A extensão de navegador que promete foto profissional: o que você aceita ao instalar

As quatro perguntas antes de instalar, e onde clicar para responder cada uma

Primeiro, a desambiguação. Extensão, aqui, é extensão de navegador: um programa de terceiro que você instala no Chrome e que passa a rodar dentro das páginas que você já tem abertas. Não é a terminação do nome do arquivo (.jpg, .png, .webp), que é o sentido mais comum da palavra no acervo daqui: nas 30 vezes em que ela sai nos 396 artigos publicados, quase sempre significa formato de arquivo, projeto acadêmico de extensão ou extensão de rota. A expressão extensão de navegador aparece zero vez. São coisas diferentes, e só uma delas pede permissão.

A promessa é confortável: você instala, aparece um botão dentro da rede social e a sua foto de perfil volta "profissional" sem você sair da página. A decisão inteira cabe em duas telas que existem antes de a extensão entrar no navegador: a ficha da loja e o diálogo que o Chrome abre no clique em Adicionar. As quatro perguntas abaixo se respondem nelas, em menos de dois minutos.

1. Quem publica isso? Na ficha da loja, o bloco Desenvolvedor traz site, e-mail de contato e o selo de negociante. Nas 16 fichas de gerador de foto que medi na Chrome Web Store em 27 de agosto de 2026, 14 trazem o aviso de que o desenvolvedor não se identificou como comerciante, e 8 dão como contato um e-mail de domínio gratuito. Nenhum dos dois é acusação: os dois dizem a quem você vai reclamar depois, se precisar.
2. Em quais sites o código vai rodar? O texto visível da ficha não responde: nas mesmas 16, somando 19.190 palavras de texto exibido, a palavra permissões aparece zero vez e nenhuma delas nomeia um site. A resposta existe em dois lugares, e os dois vêm antes de a extensão entrar no navegador: o diálogo que o Chrome abre depois do clique em Adicionar, na linha que começa com "Ler e alterar seus dados em", e o manifesto que a própria página da loja carrega no código-fonte, com o caminho na seção mais abaixo. Se a promessa é melhorar a sua foto e o pedido alcança a rede social inteira, a pergunta seguinte é por que, porque a própria loja manda pedir a permissão mais estreita que resolve o recurso.
3. O que a aba de privacidade declara? Ainda na ficha, o bloco Privacidade traz uma de duas coisas: a declaração de que o item não vai coletar nem usar os seus dados, ou a lista de categorias que ele processa. Nas 16 fichas, 13 declararam a primeira e 3 listaram categorias. Declarar é obrigação de loja mesmo quando o processamento acontece só no seu computador, segundo a FAQ oficial de dados de usuário.
4. A promessa exige mesmo esse acesso? Esta é a única que ainda depende de julgamento seu, e a régua está publicada: a loja exige propósito único, estreito e fácil de entender, e limita a coleta ao que é necessário para esse propósito declarado. Você não precisa provar má-fé de ninguém. Precisa só medir a distância entre o que a extensão promete fazer e o que ela pede para poder fazer.

Quem responde as quatro sai da ficha sabendo mais do que ela diz. E repare na assimetria: três das quatro respostas estão escritas no texto da ficha, e a quarta, a única que diz onde o código roda, só aparece em dois lugares que a busca em português nunca abre: o diálogo de instalação e o código-fonte da própria ficha.

"Ler e alterar seus dados em linkedin.com": o que essa frase concede

Quando você clica em Adicionar ao Chrome, o navegador abre um diálogo curto com uma lista de frases e dois botões. É a última tela antes de valer, é a única em que o próprio navegador te diz, em português, onde o código vai rodar, e é a que some da conversa mais rápido.

Quem escreveu a tela avisa que ela não é veredito. A Ajuda da Chrome Web Store, lida em 27 de agosto de 2026, escreve, sobre o próprio aviso, que ele não significa que o app é perigoso, apenas que ele pode ser. A mesma página classifica os avisos em três níveis, e coloca "seus dados em uma lista de sites" no alerta médio, descrito como acesso para ler, solicitar ou modificar os dados das páginas que você visita naquela lista. A página traz o rótulo de tradução automática no rodapé; conferi os literais contra a versão em inglês e eles batem palavra por palavra.

