Browserextensies veilig installeren: de vijfminutencheck

Een browserextensie voelt klein. Twee klikken, een handig knopje erbij, klaar. Niemand vraagt zich af of hij een leverancier heeft binnengehaald. En bijna niemand stelt vooraf de vraag die er wél toe doet: zijn deze browserextensies veilig?

Toch is dat wat er gebeurt. Een extensie leeft in de browser waar je collega’s de hele dag in werken. Afhankelijk van de rechten die hij krijgt, kan hij zien wat zij zien, meelezen met wat ze typen en aanpassen wat er op een pagina staat — inclusief het klantportaal, de webmail en de boekhouding.

Eerder schreven we over wat er met browserextensies mis kan gaan. Dit artikel is de praktische kant daarvan: de check die iemand zelf in vijf minuten doet vóórdat hij op installeren klikt, en hoe je als werkgever zorgt dat de veilige route ook de makkelijkste is.

Waarom juist de browser

Vroeger stond je bedrijfssoftware op de computer. Nu staat vrijwel alles in een browsertabblad. Daarmee is de browser het punt waar al je systemen samenkomen — en daarmee ook de interessantste plek om te zitten.

Het verschil met een gewone applicatie is dat een extensie geen eigen venster heeft. Hij zit binnen de sessies die al openstaan. Er is dus geen inlogscherm dat hij hoeft te passeren; hij staat aan de goede kant van de deur zodra jij die hebt geopend.

Dit lijkt op wat we beschreven bij het beoordelen van externe koppelingen. Daar gaat het om apps die via toestemming aan je Microsoft- of Google-account hangen. Hier gaat het om de browser zelf. Ander mechanisme, dezelfde vraag: wie heeft er toegang gekregen, en waarom?

De vijfminutencheck

Deze check is bedoeld om zelf te doen, zonder ticket en zonder overleg. Vier vragen, in deze volgorde.

Vraag 1: passen de rechten bij wat het ding doet?

Dit is verreweg de belangrijkste vraag, en het is er één die je in tien seconden beantwoordt. Bij het installeren zie je wat de extensie mag. Vergelijk dat met wat hij belooft te doen.

Een extensie die schermafbeeldingen maakt, heeft toegang nodig tot de pagina waar je op staat. Een extensie die eenheden omrekent of je tabbladen ordent, heeft geen enkele reden om alles op alle websites te mogen lezen en wijzigen. Loopt de gevraagde toegang duidelijk vooruit op de functie, dan is dat het antwoord.

Let vooral op formuleringen in de trant van "lezen en wijzigen van al je gegevens op alle websites". Soms is dat terecht, bijvoorbeeld bij een wachtwoordmanager. Meestal niet.

Vraag 2: wie is de maker?

Behandel de ontwikkelaar als een leverancier, want dat is het. Is er een echte website? Staat er een bedrijfsnaam en een manier om contact op te nemen? Zijn er meer producten of updates die er normaal uitzien?

Een extensie zonder vindbare maker is geen ramp op zichzelf, maar het betekent wel dat je niemand hebt om aan te spreken als er iets verandert. Bij iets dat toegang krijgt tot je werk is dat een reëel bezwaar.

Vraag 3: komt hij uit de officiële store?

Installeer alleen vanuit de webstore van je browser. Extensies die je als bestand moet downloaden en handmatig moet toevoegen, slaan de controles van de store over. Daar is soms een goede reden voor, maar die reden ken jij dan wel.

Kijk meteen even naar het aantal gebruikers, de datum van de laatste update en de recente beoordelingen. Niet de sterren, maar de tekst: klachten over advertenties of vreemd gedrag na een update zijn het duidelijkste signaal dat er iets is veranderd.

Vraag 4: is er iets veranderd sinds de vorige keer?

Dit is het punt dat het minst bekend is en het meeste verschil maakt. Een extensie is geen eenmalige keuze. Hij werkt bij, en met die update kan alles anders worden.

Extensies worden verkocht. Een populair, keurig hulpmiddel kan van eigenaar wisselen, waarna de nieuwe eigenaar er iets heel anders mee doet — met de toestemming die jij ooit gaf en het bereik dat er al was. De update installeert zichzelf op de achtergrond.

De praktische regel: vraagt een extensie na een update om nieuwe rechten, dan is dat een reden om te stoppen, niet om door te klikken. Kun je niet uitleggen waarom hij ineens meer nodig heeft, verwijder hem dan. Dat is bijna altijd de goedkoopste beslissing.

Drie mogelijke uitkomsten

Na die vier vragen kom je op één van drie plekken uit, en het helpt enorm als je team weet welke dat zijn.

Gewoon doen. De maker is te vinden, de rechten passen bij de functie, het komt uit de store. Hier hoeft niemand voor gebeld te worden.

