A extensão envia seus dados? Como checar

Uma extensão de bloqueio vê os endereços que você abre. É o trabalho dela. A pergunta que importa é outra: ela manda esses endereços para algum lugar?

Isso não é questão de confiar na política de privacidade. Dá para verificar com o navegador que você já tem aberto, em menos de um minuto. Este guia mostra como, e o que fazer com cada resultado.

O jeito rápido: o painel de rede da extensão

O Chrome dá a cada extensão uma janela de inspeção própria, separada da página que você está vendo. É ali que aparecem as requisições que ela faz.

1. Abra chrome://extensions na barra de endereços.
2. Ligue o Modo do desenvolvedor, no canto superior direito.
3. Na extensão que você quer checar, clique em service worker (ou em “página de plano de fundo”, em extensões mais antigas). Abre o DevTools.
4. Vá na aba Network (Rede) e deixe aberta.
5. Use a extensão normalmente por um minuto: bloqueie um site, abra o painel dela, tente entrar em algo bloqueado.

Cada linha que aparecer na aba Network é uma conversa com um servidor. Uma lista vazia significa que a extensão não falou com ninguém enquanto você olhava.

Vale repetir o teste com a janela aberta por alguns minutos: várias extensões só mandam dados de tempos em tempos, não a cada clique.

O que cada resultado quer dizer

Nenhuma requisição. A extensão trabalha inteiramente no seu computador. É o resultado mais forte que existe, porque não depende de política nenhuma: sem requisição, não há como coletar, ver, vender ou compartilhar.

Requisições para o domínio da própria extensão. Pode ser licença, pode ser configuração remota, pode ser o seu histórico. Só o conteúdo diz. Clique na linha e olhe a aba Payload.

Requisições para domínios de análise ou publicidade. Nomes de serviços de analytics, de rastreamento de erro ou de anúncio aparecendo aqui significam que o comportamento de uso está saindo da máquina. Isso pode ser legítimo e declarado — ou não.

O jeito lento: ler o que a loja obriga a declarar

A Chrome Web Store exige que cada extensão declare o que faz com os dados, e essa declaração fica visível na ficha, na seção Privacidade. As regras estão na política de dados do usuário da Chrome Web Store.

Três coisas para procurar ali:

• “Vende dados a terceiros”, marcado ou não.
• “Usa dados para fins não relacionados à funcionalidade principal” — é a linha que autoriza publicidade comportamental.
• O link para a política de privacidade. Se não houver, ou se ela abrir uma página genérica de outra empresa, isso já é uma resposta.

A declaração é obrigatória, mas é auto-declarada. O painel de rede não é.

As permissões também contam a história

Em chrome://extensions, clique em Detalhes e leia as permissões. Duas merecem atenção numa extensão de bloqueio:

• “Ler e alterar todos os seus dados nos sites que você visitar” (host_permissions). É a permissão mais ampla que existe. Ela deixa a extensão injetar código e ler o conteúdo das páginas — não só o endereço. Muita extensão de bloqueio pede sem precisar.
• “Ler seu histórico de navegação” (webNavigation). Parece pior do que é. Ela existe porque sites como YouTube e Instagram trocam de página sem recarregar, e sem isso o bloqueio não funcionaria neles. O porquê está em como bloquear o YouTube para estudar.

A diferença entre as duas é grande: a primeira dá acesso ao conteúdo, a segunda apenas avisa que o endereço mudou.

E o tamanho?

Extensão de bloqueio é um programa simples: uma lista de endereços e uma regra. Quando ela ocupa dezenas de megabytes, quase sempre é framework, código empacotado de terceiros ou recurso que não tem a ver com bloquear site. Tamanho não prova nada sozinho, mas é um bom sinal de quanta coisa está rodando ali sem que você tenha pedido.

Faça esse teste com o Austral

O Austral foi construído para passar exatamente nesse teste: ele não faz nenhuma requisição de rede. Sem servidor, sem analytics, sem SDK de erro, sem fonte externa. O processo de build falha automaticamente se qualquer código de rede aparecer no pacote.

Ele também não pede a permissão de acesso a sites e não injeta código em página nenhuma — bloqueia pelo endereço, não pelo que está escrito ali.

Faça o teste de trinta segundos acima com ele instalado. E faça com as outras também: é o mesmo minuto para as duas.