Chrome prueba recortar el acceso de las extensiones: qué ven y cómo limitarlas

6 de octubre de 2026

Chrome está probando una forma nueva de instalar extensiones, aunque Google no la ha anunciado. Leopeva64, una cuenta de X que rastrea las novedades escondidas en las versiones de prueba del navegador, la encontró en Chrome Canary, y Android Police la contó el lunes 5 de octubre de 2026. Al instalar una extensión aparece un apartado nuevo que pregunta si puede funcionar solo cuando hagas clic en ella, la opción que viene marcada, o siempre en todos los sitios.

Hoy nadie te pregunta eso. Pulsas «Añadir a Chrome» en un traductor o en un bloqueador de anuncios, sale un cuadro que avisa de que podrá «leer y cambiar todos tus datos en todos los sitios web» y le das a «Añadir extensión» sin pensarlo mucho. Es, por ejemplo, uno de los permisos que pide la extensión de ChatGPT para Chrome. Desde ese momento, la extensión puede leer lo que abres, del correo al banco. Recortarlo no depende de Google. En «Gestionar extensiones», el botón «Detalles» de cada una lleva a «Acceso a sitios», donde puedes cambiar «En todos los sitios» por «Al hacer clic» o por «En sitios específicos».

Lo que se ha visto en Chrome Canary

Leopeva64 lo publicó el sábado 3 de octubre con un vídeo y tres capturas en las que instala uBlock Origin Lite, un bloqueador de anuncios. En el Chrome de siempre, el cuadro solo enumera lo que podrá hacer la extensión, y su página de ajustes muestra después el acceso «En todos los sitios». En Canary, debajo del aviso, aparece una sección llamada «Allow site access» (permitir el acceso a sitios), con «When you click the extension» (al hacer clic en la extensión) marcada y «Always on all sites» (siempre en todos los sitios) como alternativa.

El cambio está en el código de Chromium, el proyecto abierto sobre el que Google construye Chrome. Entre el 1 y el 4 de octubre, sus desarrolladores añadieron una opción experimental, «Extension Install Site Access Options», y el apartado nuevo del cuadro de instalación, con el clic marcado por defecto. La opción viene desactivada de serie, y en Canary se puede encender desde la página de funciones experimentales. En los mensajes del código, el trabajo figura como la fase 3a de «Click-to-Script» (ejecutar al hacer clic), el nombre interno que ya llevaban en 2018 los cambios que permitieron limitar las extensiones.

¿Cuándo llegará a tu Chrome? Google no ha dado ninguna fecha. El código forma parte de Chrome 157, que ahora está en Canary y cuya versión estable está prevista para el martes 3 de noviembre de 2026, según el calendario de Chromium. Que el código llegue no significa que lo vayas a ver, porque Google puede tenerlo apagado meses, cambiarlo o abandonarlo. En un Chrome en español, si se activa tal cual, lo más probable es que leas «Al hacer clic en la extensión» y «Siempre en todos los sitios», ya que el cuadro reutiliza dos textos que Chrome tiene traducidos para otros menús.

Qué puede ver una extensión con acceso a todos los sitios

Es el permiso más amplio que una extensión puede pedir sobre las webs. La ayuda de Google explica que da acceso «para leer, solicitar o modificar los datos de cada página que visites», y pone como ejemplos la cuenta bancaria y Facebook. Con él, y según la documentación para desarrolladores, una extensión puede hacer esto en cualquier web:

leer todo lo que muestra la página, desde un correo hasta el saldo de tu cuenta;
leer lo que escribes en los formularios antes de enviarlo, contraseñas incluidas;
cambiar lo que ves, por ejemplo añadiendo anuncios o modificando enlaces;
saber qué páginas visitas, con su dirección y su título;
vigilar o alterar las conexiones de esas webs y, si tiene también el permiso de cookies, leer las que mantienen abiertas tus sesiones.

Que una extensión esté en la tienda oficial tampoco es garantía. En agosto de 2023, tres investigadores de la Universidad de Wisconsin-Madison publicaron que webs tan visitadas como las de Google y Cloudflare dejaban la contraseña escrita en texto legible dentro del código de la página, al alcance de cualquier extensión con acceso. Encontraron 190 extensiones que accedían directamente a los campos de contraseña y diseñaron una de prueba capaz de burlar la revisión de la Chrome Web Store.