A frase exata está publicada, com identificador. O texto que aparece na tela não é folclore: ele vive no código-fonte do Chromium, em chrome/app/generated_resources.grd, sob o nome IDS_EXTENSION_PROMPT_WARNING_1_HOST, com o conteúdo "Read and change your data on WEBSITE_1" e a tradução oficial em pt-BR "Ler e alterar seus dados em <site>". Quando o pedido usa curinga de subdomínio, a tela escreve "todos os sites de <domínio>"; quando não há limite de host nenhum, escreve "Ler e mudar seus dados em qualquer site". Casei as 127 mensagens de aviso em inglês com as traduções em pt-BR pelo identificador de hash do próprio formato: 127 de 127.

O limite dessa leitura, e ele importa. Isso é string de código-fonte lida em 27 de agosto de 2026, não captura da minha tela. O Chrome pode mudar a redação em qualquer versão, e o que você vê depende da sua. O que não muda é a função: o Google escreve, na orientação a quem publica extensão, que os avisos de permissão descrevem as capacidades que uma API concede. Ou seja, a frase da tela é a tradução de uma capacidade técnica para linguagem de usuário. A tabela abaixo faz a tradução de volta, com uma ressalva que vale para ela inteira: a mesma documentação diz que algumas APIs exigem permissão de host além da permissão de API delas, então parte das linhas só se completa quando o manifesto declara as duas coisas.

O aviso é um resumo, não um inventário: 45 das 78 permissões não mostram nada

A leitura mais comum do diálogo de instalação é tratá-lo como lista de tudo o que a extensão pode fazer. Ele não é isso, e dá para medir o tamanho da diferença sem sair da documentação oficial.

O número que reorganiza a conversa. Na referência oficial de permissões que li em 27 de agosto de 2026, são 78 permissões listadas. Delas, 33 trazem a linha dizendo que exibem aviso de instalação. As outras 45 não disparam aviso nenhum, e entre essas 45 estão cookies, scripting, storage, webRequest, identity e activeTab. O contraste que fecha o argumento está em duas linhas vizinhas da mesma página: tabs mostra aviso ("Read your browsing history"), e a entrada inteira de cookies é "Gives access to the chrome.cookies API", sem uma palavra sobre aviso.

Do outro lado, o catálogo de avisos. Nas 127 mensagens de aviso que o Chromium publica no código, a palavra cookie aparece uma única vez, e não é sobre ler cookie: está na mensagem de configurações de site, que fala em conceder acesso a recursos como geolocalização, microfone, câmera e cookies. Não existe uma mensagem própria para a permissão de cookies. As poucas mensagens em pt-BR que citam foto, senha ou sessão tratam de outra coisa: mídia guardada no seu computador, configurações de senhas salvas e credenciais na tela de login. Nenhuma delas fala do cookie do site que você tem aberto.

Isso não é o Chrome escondendo coisa. A lista inteira está publicada, é gratuita e abre por link direto. O que a medição mostra é outra coisa, mais chata e mais útil: a tela de instalação é um resumo desenhado para caber em quatro linhas, e resumo tem margem. O próprio Google escreve que algumas permissões podem deixar de exibir aviso quando aparecem junto de outras, e dá o exemplo do aviso de tabs, que não aparece se a extensão também pedir acesso a todos os sites.

E o que acontece depois, na atualização. Quando uma versão nova acrescenta uma permissão que dispara aviso, a extensão fica desativada até você aceitar a permissão nova. Essa proteção existe e é boa. Ela só não alcança as 45 silenciosas, porque a condição escrita é a permissão disparar aviso. Uma extensão que já tinha o host e ganha a permissão de cookies numa atualização não gera essa tela.

O objeto não é o arquivo da foto, é a sessão que já está aberta

Subir a sua foto num site e instalar uma extensão que promete a mesma coisa parecem o mesmo gesto, com uma diferença de conforto. Não são. No primeiro caso você entrega um arquivo por um campo de upload, e o que passa a valer sobre ele é assunto do artigo que trata do que acontece depois que o arquivo sai do seu computador. No segundo, você instala código que roda do lado de dentro.