Niet doen. Vage aanbieder, brede rechten, of het gevoel dat hij toegang wil "voor het geval dat". Zoek een alternatief; er is er bijna altijd één.

Even voorleggen. Het is echt nuttig, maar het raakt gevoelige systemen of het vraagt brede toegang. Dit is de categorie die je vooral zichtbaar wilt hebben: als voorleggen te veel gedoe is, installeert men het gewoon — dan heb je hetzelfde risico, maar zonder dat je het weet.

Hoe dat misgaat

Een ontwerpbureau met 15 medewerkers gebruikte jarenlang een gratis extensie om pdf’s samen te voegen. Prima ding, iedereen had hem.

Na een update begonnen er advertenties te verschijnen in het klantportaal van hun grootste opdrachtgever — in een omgeving waar helemaal geen advertenties horen. Het duurde twee weken voor iemand doorhad dat het niet aan het portaal lag maar aan de eigen browser. De extensie had zoals altijd toegang tot alle pagina’s; alleen deed hij daar sinds de update iets anders mee.

Er is voor zover bekend niets weggelekt. Maar niemand kon met zekerheid zeggen wat die extensie in de tussentijd had kunnen zien, en dat was het ongemakkelijkste deel van het gesprek met de klant. Dit lijkt op wat er gebeurt bij kwaadaardige advertenties en malware die geen virusscanner activeert: geen alarm, gewoon een verschuiving.

Wat je als werkgever regelt

Je kunt dit oplossen met beleid dat niemand leest, of met instellingen die het vanzelf goed laten gaan. Het tweede werkt beter.

Maak een korte goedgekeurde lijst. Vijf tot tien browserextensies die het werk echt makkelijker maken en die je hebt bekeken. Dat neemt de meeste behoefte weg om zelf te gaan zoeken.

Regel het in de browser zelf. Edge, Chrome en Firefox kunnen centraal worden ingesteld: alleen extensies van de lijst toestaan, of alles toestaan behalve wat je blokkeert. Dat is een instelling, geen project, en het is het meest effectieve dat je hier kunt doen. Zie Edge zakelijk inzetten.

Ruim eerst op wat er al staat. Vraag iedereen om één keer naar zijn eigen lijst met browserextensies te kijken en weg te halen wat hij niet meer gebruikt. Dat levert doorgaans meer op dan de rest bij elkaar — er staat altijd iets uit 2022 dat allang vergeten is. Past goed bij een digitale opruimronde.

Houd de drempel om te vragen laag. Zie de derde uitkomst hierboven. Dit is dezelfde dynamiek als bij niet-goedgekeurde cloud-apps: verbieden zonder alternatief levert geen minder gebruik op, alleen minder zicht.

Veelgestelde vragen

Zijn extensies uit de officiële store niet gecontroleerd?

Er vindt controle plaats, en die vangt een deel af. Maar het is een schaalprobleem, en de controle zegt vooral iets over het moment van toelating — niet over wat er drie updates later gebeurt. De store is een goede ondergrens, geen garantie.

Geldt dit ook voor privélaptops en telefoons?

Voor apparaten waarmee ook wordt gewerkt: ja. Een extensie op een privélaptop waarop iemand zijn zakelijke mail leest, zit in diezelfde sessie. Zie afspraken over eigen apparaten. Op telefoons speelt het nauwelijks; daar zijn het vooral apps.

Hoe vaak moeten we die lijst nalopen?

Eén keer per jaar is genoeg, als onderdeel van je jaarlijkse IT-review. Belangrijker dan de frequentie is de gewoonte om te reageren op een update die om nieuwe rechten vraagt.

Onze mensen installeren nu van alles. Waar beginnen we?

Met inventariseren, niet met verbieden. Vraag om die opruimronde, kijk wat er overblijft, en maak daar je goedgekeurde lijst van. Pas daarna zet je de instelling in de browser aan — dan sluit je aan bij wat mensen echt gebruiken en krijg je geen stroom aan uitzonderingen.

Geldt dit ook voor Firefox en andere browsers?

Ja. Chrome, Edge en Firefox werken op dit punt hetzelfde: extensies — in Firefox heten ze add-ons — draaien binnen je sessie en kunnen bij de gegevens op de pagina’s die je opent. De officiële winkels, zoals de Chrome Web Store, halen kwaadaardig gedrag er deels uit, maar niet alles. Controleer in elke browser dus dezelfde dingen: welke rechten een extensie vraagt, wie de maker is en of er sinds de laatste update iets is veranderd. Wees extra streng bij alles wat bij je wachtwoorden of inloggegevens kan; daar is de schade het grootst.

Wil je weten wat er nu in de browsers van je team staat? Dat is snel in beeld gebracht, en meestal is het opruimen daarna een kwestie van één ronde.