人気のChrome拡張機能の半数は、あなたが訪れるすべてのページを見ることができる

Chrome拡張機能をインストールすると、ブラウザはそれが何に触れることを許されているかを表示します。そのリストの中の一行は、他のどれよりも大きな意味を持ちます。**「すべてのウェブサイト上のすべてのデータの読み取りと変更」**です。拡張機能のマニフェストにおいて、これは<all_urls>というホスト権限、あるいはそれと同等の全サイトを対象とするマッチパターンです。これは、あなたが開くすべてのページの内容を読み取り、それを変更する能力を拡張機能に与えます — あなたの銀行でも、メールでも、勤務先の社内ツールでも、あらゆる場所で。

その権限が技術的にカバーする範囲は広大です。全サイトへのホストアクセスを持つ拡張機能は、あなたが読み込むあらゆるページのテキスト、リンク、フォームフィールドを読み取り、ページに内容を挿入したり書き換えたりし、ページのコンテキスト内で自らのコードを実行できます。それこそが文法チェッカーやPDF変換ツールを便利にしているものであり、同時に、抽象的に見れば、それは広大な攻撃面でもあります。権限そのものはこの両者を区別しません — それはマニフェストが宣言する機能であり、ブラウザはインストール時に、すべてのサイトに対して、一度だけそれを付与します。

私たちは、人々が実際にインストールする拡張機能の間で、その権限がどれほど一般的かを数えました。CrawloraのChromeウェブストアデータセット(chrome_extensions_v1、2026年7月にクロールされた314,807件のアクティブな掲載)を用いて、10万人以上のユーザーを持つ1,776個の拡張機能を抽出し — これを人気セットと呼びましょう — 二つの宣言されたフィールドを調べました。すなわち、マニフェストが広範なホストアクセス(<all_urls>または同等の全サイトパターン)を要求しているかどうか、そして掲載自身のデータセーフティ開示がデータを収集すると述べているかどうかです。どちらも自己申告です。マニフェストは拡張機能が求める権限を述べ、データセーフティのセクションはその開発者が収集すると言っているものを述べます。いずれも実行時の挙動の測定ではありません。両者を合わせると、人気の拡張機能が何を許可され、何を開示して行うのかが記述されます。

人気の棚の半数はすべてのページを見ることができる

1,776個の人気拡張機能のうち、885個が広範なホストアクセスを要求しています — 49.8%、つまりほぼ半数です。この885個をデータ収集の開示によって分けると、絵柄がより鮮明になります。

広範なアクセス + データ収集を宣言394

広範なアクセス、収集の宣言なし491

広範なホストアクセスなし891

つまり、実際にリーチを持つ拡張機能の間では、広範なページアクセスは例外的なケースではありません。それは多数派の立場です。そして885個のうち394個 — 上で強調された棒 — はさらに一歩進んで、データセーフティのセクションでユーザーデータを収集すると宣言しています。残りの491個は、あなたのページに対する同じ広範なリーチを要求しますが、収集は宣言していません。

その491個は立ち止まって考える価値があります。これらの拡張機能は、あなたが訪れるすべてのページを読み取り変更する能力を求めていますが、自らのデータセーフティ開示ではデータ収集はないと報告しています。これは矛盾ではありません。広範なホストアクセスは、拡張機能が仕事をこなすためにあなたのブラウザ内で何に触れられるかに関するものであり、一方でデータ収集のフラグは、それがあなたのデバイスから外へ何を送信すると言っているかに関するものです。拡張機能は、何かを送信することなく、ページをローカルで書き換えることを本当に必要とする場合があります。この二つのフィールドは異なる問いに答えており、両者を合わせて読むことこそが、あなたが何を付与しているのかの形を教えてくれます。

最大のもの、そしてなぜそれぞれがそれを必要とするのか

以下は、広範なホストアクセスを要求し、かつデータ収集を宣言している、最もインストール数の多い5つの拡張機能を、インストール数順に並べたものです。このリストの狙いは疑惑ではありません。これらのツールのそれぞれは、あなたがそのためにインストールした機能を提供するために、ページを読み取るか変更する必要があります。