O que "do lado de dentro" quer dizer, com o literal. A documentação de content scripts descreve arquivos que rodam no contexto das páginas web, capazes de ler os detalhes das páginas que o navegador visita, alterá-las e passar informação para a extensão que os injetou. Traduzindo para a sua tela: a página do seu perfil, já autenticada, com o que só você vê depois de entrar.

A peça que falta, e por que ela é o ponto. Permissão de host sozinha não lê cookie. A referência da API é explícita: para usar a API de cookies, o manifesto precisa declarar a permissão "cookies" junto das permissões de host dos sites cujos cookies se quer acessar. São duas declarações, e é assim que elas convivem num manifesto:

"permissions": ["cookies"],
"host_permissions": ["https://*.linkedin.com/*"]

Em português: a primeira linha declara a permissão de cookies e a segunda declara o host. A segunda é a que vira a frase "Ler e alterar seus dados em..." na sua tela. A primeira é uma das 45 que não geram aviso nenhum. O argumento honesto deste artigo não é que o navegador esconde acesso: é que a peça que falta para completar o par não aparece na tela em que você decide. E o dado alcançado é do tipo que a própria API descreve com a propriedade httpOnly, marcada como o cookie inacessível a script de página, e com a propriedade session, para o cookie de sessão.

A plataforma escreveu sobre isso no contrato. O Contrato do Usuário da rede, em vigor desde 3 de novembro de 2025, lista entre as condutas proibidas utilizar ou tentar utilizar a conta de outra pessoa, dando como exemplos compartilhar credenciais de acesso ou copiar cookies. A mesma seção nomeia plugins de navegação e complementos, e essa parte já foi lida com calma aqui em a leitura que este blog já fez do que o contrato proíbe fazer com o perfil dos outros. Nada disso diz que instalar uma extensão viola o contrato, e este artigo não qualifica juridicamente ferramenta nenhuma. Diz só que a plataforma trata cookie como chave de conta, e não como preferência de navegação.

Quatro superfícies, quatro perguntas diferentes

Existe uma tentação de tratar "segurança de gerador de foto" como um assunto só. São quatro superfícies, e cada uma pede uma pergunta diferente, respondida num lugar diferente da tela:

• Aplicativo de celular: a permissão é do sistema operacional, e o objeto é o que ele enxerga antes de existir qualquer pedido. É a permissão que o celular pede antes de a foto existir.
• Login social no gerador: a autorização é de conta, e o objeto são os campos que você libera, não código rodando no seu navegador. É o botão de entrar com a conta, que autoriza campos e não código.
• Site com campo de upload: o objeto é o arquivo depois de enviado, e a pergunta é sobre retenção e destino, como em o mapa de por onde o arquivo passa depois do envio.
• Extensão de navegador: o objeto é a sessão já autenticada, e a pergunta é em quais sites o código roda. É a superfície deste artigo, e a única em que a decisão inteira cabe numa tela que dura três segundos.

O que 16 fichas de gerador de foto declaram na loja, e o que elas não declaram

Para saber o que a vitrine responde, medi a vitrine. Busquei na própria Chrome Web Store, em português, por gerador de foto de perfil, foto profissional com IA e retrato profissional com IA, e li o HTML servido a visitante deslogado de 16 fichas únicas, em 27 de agosto de 2026. Todas responderam 200. O texto exibido soma 19.190 palavras, contando menu e rodapé da própria loja, o que só torna os zeros abaixo mais conservadores.

Os quatro zeros. No texto que as 16 fichas exibem, a palavra permissão ou permissões aparece zero vez. A palavra cookie, zero. Um host nomeado, como o endereço da rede social, zero. A expressão "ler e alterar", zero. Nenhuma delas mostra ao leitor, em prosa, as permissões que a extensão vai pedir. Guarde esse "no texto exibido": a seção seguinte mostra onde a mesma página guarda a resposta.

