Las extensiones de navegador están infravaloradas: la promesa del software hackeable (2019)

Artículo original ↗ Discusión en Hacker News ↗

Las extensiones de navegador se elogian como una forma poderosa de “hackear” y personalizar la web, permitiendo desde bloquear anuncios y hacer anotaciones hasta automatizar en profundidad flujos de trabajo entre sitios y navegadores. Sin embargo, los comentaristas destacan serios inconvenientes: permisos poco granulares, actualizaciones automáticas opacas, frecuentes adquisiciones por intermediarios de datos y cambios de plataforma (como Manifest V3 de Chrome) que pueden romper o inutilizar extensiones de forma abrupta. Muchos abogan por una revisión más estricta, código de código abierto, aislamiento por perfil o dispositivo, e incluso nuevos estándares o arquitecturas local-first para preservar la extensibilidad sin sacrificar la seguridad y la privacidad.

Monetización y diferencias del ecosistema

  • Algunos sostienen que “no se pueden vender extensiones”; otros responden que eso es una ventaja (deberían ser abiertas / financiadas por donaciones) o señalan que sí existen extensiones de pago y freemium.
  • Chrome y Firefox eliminaron los sistemas de pago integrados, lo que redujo los incentivos para mantener extensiones de pago; Safari/iOS/macOS App Store se ve como una excepción en la que los usuarios pagan y los desarrolladores pueden ganarse la vida.
  • Debate sobre pago vs gratis: cobrar no impide una posterior monetización de datos, pero hacerlo por adelantado puede reducir el incentivo a venderse a intermediarios de datos.

Compatibilidad móvil y de plataforma

  • La falta de soporte para extensiones en móvil, especialmente Chrome en Android y todos los navegadores basados en Chromium en iOS, se considera un gran inconveniente.
  • Soluciones alternativas: Kiwi en Android, Orion y Safari en iOS/iPadOS, y soporte limitado de Firefox móvil. Las APIs en móvil suelen estar más restringidas.

Experiencia del desarrollador y alternativas

  • Algunos encuentran confusa la documentación de extensiones y las APIs inestables; los cambios de versión del manifest obligan a reescrituras.
  • Los userscripts y user styles (vía Tampermonkey/Violentmonkey/Stylus) y los bookmarklets son elogiados como alternativas más ligeras, fáciles y multiplataforma.
  • Las herramientas de IA ya se usan para arrancar extensiones simples y podrían reducir aún más la barrera.

Seguridad, privacidad y confianza

  • Hay una fuerte preocupación por las extensiones como objetivos de alto valor: abundan historias de extensiones populares compradas por intermediarios de datos y convertidas en spyware o inyectores de anuncios.
  • Las actualizaciones automáticas hacen que una auditoría puntual no sea suficiente; una extensión benigna puede volverse maliciosa después.
  • Muchos comentaristas se limitan a un conjunto muy pequeño de extensiones de confianza, a menudo de código abierto o verificadas por el navegador, y a veces las ejecutan solo en perfiles separados o incluso en VMs o usuarios de SO separados.

Permisos y auditoría

  • El permiso amplio de “leer y cambiar todos tus datos en todos los sitios web” es ampliamente criticado; algunos desarrolladores dicen que se ven obligados a solicitar acceso excesivamente amplio.
  • Mejoras deseadas: permisos más granulares, por sitio o por elemento; registros visibles o indicadores en tiempo de ejecución de las acciones de la extensión; “ver el código fuente” fácil desde la tienda; prohibiciones de ofuscación.
  • Existen herramientas para inspeccionar el código de las extensiones, pero la minificación y las actualizaciones continuas dificultan una auditoría real; algunos sugieren que los LLM podrían ayudar a desminificar y resumir el comportamiento.

Política de plataforma y futuro

  • Chrome se percibe como estratégicamente arriesgado (Manifest V3, límites para bloquear anuncios, posibles eliminaciones futuras de APIs); Firefox se ve más alineado con la extensibilidad, aunque también puede introducir cambios rotos.
  • Algunos piensan que las extensiones son esenciales para que la web moderna sea usable (bloqueo de anuncios, arreglos de interfaz); otros dicen que están infravaloradas, son frágiles y aumentan enormemente la superficie de ataque.
  • El autor del artículo original (comentando en el hilo) enfatiza la seguridad como el principal cuello de botella y sostiene que las aplicaciones local-first, controladas por el cliente, y la programación asistida por IA podrían permitir una personalización más segura y potente más allá del modelo actual de extensiones.