拡張機能	ユーザー数	なぜ広範なアクセスがその機能の代償なのか
Adobe Acrobat: PDF edit, convert, sign	318,000,000	ページ内容をPDFへ、またPDFから変換するため、変換するページを読み取る。
Grammarly: AI Writing Assistant	35,000,000	あらゆるサイトで入力するテキストをチェックするため、どこでも編集可能なフィールドを読み取る。
Honey: Automated Coupons & Rewards	12,000,000	決済ページをクーポンコードのためにスキャンするため、あなたが買い物をする店舗を読み取る。
MetaMask	12,000,000	任意のdAppページに暗号資産ウォレットを注入するため、すべてのサイトで動作する。
Tampermonkey	11,000,000	サイトをまたいでユーザースクリプトを実行するために存在しており、全サイトアクセスがその存在意義そのものである。

この機能はユーザーのいるところに集中する

ストア全体では、広範なホストアクセスは少数派の要求です。314,807件のアクティブな掲載のうち、**49,257件(15.6%)**がそれを要求し、**69,039件(21.9%)**がデータ収集を宣言しています。人気の1,776個の中では、広範なアクセスの割合は49.8%へと跳ね上がり — ストア全体の割合の3倍以上です。

そのギャップこそが真の発見です。拡張機能があなたが訪れるすべてのページを読み取り変更することを可能にする権限は、ストアのロングテールでは珍しいものですが、実際に10万人以上に届いた拡張機能の間では、コイントスに近いものになっています。リーチとページアクセスは一緒に動きます。大きなインストール基盤を得るのに十分なことをするツールは、ページに触れる必要があるツールである傾向があり、この機能は最も広く使われている拡張機能に偏って集まります。

同じ方向性のパターンは、データ収集のフラグにも現れますが、それほど鋭くはありません。ストア全体では、掲載の21.9%がデータ収集を宣言しています。人気の1,776個の中では、二つの機能は、広範なアクセスを要求し、かつ収集を宣言する394個の拡張機能において重なります。ほとんどの人がインストールする拡張機能は、いずれの尺度においても、より多くを求めるものなのです。

インストールする前に確認すべきこと

ここのすべての数字の背後にある開示は公開されており、拡張機能ごとに、追加をクリックする前に読むことができます。そのうち二つは、どのインストールでも一目見る価値があります。

• 要求されているホスト権限。 Chromeはこれをインストールのプロンプトとストアの掲載に表示します。「すべてのウェブサイト上のすべてのデータの読み取りと変更」が<all_urls>の付与です。あなたが望む機能がそれを本当に必要とするかどうかを判断してください — PDFエディターや文法チェッカーであればもっともらしく必要ですが、単一のサイトでのみ動作する単一目的のツールであれば、全サイトアクセスは二度目の確認に値します。
• 宣言されたデータ収集のフラグ。 掲載のデータセーフティのセクションは、開発者がデータを収集すると言っているかどうかを述べます。広範なページアクセスと宣言された収集の組み合わせが、上の394個の拡張機能が持つものです。

CrawloraのChromeウェブストアデータセットで、任意の拡張機能の要求している権限とデータ収集のフラグを調べることができます — 単一の掲載を/datasets/chrome-extensions/items/{id}で取得するか、ストア全体を権限でフィルターして、広範なホストアクセスを要求するすべての拡張機能を確認してください。

出典

方法論

対象範囲はCrawloraのChromeウェブストアデータセット(chrome_extensions_v1)、2026年7月にクロールされた314,807件のアクティブな掲載です。「広範なホストアクセス」とは、拡張機能のマニフェストが<all_urls>または同等の全サイトのホストマッチパターンを要求すること — すなわち、任意のページを読み取り変更する権限を意味します。「データを収集する」とは、掲載自身の自己申告のデータセーフティ開示が、ユーザーデータを収集すると述べていることを意味します。人気セットは、Chromeの区分されたインストール数を用いた、10万人以上のユーザーを持つ1,776件の掲載です。上のすべての件数と割合は、これら二つの宣言されたフィールドから直接取られており、挙動から推測されたものは何もありません。宣言された機能は、拡張機能が何をすることを許可されているかを記述するものであって、その権限で何をするかを記述するものではありません。

任意のChrome拡張機能のアクセスを監査する

任意の拡張機能の要求している権限、ホストアクセス、宣言されたデータ収集を、314,807件の掲載にわたって調べる — またはストア全体を権限でフィルターする。RESTとMCP、毎月2,000の無料クレジット、カード不要。

データセットを探索するMCPドキュメントを読む