O que elas declaram. 15 das 16 linkam uma política de privacidade. 13 das 16 trazem a declaração de que o desenvolvedor informou que o item não vai coletar nem usar os seus dados. 3 declaram categorias de dado processadas: uma cita informações de identificação pessoal; outra, localização e conteúdo do site; a terceira, informações de identificação pessoal e informações financeiras e de pagamento. 14 das 16 trazem o aviso de que o desenvolvedor não se identificou como comerciante, e 8 das 16 usam e-mail de domínio gratuito como contato.

Manutenção, em dias. A mediana de tempo desde a última atualização é de 318 dias. 7 das 16 estão há mais de 12 meses sem atualizar, a mais antiga com data de 17 de julho de 2024 e a mais recente de 18 de agosto de 2026. A contagem de usuários vai de 4 a 10.000 e soma 18.318, com a ressalva de que a própria loja arredonda os números grandes. A busca da loja é personalizada, então o seu conjunto de 16 pode não ser igual ao meu, e nenhuma dessas fichas é nomeada aqui: o dado é de categoria.

A assimetria que explica o resto. A justificativa de cada permissão existe, é escrita e tem destinatário. O painel do desenvolvedor da loja descreve o campo em que o desenvolvedor justifica cada permissão para contar aos revisores por que a extensão precisa dela, e trata separadamente a declaração de dados, essa sim exibida aos usuários do Chrome. Não é ocultação: é público-alvo. A justificativa técnica foi escrita para quem revisa, e o que chega a você é a declaração de dado. Some a isso a regra de que o aviso destacado e o consentimento têm de acontecer dentro da interface da própria extensão, e que a descrição na loja não satisfaz essa exigência, e fica claro por que ler a ficha não é o mesmo que ler o pedido.

Um contexto de terceiro, com três limites na mesma frase. Em 8 de fevereiro de 2026, um levantamento independente identificou 287 extensões que enviavam URLs visitadas a terceiros, somando cerca de 37,4 milhões de instalações, com método descrito (Chrome em contêiner, proxy de interceptação, navegação sintética) e cobertura da imprensa especializada três dias depois. Os limites: o autor assina com pseudônimo e declarou que não publicaria o código nem os detalhes exatos do ambiente; o objeto medido é histórico de navegação, não gerador de foto; e parte da coleta está declarada em política de privacidade. Serve como contexto de categoria e não prova nada sobre nenhuma extensão de foto.

O manifesto está na própria ficha, no código-fonte: como ler antes de instalar

Depois de medir o texto visível, fui olhar o que a mesma página carrega junto dele. A ficha da Chrome Web Store embute, no HTML servido a visitante deslogado, o manifesto da própria extensão, com as listas de permissões e de hosts. Nas 16 fichas que medi em 27 de agosto de 2026, as 16 traziam esse bloco, todas em manifest_version 3, e em 16 de 16 o número de versão dentro do manifesto bate com o campo Versão exibido na ficha. É esse casamento que prova que o manifesto lido é o do item aberto, e não o de um relacionado.

Como olhar, em três passos, sem instalar nada.

1. Abra a página da extensão na loja, em qualquer aba.
2. Peça o código-fonte da página: Ctrl+U no Windows e no Linux, Cmd+Option+U no Mac.
3. Procure com Ctrl+F por host_permissions. A página também carrega o manifesto dos itens relacionados, então vale a primeira ocorrência, a que aparece perto do nome e do número de versão do item que você abriu. O que vier entre colchetes é o pedido, escrito pelo desenvolvedor, na forma em que o navegador vai lê-lo.

Quem preferir a linha de comando, o mesmo resultado sai de uma chamada só, trocando o identificador de 32 letras que aparece na URL da ficha. O head -1 é o que garante a primeira ocorrência:

curl -sS -L --compressed \
  -A "Mozilla/5.0 (Windows NT 10.0; Win64; x64)" \
  "https://chromewebstore.google.com/detail/<ID_DA_EXTENSAO>?hl=pt-BR" \
  | grep -o 'host_permissions.\{0,200\}' | head -1

O que apareceu nas 16. Onze não declaram host nenhum: a lista está ausente ou vazia. Cinco declaram ao menos um host, e duas dessas cinco pedem <all_urls>, que é a forma técnica do "qualquer site" da tela. Duas declaram a permissão de cookies: uma junto de hosts do próprio fornecedor, a outra junto de <all_urls>, de tabs e de content script casando http://*/* e https://*/*. Cinco declaram alguma forma de identity, três declaram content script e nenhuma das 16 nomeia o domínio da rede social. Somadas, as 16 usam dez permissões distintas.