En diciembre de 2025, la empresa de seguridad Koi contó que Urban VPN Proxy, una VPN gratuita con más de 6 millones de usuarios en Chrome y la insignia de «Destacada» de la tienda, capturaba desde su versión del 9 de julio de 2025 las conversaciones con ChatGPT, Claude, Gemini y otros chatbots, y las enviaba a sus servidores. Como las extensiones se actualizan solas, quien ya la tenía recibió ese cambio sin enterarse. Urban Cyber Security, la empresa que la publica, lo mencionaba en su pantalla de consentimiento y en su política de privacidad, como recogió Malwarebytes. A 6 de octubre de 2026, la extensión sigue en la Chrome Web Store, con 7 millones de usuarios, y en su ficha declara que maneja tu historial web y el contenido de los sitios que visitas.

Cómo mirar y cambiar el acceso de cada extensión

Los controles existen desde Chrome 70, que salió en octubre de 2018, y tienen tres niveles. Estos son sus nombres en un Chrome en español:

«Al hacer clic». La extensión solo entra en la web que tienes abierta cuando pulsas su icono, y pierde el permiso al cerrar la pestaña o al irte a otra web.
«En sitios específicos». Funciona sola en las webs que añadas; en las demás se comporta como con «Al hacer clic».
«En todos los sitios». Funciona sola en todas las webs que pidió al instalarse.

Para revisarlas una a una, con calma:

Abre el menú de los tres puntos de Chrome, arriba a la derecha, y entra en «Extensiones» y después en «Gestionar extensiones». También puedes escribir chrome://extensions en la barra de direcciones.
Pulsa «Detalles» en la extensión que quieras revisar.
Busca «Acceso a sitios». Junto a «Permitir que esta extensión lea y cambie todos los datos de los sitios web que visites», elige «Al hacer clic», «En sitios específicos» o «En todos los sitios».
Al elegir «En sitios específicos», Chrome te pide enseguida la primera web, por ejemplo amazon.es. Las demás se añaden con «Añadir una nueva página», debajo de la lista.

Para cambiarlo sobre la marcha en la web en la que estás, pulsa el icono de las extensiones (la pieza de puzle que hay a la derecha de la barra de direcciones), luego los tres puntos de la extensión y, en «Puede leer y cambiar datos de sitios», elige «Al hacer clic en la extensión», «En» seguido del nombre de esa web o «En todos los sitios». Con la extensión fijada en la barra, llegas al mismo menú pulsando su icono con el botón derecho. La ayuda de Chrome Web Store explica los mismos pasos, aunque escribe «seleccionar» donde Chrome dice «hacer clic».

Puede que en «Detalles» leas «Elige cuándo puede esta extensión leer y cambiar tus datos del sitio». Es el diseño nuevo que Google está probando, el de las capturas de Canary, y sus opciones se llaman «Preguntar en cada visita», «Permitir en sitios específicos» y «Permitir en todos los sitios». Equivalen a las tres de arriba.

Con la web del banco puedes ir más rápido. Ábrela en una ventana de incógnito (Control + Mayúsculas + N en Windows), donde no funciona ninguna extensión salvo las que tengan activado «Permitir en incógnito» en sus «Detalles».

Qué extensiones necesitan estar siempre activas

Muchas funcionan igual de bien con un clic. Solo unas pocas tienen que entrar sin preguntar en todas las webs, y suelen ser las que más ven.

Tipo de extensión	Acceso que le basta	Por qué
Bloqueador de anuncios	En todos los sitios	Para ocultar lo que queda dentro de la página tiene que entrar en ella. El modo básico de uBlock Origin Lite solo filtra las conexiones y no pide ese permiso
Gestor de contraseñas	En todos los sitios, o «Al hacer clic» si no te importa pulsar antes su icono	Busca los formularios de inicio de sesión para rellenarlos
Corrector ortográfico o de estilo	En todos los sitios	Lee lo que escribes en cualquier web, y por eso conviene que sea de confianza
Modo oscuro	En todos los sitios	Cambia los colores de cada página al abrirla
Traductor, capturas, recortes o cuentagotas	Al hacer clic	Solo trabajan cuando las llamas
Comparador de precios de una tienda	En sitios específicos, solo con esa tienda	No necesita ver nada más
VPN o proxy	Lo que elijas no la frena	Google avisa de que el acceso a sitios no afecta a las extensiones que cambian tu conexión con una VPN o un proxy

El acceso que necesita cada tipo de extensión para funcionar sin que la llames. Elaboración propia con la ayuda de Chrome Web Store y los textos de uBlock Origin Lite.

