Complementos podem ler páginas, alterar conteúdo e acessar dados do navegador; instalação, permissão, atualização e remoção precisam de governança.
Por Cleiton Celini e Gledson Alves, sócios e contadores da AUDICONT Contabilidade
Extensões de navegador operam dentro do ambiente em que o usuário acessa e-mail, ERP, bancos, drive e portais. Algumas precisam ler ou alterar conteúdo de páginas para entregar sua função; por isso, a permissão concedida deve ser proporcional ao uso.
Em extensões do navegador, pessoas, dispositivos e fornecedores precisam seguir a mesma regra operacional. Se cada parte entende o controle de forma diferente, a exceção vira o ponto em que a proteção deixa de funcionar.
Uma extensão pode enxergar mais do que parece
Permissões devem ser lidas antes da instalação
Exemplo: complemento útil que pede acesso a todos os sites
Exemplo hipotético: uma extensão de captura de tela é instalada para um projeto de duas semanas e pede acesso a todas as páginas. Se ninguém a remove depois, a permissão continua presente mesmo quando a finalidade terminou.
A frase “ler e alterar dados em todos os sites” merece atenção diferente de uma extensão restrita a um domínio. A equipe não precisa analisar código-fonte, mas deve entender fornecedor, finalidade e escopo solicitado.
O tema também se relaciona a sistemas desatualizados e vulnerabilidades e a dados na nuvem. Esses conteúdos aprofundam controles adjacentes sem substituir a análise específica desta pauta.
Loja oficial não substitui homologação
Disponibilidade em loja oficial ajuda a reduzir downloads aleatórios, mas não elimina risco de extensão maliciosa, aquisição do desenvolvedor ou atualização com comportamento diferente.
Lista permitida simplifica a administração
A empresa não precisa proibir todos os complementos; precisa saber quais estão autorizados e por quê:
- Lista de extensões homologadas.
- Revisão de permissões antes da instalação.
- Bloqueio de instalação livre quando viável.
- Remoção de complementos sem uso.
- Monitoramento de atualizações relevantes.
- Responsável interno pela homologação.
No caso de extensões do navegador, o nível de proteção deve acompanhar a consequência concreta de uma falha e a rapidez com que a empresa consegue interromper o acesso ou a operação quando algo sai do esperado.
Atualização também muda o risco
O ciclo precisa incluir remoção. Complementos instalados para uma tarefa temporária não deveriam permanecer por anos com permissões ativas.
Na avaliação de Cleiton Celini e Gledson Alves, sócios e contadores da AUDICONT Contabilidade, extensões devem ser tratadas como software instalado dentro do principal ambiente de navegação da empresa. A conveniência de um complemento não justifica permissões permanentes que ninguém revisa.
Inventário enxuto das extensões realmente necessárias
Para extensões do navegador, a empresa pode registrar em uma única ficha o ativo ou conta envolvida, o responsável, a finalidade, o controle esperado e a última evidência de teste. Esse registro ajuda a distinguir configuração existente de controle efetivamente verificado. A revisão deve ser refeita quando houver mudança de fornecedor, equipe, integração ou incidente, porque o risco pode mudar mesmo que a ferramenta permaneça a mesma.
Uma verificação simples é comparar a lista instalada nos navegadores corporativos com a lista homologada. Tudo o que não tiver dono, finalidade ou justificativa deve voltar para análise.
O que precisa ficar comprovado em extensões do navegador
Para que extensões do navegador deixe de ser apenas uma configuração e vire controle empresarial, a evidência precisa permitir que outra pessoa entenda o que foi decidido e repita a verificação. Um registro curto pode associar lista de extensões homologadas, revisão de permissões antes da instalação e bloqueio de instalação livre quando viável à data da última revisão, ao responsável e ao resultado encontrado. Se houver exceção, ela deve indicar motivo, prazo e quem autorizou. Essa disciplina é especialmente útil em desligamentos, troca de fornecedor e incidentes, porque reduz a dependência de memória e ajuda a separar falha de tecnologia de falha de processo. O objetivo não é produzir documentação extensa, mas preservar informação suficiente para decidir com rapidez e demonstrar que o controle de extensões do navegador foi efetivamente testado.
FAQ
Extensão da loja oficial é automaticamente segura?
Não. Origem, permissões, fornecedor, atualizações e necessidade ainda precisam ser avaliados.
Toda extensão consegue ler senhas?
Não. O acesso depende das permissões e da arquitetura do navegador; não se deve presumir nem ignorar o escopo.
A empresa pode bloquear instalação livre?
Navegadores corporativos oferecem políticas administrativas em muitos ambientes.
Quem deve aprovar uma extensão?
Responsável técnico com conhecimento da necessidade de negócio e das permissões solicitadas.
Quando uma extensão deve ser removida?
Quando deixa de ter finalidade, perde suporte ou passa a exigir permissões incompatíveis.
É útil manter uma lista permitida?
Sim. Uma lista curta e revisada reduz improviso e facilita suporte.
Fontes consultadas
Governo Digital - Framework PPSI 2.0.
Os arquivos oficiais do Framework PPSI 2.0 reúnem guias e modelos de controles de privacidade e segurança utilizados como referência prática.
ANPD - Guia de Segurança da Informação para agentes de pequeno porte.
O guia da ANPD sobre segurança da informação apresenta medidas administrativas e técnicas proporcionais para proteção de dados pessoais.
NIST - Cybersecurity Framework 2.0.
O Cybersecurity Framework 2.0 do NIST foi usado como referência para governança, proteção, detecção, resposta e recuperação proporcionais ao risco.