Duas leituras saem daí, e as duas são boas notícias com borda. A primeira: o pedido é legível antes do clique, e a pergunta 2 da lista lá de cima tem, sim, onde ser respondida. A segunda: no recorte que medi, o gerador de foto típico não pede acesso à sua rede social, e escrever o contrário seria alarme sem dado. O limite: isso é conteúdo embutido na página, não uma seção que a loja exibe para você, e o formato pode mudar sem aviso. E manifesto é declaração, não comportamento: ele diz o que a extensão pode pedir, não o que o código faz depois.

Já instalei. O procedimento em cinco passos

Se a extensão já está no seu navegador, a ordem abaixo resolve o que dá para resolver, com os rótulos que a Ajuda oficial do Chrome publica em português. Leva menos de cinco minutos e não exige desinstalar nada logo de cara.

1. Veja em que nível ela está. Abra o menu de extensões, clique em Mais na extensão em questão e coloque o cursor sobre "Pode ler e alterar os dados do site". O Chrome oferece três níveis: ao clicar na extensão, no site atual, ou em todos os sites. Saber em qual você está é metade do trabalho.
2. Rebaixe para "Ao clicar na extensão". Esse nível só permite acesso ao site aberto na guia no momento do clique. Na prática, uma extensão que gera foto de perfil não precisa de mais do que isso: você clica quando quer usar, e ela para de rodar sozinha no resto da navegação.
3. Remova os sites que não deveriam estar ali. Em Detalhes, na seção Permissões, dá para adicionar ou remover site. Leia junto o aviso do próprio Google, que é sobre alcance e não sobre tempo: quando você concede ou cancela essas permissões, a mudança só vale para os sites que a extensão já tem autorização para acessar. O que ela não faz, e isso é observação deste artigo e não da Ajuda, é apagar o que já foi lido antes da mudança.
4. Encerre as sessões da conta, se a extensão tocava nela. Na sua conta da rede, a Ajuda oficial descreve o caminho: em Acesso e segurança, a lista das suas sessões ativas traz localidade, endereço IP e tipo de dispositivo, com a opção de sair de todas as sessões exceto a atual. É o passo que encerra as sessões antigas da conta, e é o que a conversa pública sobre extensão nunca inclui. Aproveite e revise Parceiros e serviços, em Preferências da conta, para ver que aplicativos de terceiros estão associados.
5. Desinstale, se ela não passou nas quatro perguntas. Clique com o botão direito no ícone da extensão e escolha Remover do Chrome. Se você usa a Navegação segura com proteção reforçada, o Chrome ainda mostra um aviso para extensões que não são consideradas confiáveis, um selo que depende de o desenvolvedor seguir as políticas do programa e que costuma levar alguns meses para desenvolvedor novo.

O que remover a extensão desfaz, e o que não desfaz

Remover é um botão só, e ele responde a uma pergunta só. Vale separar as duas metades, porque é aqui que a intuição erra.

Desfaz: o acesso daqui para frente. Sem a extensão instalada, não há mais content script sendo injetado nas suas páginas, não há mais requisição partindo dela e não há mais leitura de aba. Essa parte é limpa e imediata.

Não desfaz: o que já saiu. O arquivo que já foi enviado a um servidor não volta pelo botão de desinstalar, e a pergunta sobre o que acontece com ele depois pertence a outro eixo, o de retenção e exclusão. O que já foi lido, foi. E, principalmente, a sessão continua sendo a mesma sessão: credencial não expira porque um programa saiu do seu computador. É por isso que o passo 4 do procedimento acima existe, e por isso ele vem depois dos outros três e não no lugar deles.

A mesma lógica de "revogar não devolve" já apareceu neste blog do lado do celular, quando o assunto era o que o aplicativo já alcançou antes de você tirar a permissão. Aqui a diferença é o objeto: no celular, o que já saiu é arquivo; no navegador, o que continua valendo é sessão.

