Extensiones de navegador: riesgos y cómo auditarlas

Las extensiones del navegador pueden añadir funciones muy útiles: bloquear rastreadores, gestionar contraseñas, traducir páginas o mejorar la accesibilidad. Sin embargo, también pueden convertirse en una puerta de entrada para robar datos, vigilar la navegación o inyectar publicidad. En 2026, auditarlas es especialmente importante porque una extensión legítima puede cambiar de propietario, sufrir una actualización maliciosa o incluir dependencias comprometidas.

Qué riesgos presentan las extensiones

El principal riesgo está relacionado con los permisos. Una extensión que puede leer y modificar los datos de todos los sitios web tiene, en la práctica, capacidad para observar formularios, páginas visitadas y contenido introducido en servicios online. Si además accede al historial, al almacenamiento local, a las pestañas o al portapapeles, su superficie de riesgo aumenta.

• Robo de credenciales: una extensión maliciosa puede capturar datos introducidos en páginas de inicio de sesión, aunque no siempre pueda leer directamente las contraseñas guardadas.
• Seguimiento y creación de perfiles: puede recopilar las páginas visitadas, búsquedas, intereses y hábitos de navegación.
• Publicidad e inyección de contenido: algunas extensiones modifican resultados, insertan anuncios o redirigen búsquedas.
• Actualizaciones comprometidas: una extensión segura hoy puede recibir mañana un código perjudicial tras un cambio de desarrollador o una cuenta atacada.
• Riesgos de cadena de suministro: librerías externas, servicios de analítica o repositorios abandonados pueden introducir vulnerabilidades.

Ni siquiera una extensión publicada en Chrome Web Store, Firefox Add-ons o Microsoft Edge Add-ons debe considerarse automáticamente segura. Las tiendas aplican controles, pero no pueden detectar todos los abusos, especialmente cuando el comportamiento malicioso se activa de forma selectiva.

Cómo auditar una extensión antes de instalarla

1. Comprueba el desarrollador y su reputación

Revisa el nombre de la empresa o persona responsable, su página oficial, la política de privacidad y el historial de actualizaciones. Desconfía de extensiones con nombres casi idénticos a herramientas conocidas, pocas descargas, reseñas sospechosas o descripciones llenas de promesas exageradas. Busca también noticias sobre cambios de propietario, incidentes y retiradas de la tienda.

2. Analiza los permisos solicitados

Instala solo extensiones cuyos permisos sean coherentes con su función. Un bloqueador de publicidad puede necesitar acceso al contenido de las páginas, pero una calculadora no debería pedir leer y modificar todos los sitios. En Chrome y derivados puedes revisar los permisos desde chrome://extensions; en Firefox, desde about:addons. En Edge existe una sección equivalente de extensiones y permisos.

Cuando el navegador permita limitar el acceso, selecciona al hacer clic o restringe la extensión a sitios concretos. No concedas acceso permanente a páginas bancarias, gestores de contraseñas, correo o paneles de administración salvo que sea imprescindible.

3. Examina la política de privacidad

Busca información concreta sobre qué datos se recogen, con qué finalidad, durante cuánto tiempo se conservan y si se comparten con terceros. Frases genéricas como recopila datos para mejorar el servicio no explican suficientemente el tratamiento. Comprueba si la extensión depende de una cuenta externa o envía información a servidores fuera de la Unión Europea.

4. Revisa el código cuando sea posible

Las extensiones de código abierto permiten inspeccionar el repositorio, los problemas conocidos y las contribuciones recientes. No basta con que el proyecto sea público: verifica que el paquete descargado coincide con el código publicado y que no contiene scripts ofuscados innecesariamente, dominios desconocidos o llamadas a servicios que no aparecen documentados.

Para una revisión técnica, descarga el paquete únicamente desde la tienda oficial, descomprímelo en un entorno aislado y revisa archivos como manifest.json, scripts de contenido, permisos, conexiones de red y dependencias. Puedes complementar el análisis con antivirus, herramientas de reputación de dominios y un entorno virtual. No subas extensiones privadas o corporativas a servicios públicos de análisis sin autorización.

Buenas prácticas para reducir el riesgo

• Mantén actualizado el navegador, el sistema operativo y las extensiones, pero revisa los permisos después de cada actualización importante.
• Instala el mínimo número de extensiones y elimina las que no utilices. Una extensión desactivada reduce el riesgo, pero desinstalarla es mejor.
• Evita paquetes descargados desde páginas desconocidas, enlaces de foros o versiones modificadas. Desconfía especialmente de extensiones que prometen desbloquear servicios de pago.
• Usa perfiles separados del navegador para trabajo, banca, compras y ocio. Así limitas la información accesible a cada extensión.
• Activa la autenticación multifactor en la cuenta del navegador y protege el correo del desarrollador si gestionas extensiones.
• En empresas, aplica listas permitidas, políticas de instalación y revisión centralizada mediante herramientas de administración.

¿Y las extensiones de VPN?

Una extensión de VPN normalmente protege solo el tráfico del navegador, no el de todas las aplicaciones del dispositivo. Puede ser útil para cambiar la ubicación aparente o cifrar la navegación web, pero no sustituye siempre a la aplicación completa. Antes de elegir una, comprueba la política de registros, el modelo de negocio, el protocolo utilizado y la reputación del proveedor. NordVPN, Surfshark, ExpressVPN, ProtonVPN y Mullvad ofrecen opciones conocidas, aunque conviene revisar qué funciones están disponibles específicamente en su extensión y qué permisos solicita.

Para mayor privacidad, combina una VPN fiable con un navegador actualizado, bloqueo de rastreadores y buenas prácticas de cuentas. Recuerda que una VPN no impide que una extensión con permisos excesivos lea lo que haces dentro del navegador.

Lista rápida de auditoría

Antes de instalar, responde a estas preguntas: ¿necesito realmente esta extensión?, ¿quién la desarrolla?, ¿cuándo se actualizó?, ¿qué permisos pide?, ¿qué datos recoge?, ¿tiene código o documentación pública?, ¿puedo limitarla a ciertos sitios? Si alguna respuesta no es clara, busca una alternativa más sencilla y transparente.