaine d’extensions réellement critiques plutôt que des centaines d’utilitaires sans accès réseau.
| Signal de permission | Capacité technique de l’extension | Action recommandée |
|---|---|---|
| Accès global à tous les sites web associé aux API cookies ou webRequest | Lecture ou modification des pages et données de session sur tous les onglets SaaS | Exposition élevée : bloquer par défaut sauf éditeur validé et usage métier justifié |
| Accès presse-papiers, onglets, injection de scripts ou débogage sur domaines pro | Capture de secrets copiés, d’URL internes ou injection de scripts dans les pages actives | Exposition élevée ou moyenne : vérifier le responsable et chercher une alternative minimale |
| Barres latérales IA, enregistreurs d’écran ou VPN / proxys gratuits | Transmission de résumés de pages, transcriptions ou trafic vers des serveurs tiers | Bloquer les extensions grand public non validées ; orienter vers l’outil IA approuvé |
| Onglet actif uniquement (activeTab) ou domaine unique ciblé sans API sensible | Action limitée à l’onglet courant sur clic explicite de l’utilisateur | Exposition faible : autoriser après vérification de l’éditeur et suivre les mises à jour |
| Extensions locales non publiées (mode développeur) | Exécution de code local hors contrôles des boutiques officielles | Désactiver le mode développeur sur les profils hors équipes d’ingénierie autorisées |
Références : Aide Google Chrome Enterprise - Gérer les extensions dans votre entreprise · Documentation Elba - Capacités de l’extension navigateur et exposition des permissions
4. Passer de l’installation libre aux stratégies ExtensionSettings
Déployez le durcissement par étapes pour ne pas bloquer brusquement les gestionnaires de mots de passe ou outils métiers légitimes. Commencez par interdire les permissions les plus risquées et les extensions hors boutique via la stratégie ExtensionSettings sur Chrome et Edge ainsi que l’équivalent sur Firefox.
Protégez systématiquement vos domaines critiques avec une liste d’hôtes bloqués à l’exécution (portail SSO, consoles cloud, outils de paie, administration bancaire) afin qu’aucune extension, même autorisée ailleurs, ne puisse s’injecter sur ces pages, puis basculez vers une liste blanche accompagnée d’un circuit de demande simple.
- Isoler les hôtes sensibles (SSO, consoles cloud, SIRH, banque) dans vos règles d’exclusion d’hôtes Chrome et Edge.
- Épingler par stratégie MDM les extensions de sécurité et le gestionnaire de mots de passe de l’entreprise.
- Réexaminer toute extension existante lorsqu’une mise à jour élargit ses permissions.
Références : Aide Google Chrome Enterprise - Gérer les extensions dans votre entreprise · Microsoft Learn - Gérer les extensions Microsoft Edge en entreprise · Assistance Mozilla - Gérer les modules Firefox par fichier policies.json
Comment Elba inventorie et évalue le risque des extensions navigateur
L’extension navigateur Elba recense les extensions installées sur les navigateurs gérés Chrome, Edge et Firefox (Safari ne remonte pas d’inventaire d’extensions installées). Sur Chrome et Edge, Elba calcule un niveau Exposition des permissions (Faible, Moyenne, Élevée ou Non évaluée) pour faire ressortir immédiatement les extensions les plus permissives.
Pour préserver la confidentialité des postes tout en éclairant l’équipe sécurité, Elba hache les identifiants bruts des extensions et n’expose pas les motifs d’hôtes bruts dans la télémétrie stockée. Les Playbooks dédiés aux extensions navigateur regroupent les extensions à examiner afin de coordonner vos revues avec les applications OAuth et le Shadow AI avant d’appliquer vos listes de blocage dans Google Admin, Intune ou votre MDM.
Références : Documentation Elba - Capacités de l’extension navigateur et exposition des permissions · Documentation Elba - Playbooks de sécurité
Checklist d’audit des extensions navigateur en entreprise
Vos cases cochées restent sur cette page et sont réinitialisées à son rechargement.
Questions fréquentes
Révoquer une application OAuth dans Google Workspace ou Entra ID supprime-t-il l’extension navigateur ?
Non. Une extension s’exécute localement dans le profil du navigateur grâce aux permissions de son manifeste, indépendamment des jetons OAuth de l’annuaire. Il faut donc combiner la revue OAuth avec un inventaire navigateur et des politiques MDM ExtensionSettings.
Quels navigateurs prennent en charge l’inventaire et le score d’exposition dans Elba ?
Elba inventorie les extensions installées sur Chrome, Edge et Firefox, et évalue le niveau Exposition des permissions (Faible, Moyenne, Élevée ou Non évaluée) sur Chrome et Edge. Safari 26+ prend en charge les contrôles IA (masquage et blocage de prompts) et le filtrage de domaines, mais pas l’inventaire des extensions.
Faut-il activer immédiatement un blocage par défaut de toutes les extensions ?
Activer un blocage global sans inventaire préalable risque d’interrompre le gestionnaire de mots de passe ou des outils métiers légitimes. Commencez par recenser l’existant sur deux semaines, protégez vos domaines sensibles via ExtensionSettings, pré-autorisez les outils indispensables, puis basculez en liste blanche.
Une extension autorisée peut-elle quand même lire nos consoles d’administration ?
Oui si elle détient des permissions d’hôtes larges et qu’aucune exclusion n’est configurée. Utilisez systématiquement les listes d’hôtes bloqués dans Chrome et Edge pour interdire l’exécution de toute extension tierce sur vos pages d’authentification SSO, consoles cloud et outils financiers.
Sources et documentation
Documentation de référence utilisée pour ce guide. Les paramètres et les éditions disponibles évoluent : consultez les sources avant de modifier vos réglages.
- Aide Google Chrome Enterprise - Gérer les extensions dans votre entreprise
- Microsoft Learn - Gérer les extensions Microsoft Edge en entreprise
- Assistance Mozilla - Gérer les modules Firefox par fichier policies.json
- Documentation Elba - Capacités de l’extension navigateur et exposition des permissions
- Documentation Elba - Playbooks de sécurité