Chrome拡張の権限表示の読み方 — 「権限」欄が空でも安心できない

Chrome拡張の詳細ページには「権限」と「サイトへのアクセス」という、別々の欄があります。自分たちの拡張7本で確かめたところ、7本すべて「権限」欄には何も表示されませんでした。判断に使えるのは、その下の「サイトへのアクセス」のほうです。

確認した環境

書いてあることは、次の環境で実際に画面を開いて確かめた範囲です。

• Chromium（Playwright 同梱ビルド、chromium-1234）。Google Chrome 本体では確認していません
• Linux（WSL2）、UI言語は日本語
• 拡張は「パッケージ化されていない拡張機能」として読み込んだもの。ストアからインストールした場合の表示は確認していません
• 2026-08-04 時点

対象は自分たちで作った7つの拡張です。中身とマニフェストの両方を把握しているものでないと、画面の表示が何に由来するのか突き合わせられないためです。

見る場所

1. アドレスバーに chrome://extensions と入力して開く
2. 対象の拡張の「詳細」を開く
3. 「権限」と「サイトへのアクセス」の2つの欄を見る

「権限」欄は、よく空になる

今回の7本が使っていた権限は storage、scripting、contextMenus、activeTab の4種類でした。このうち画面の「権限」欄に表示されたものは、ひとつもありません。7本とも空でした。

つまり「権限のところに何も書いていないから、たいしたことはしない拡張だ」という読み方は成り立ちません。ここが空なのは珍しいことではなく、むしろ普通に起こります。

「サイトへのアクセス」に出る2つの文言

実際に出たのは、次の2種類でした。表記は画面のままです。

A「アクセスしたウェブサイト上にある自分の全データの読み取りと変更をこの拡張機能に許可します。」

開いたページすべてで動きうる、という意味です。7本中4本がこれでした。

B「この拡張機能は、サイト上でユーザーのデータを読み取ったり変更したりできます。ユーザーは、拡張機能がアクセスできるサイトを管理することができます。」

こちらは続けて「以下のサイトで自動的にアクセスを許可する」とサイトの一覧が出ます。

つまずく箇所

Bの文言でも、中身は正反対になりうる

同じBでも、一覧の中身がまったく違いました。

• Safe Privacy Mask — 一覧に15件のサイトが並ぶ。そのサイトでは自動的に動く
• Safe Night Check — 一覧は https://mail.google.com/* の1件だけ
• Copy & Prep — 一覧が空

Copy & Prep が空なのは activeTab だけを使っていて、常時動くスクリプトを持たないためです。文言はBで同じでも、自動で動くサイトはゼロです。

文言を読むだけでは足りず、一覧の中身まで見ないと判断できません。

マニフェストの host_permissions を見ても分からない

これが一番意外でした。

Safe Attachment Check は host_permissions をひとつも宣言していません。それでも画面はAでした。<all_urls> を明示している Safe Privacy Gate と、表示が一字一句同じです。

原因は content_scripts の matches です。ここに書いたマッチパターンは、ホスト権限と同じ重みで扱われます。「host_permissions を見れば権限の広さが分かる」という説明を見かけますが、それだけでは足りません。

宣言した数と、表示される数が合わない

Safe Privacy Mask は30個のマッチパターンを宣言していますが、画面に出たのは15件でした。https://chatgpt.com/* と https://*.chatgpt.com/* の両方を書いても、広いほうの https://*.chatgpt.com/* だけが表示されます。

一覧の件数が少ないからといって、対応範囲が狭いとは限りません。

この手順で分からないこと

• その拡張が実際に通信しているかどうか。 権限表示は「できることの範囲」であって、実際の挙動ではありません。通信の有無は別の手順で確かめる必要があります
• 権限が広いこと自体は、問題があるという意味ではありません。 送信前に内容を確認する種類の拡張は、仕組みのうえでどのページでも動く必要があります。今回Aだった4本には、自分たちの拡張も含まれています
• ストアの掲載ページ上の権限表示と、インストール時に出る確認ダイアログは、今回は確認していません

次に見るもの

権限表示で分かるのは範囲の広さまでです。Aだった拡張について次に確かめるとすれば、「その広さを実際に何に使っているのか」になります。

判断を急ぐ場合、確認しやすいのは「サイトへのアクセス」を後から狭められるかどうかです。Aの拡張には「クリックしたときのみ」「特定のサイト」という選択肢が並んでいました。用途が限られている拡張なら、ここを絞ってから使い始めるという手もあります。