Permisos de extensiones de Gmail: ¿leen tu correo?
Al instalar una extensión de Gmail apruebas dos tipos de acceso: los permisos de Chrome (lo que la extensión puede hacer en tu navegador) y, al iniciar sesión, los permisos de tu cuenta de Google (lo que puede hacer con tu Gmail y otros datos de Google). La mayoría pulsa Permitir en ambas pantallas sin leerlas. Revisar los permisos de extensiones de Gmail lleva dos minutos y es la diferencia entre "puede enviar un mensaje por ti" y "puede leer todos los correos que has recibido". Aquí explicamos cómo interpretar esas pantallas.
Permisos de la cuenta de Google (ámbitos OAuth)
Cuando una extensión te pide iniciar sesión con Google, la pantalla de consentimiento enumera los ámbitos (scopes) que solicita. Para Gmail, los más habituales son:
Tu dirección de correo — riesgo bajo
La extensión sabe qué cuenta de Google usas. Sirve para identificarte, pero no permite leer ni enviar correos.
Enviar correos en tu nombre (gmail.send) — riesgo medio
La extensión puede enviar mensajes desde tu cuenta, algo que necesitan el envío programado y la combinación de correspondencia. No permite leer tu buzón, pero una extensión maliciosa podría enviar spam haciéndose pasar por ti.
Leer tu correo (gmail.readonly) — riesgo alto
La extensión puede leer todos los mensajes y adjuntos de tu buzón: restablecimientos de contraseña, extractos del banco, facturas, conversaciones personales. Algunas funciones lo necesitan de verdad (detectar respuestas en un hilo, por ejemplo), pero no todas las herramientas que lo piden lo usan.
Modificar o eliminar tu correo (gmail.modify o acceso completo a Gmail) — riesgo muy alto
Además de leer y enviar, la extensión puede modificar, mover o borrar tus mensajes.
En la misma pantalla pueden aparecer otros servicios de Google, como Hojas de cálculo o Contactos. Para cada uno, pregúntate si corresponde a una función que realmente vas a usar.
Permisos de Chrome
La ficha de Chrome Web Store y el aviso de instalación muestran lo que la extensión puede hacer en tu navegador. En herramientas para Gmail, la línea clave es el acceso a sitios: una extensión que se ejecuta en mail.google.com puede ver y modificar las páginas de Gmail que tengas abiertas. Así es como cualquier extensión añade botones o rastreo a la ventana de redacción, así que es lo esperable. Desconfía de una extensión que quiera "leer y cambiar todos tus datos en todos los sitios web" cuando solo funciona en Gmail.
Cómo revisar los permisos de extensiones de Gmail que ya concediste
- Abre
chrome://extensionsy pulsa Detalles en cada extensión para ver sus permisos y su acceso a sitios. - Entra en la página de conexiones con terceros de tu cuenta de Google para ver qué aplicaciones acceden a tus datos y elimina las que ya no uses.
Señales de alarma
- Acceso de lectura al buzón para una función que no lo necesita. El rastreo de aperturas funciona añadiendo un píxel al correo saliente; no requiere leer tu bandeja de entrada.
- Acceso a todos los sitios web en una herramienta que solo funciona en Gmail.
- Acceso a Contactos en un simple rastreador de aperturas.
- Sin política de privacidad, o una muy vaga. Si una empresa no explica qué hace con tus datos, asume lo peor.
Qué permisos pide Zestmail
Diseñamos Zestmail para rastrear aperturas sin acceso a tu bandeja de entrada. Al iniciar sesión, solicita tres ámbitos a Google:
- Tu dirección de correo, para identificar tu cuenta.
- Enviar correos en tu nombre (
gmail.send), usado para la combinación de correspondencia y el envío programado. - Ver tus hojas de cálculo de Google (
spreadsheets.readonly, solo lectura), usado para cargar los destinatarios de una combinación desde una hoja.
No pide permiso para leer, modificar ni eliminar tus mensajes de Gmail, ni acceso a tus contactos. En Chrome se ejecuta en Gmail para añadir el píxel de seguimiento al pulsar Enviar, y usa permisos estándar de extensión para notificaciones, almacenamiento, sincronización en segundo plano y su panel lateral. Ten en cuenta que la extensión y la web están en inglés, y que el rastreo de aperturas no es infalible: el bloqueo de imágenes y los proxies de privacidad, como la protección de Apple Mail, afectan a los resultados.
Qué puedes hacer
- Audita tus extensiones: comprueba a qué pueden acceder ahora mismo las que tienes instaladas.
- Elimina lo que no uses: cada extensión con acceso a Gmail es una parte más que puede tocar tu correo.
- Prefiere herramientas cuyos permisos coincidan con sus funciones.
- Lee la política de privacidad, sobre todo lo que dice de compartir datos con terceros y de cuánto tiempo los conservan.
Tu bandeja de entrada es uno de los lugares más sensibles donde guardas información. Trata el acceso a ella en consecuencia.