Come capire se un'estensione è sicura prima di installarla
Il browser, l'editor di codice, il telefono: ovunque installiamo estensioni senza pensarci due volte. Quattro controlli veloci, nati dal caso della finta estensione di Claude Code di oggi, per capire se un'estensione merita fiducia.
Perché conta
Le estensioni del browser, dell'editor o del telefono hanno spesso accesso a tutto quello che fai su quello schermo: installarne una senza controllare chi la pubblica è uno dei modi più comuni con cui un virus entra in un computer o in un account.
In pratica
Prima di installare la prossima estensione, controlla chi la pubblica, da quando esiste e cosa chiede di poter fare: se qualcosa non torna, aspetta un giorno e cerca conferme prima di cliccare "installa".
Il 29 ottobre una copia manomessa di "Claude Code", l'estensione di Anthropic per programmare con l'aiuto dell'AI, è rimasta per undici ore nel marketplace di Cursor con lo stesso nome di quella vera. Chi l'ha installata ha aperto, senza saperlo, un accesso segreto al proprio computer. Non serve programmare per correre lo stesso rischio: succede con le estensioni del browser, con i plugin di un editor di testo, con le app "extra" che si aggiungono a un telefono. Pochi secondi di controllo bastano a evitare la maggior parte dei problemi.
Chi la pubblica, non solo come si chiama
Il nome di un'estensione si copia gratis. Prima di installarla, guarda chi dice di averla pubblicata: nello store di Chrome, di Firefox o di un editor di codice, il nome dell'autore sta sotto il titolo, spesso con un link al suo sito. Se un'estensione dice di essere "di Google" o "di Anthropic" ma l'autore elencato è una persona o una società che non conosci, è un segnale da non ignorare: un nome identico non vuol dire la stessa azienda.
Quanti la usano, e da quanto tempo
Il numero di installazioni e le recensioni aiutano, ma vanno letti con attenzione: un'estensione nuova con già migliaia di recensioni a cinque stelle, scritte tutte nello stesso periodo, è più sospetta che rassicurante. Guarda anche la data dell'ultimo aggiornamento: un'estensione ferma da anni, aggiornata all'improvviso proprio nei giorni in cui il prodotto che imita fa notizia, è uno dei modi con cui un account compromesso o rivenduto comincia a distribuire codice dannoso.
Cosa chiede di poter fare
Ogni estensione elenca i permessi che richiede prima di installarla: leggere e modificare i dati di tutti i siti che visiti, vedere la cronologia, usare la fotocamera. Il permesso deve avere senso per quello che l'estensione promette di fare: un correttore di bozze non ha bisogno di leggere tutta la cronologia di navigazione, un convertitore di file non deve avere accesso al microfono. Se la richiesta sembra sproporzionata rispetto al compito, è un motivo per non installarla, o per disinstallarla subito.
Segnali da non ignorare
- Pochi giorni dalla pubblicazione e già moltissime recensioni a cinque stelle, scritte tutte nello stesso periodo.
- Il nome dell'autore non corrisponde all'azienda che l'estensione dice di rappresentare.
- Chiede permessi che non servono a quello che promette di fare.
- Nessun aggiornamento da anni, poi uno nuovo proprio nei giorni in cui il prodotto imitato fa notizia.
Nessuno di questi controlli richiede più di un minuto, e nessuno garantisce al cento per cento: anche l'estensione di Claude Code compromessa appariva nel marketplace ufficiale di Cursor, con l'aggiornamento automatico attivo di default per molti utenti. Ma guardare chi la pubblica, da quanto tempo esiste e cosa chiede di fare resta il modo più semplice per non installare alla cieca.