Quando a extensão de navegador é mesmo a ferramenta certa

Este artigo não é contra extensão. Existe um desenho legítimo, publicado e verificável, e reconhecê-lo é o que separa análise de alarme.

O desenho correto tem nome. A permissão activeTab dá à extensão acesso temporário à aba ativa quando você invoca a extensão, e o acesso dura enquanto você está naquela página, sendo revogado quando você navega para outra ou fecha a aba. A documentação diz, com todas as letras, que ela serve como alternativa a muitos usos do acesso a todos os sites e que não exibe mensagem de aviso na instalação. E a lista do que ela permite não inclui a API de cookies.

A tradução prática. Uma extensão que é só um atalho para um serviço que você usaria de qualquer jeito não precisa de acesso permanente ao seu perfil: ela precisa de acesso à aba, no momento do clique. Se a promessa é "clique aqui para melhorar a sua foto" e o pedido é "deixe-me ler e alterar tudo neste site, o tempo todo", a distância entre as duas frases é a informação.

Vale a declaração do lado de cá, porque ela é verdade de produto e não argumento de venda: o fotoslinkedin é um site. O envio passa pelo campo de arquivo do navegador, de 1 a 5 fotos, e não existe extensão para instalar nem permissão de host para conceder. Isso não é virtude de segurança, é uma escolha de arquitetura, e o que ela muda é só a superfície da pergunta que você precisa fazer.

O que esta leitura não prova

O ganho deste artigo vem de ler três documentos públicos: o que a loja publica, o que o navegador concede e o que a plataforma escreveu no contrato. Isso tem alcance, e tem borda.

• Não abri o código de nenhuma extensão. Li o manifesto que a loja publica na própria página, e manifesto é declaração: diz o que a extensão pode pedir, não o que o código faz com o que recebe. Não há aqui engenharia reversa, tráfego capturado nem teste de comportamento.
• Nada neste texto afirma que alguma extensão específica lê o cookie da sua sessão. O que está descrito é o que a permissão habilita, o que é uma afirmação sobre o navegador, não sobre um produto.
• A busca da Chrome Web Store é personalizada. As 16 fichas são um recorte datado de 27 de agosto de 2026 e a sua busca pode devolver outro conjunto.
• String de código-fonte não é captura de tela. O texto que o seu Chrome mostra depende da versão instalada, e o Google pode reescrever esses avisos.
• O levantamento de fevereiro de 2026 mediu envio de histórico de navegação, não gerador de foto, e o autor declarou que não publicaria o código do ambiente de teste.
• Nada aqui é conselho jurídico. Citar a cláusula do contrato descreve o que a plataforma escreveu, e não classifica a conduta de nenhuma ferramenta.

Resumo e próximos passos

Três frases seguram o artigo inteiro. A primeira: o aviso de instalação descreve capacidade de API, e a lista que aparece na tela é resumo, não inventário, porque 45 das 78 permissões listadas na referência oficial não disparam aviso nenhum. A segunda: o texto visível da ficha diz quem é o desenvolvedor e o que ele declara sobre dado, mas não diz em quais sites o código vai rodar, e nas 16 que medi essa resposta estava embutida no código-fonte da mesma página. A terceira: depois de instalada, três cliques rebaixam o acesso e um quarto passo, na sua conta, encerra as sessões.

O próximo movimento depende de onde você está. Se ainda não instalou, responda as quatro perguntas, procure host_permissions no código-fonte da ficha e leia o diálogo antes de confirmar em Adicionar extensão. Se já instalou, rode os cinco passos na ordem, do rebaixamento até as sessões ativas. Se o seu problema é o arquivo e não o canal, o eixo muda: o que a rede faz com a imagem depois que você salva está em o que acontece com o arquivo do lado de lá do botão salvar.

E, se a decisão ainda é qual caminho usar para gerar a foto, escolher a ferramenta é o passo que vem antes de instalar qualquer coisa: o mapa está em o guia deste pilar, com os caminhos de foto profissional com IA comparados.