Keepa, que dibuja el historial de precios dentro de las fichas de Amazon y que repasamos en la guía para saber si un descuento de Prime es real, es el ejemplo de extensión de una sola tienda. Con «En sitios específicos» y amazon.es le debería bastar; si alguna función deja de responder, amplía el acceso. En las que usas de vez en cuando, «Al hacer clic» casi no se nota, porque un toque en su icono las activa en esa página.

Google ya prometió este cambio en 2020

El 9 de diciembre de 2020, Alexandre Blondin, jefe de producto de Chrome, escribió en el blog oficial de Google que en 2021 cambiaría la forma en que las extensiones acceden a tus datos y cómo funcionan sus permisos al instalarlas. Decidirías tú, en lugar de la extensión, en qué webs puede entrar. Dar acceso a todas seguiría siendo posible, pero dejaría de ser lo predeterminado.

No llegó a pasar, aunque las piezas existían. En enero de 2020, los desarrolladores de Chromium ya habían añadido al cuadro de instalación una casilla para no conceder todos los sitios, escondida tras una opción experimental. En octubre de 2022 la llevaron también a las instalaciones desde la Chrome Web Store, siempre tras esa opción. En noviembre de 2024, al presentar el menú de extensiones nuevo, Google avisó a los desarrolladores de que las extensiones seguirían recibiendo al instalarse el acceso a todos los sitios que pidieran.

El cambio del 1 de octubre de 2026 borra aquella casilla, que el propio mensaje del código describe como una opción de más de seis años que nunca se llegó a lanzar, y la sustituye por la prueba de ahora. La casilla nunca salió de las opciones experimentales. El cuadro nuevo, de momento, tampoco.

Las normas de la Chrome Web Store desde el 1 de agosto

Mientras tanto, Google ha endurecido lo que pueden hacer con tus datos las extensiones de su tienda. Anunció las normas nuevas el 1 de julio de 2026 y las aplica desde el 1 de agosto:

solo pueden recoger los datos estrictamente necesarios para la función única que anuncian, y recogerlos para cualquier otra cosa está prohibido;
tienen que avisar de forma destacada de todo lo que recogen, tenga o no que ver con esa función, y volver a avisar si cambian lo que hacen con tus datos después de que las instales;
quedan prohibidas las extensiones pensadas para saltarse las protecciones o los límites de uso de los servicios de IA, y las que permiten apostar dinero en mercados de predicción.

La política de uso limitado prohíbe además recoger tu actividad de navegación salvo para una función que se anuncie de forma visible en la ficha y en la propia extensión, y vender tus datos a anunciantes o a intermediarios de datos. Pero una norma se vigila después, cuando alguien revisa lo que hace la extensión. El permiso, en cambio, decide lo que puede hacer desde el primer minuto.

¿Qué cambiaría si la prueba llega a todos?

Por lo que se ve en el código, el cambio solo toca el cuadro de instalación, de modo que las extensiones que ya tienes conservarían el acceso de hoy. Las que instalaras después y aceptaras sin mirar se quedarían en «Al hacer clic». Un bloqueador de anuncios, un corrector o un gestor de contraseñas no harían nada hasta que los pulsaras en cada web, y habría que elegir «Siempre en todos los sitios» al instalarlos o cambiarlo luego en «Detalles».

Las extensiones ya tienen una forma de pedir paso. Desde Chrome 133, de febrero de 2025, pueden mostrar junto al icono de las extensiones una petición de acceso que se acepta con un clic, aunque de momento solo aparece con el menú nuevo que Google está probando. La idea se parece a la de Apple, que va a endurecer el acceso total al disco del Mac para que el permiso que más abre no se conceda por descuido.

En España, el 71,6 % de las páginas vistas desde un ordenador en septiembre de 2026 se abrieron con Chrome, según StatCounter. Edge, Opera y Brave, que usan el mismo motor, suman otro 15 %, aunque nada indica por ahora que vayan a copiar la prueba.

El cuadro de «Añadir extensión» seguirá un tiempo como está, con su aviso sobre todos tus datos en todos los sitios y un solo botón para aceptar. Después de pulsarlo, dos minutos en «Detalles» bastan para que el traductor que instalaste para un viaje deje de leer tu correo y solo trabaje cuando lo llames.

Comparte este artículo