Autorisations des extensions Gmail : qui lit vos mails ?

Les autorisations des extensions Gmail sont de deux types : les autorisations Chrome (ce que l'extension peut faire dans votre navigateur) et, au moment de la connexion, les autorisations de votre compte Google (ce qu'elle peut faire avec vos e-mails et vos autres données Google). La plupart des gens cliquent sur Autoriser sur les deux écrans sans les lire.

Pour un outil de messagerie, ces écrans font la différence entre « peut envoyer un message à votre place » et « peut lire tous les e-mails que vous avez jamais reçus ». Voici comment les déchiffrer.

Autorisations du compte Google (les scopes OAuth)

Quand une extension vous demande de vous connecter avec Google, l'écran de consentement liste les accès (appelés scopes) qu'elle réclame. Pour Gmail, les plus courants sont :

Votre adresse e-mail — risque faible

L'extension sait quel compte Google vous utilisez. Cela suffit à vous identifier ; elle ne peut ni lire ni envoyer de messages.

Envoyer des e-mails en votre nom (gmail.send) — risque moyen

L'extension peut envoyer des messages depuis votre compte, ce dont ont besoin l'envoi programmé et le publipostage. Elle ne peut pas lire votre boîte de réception, mais une extension malveillante pourrait envoyer du spam sous votre nom.

Lire vos e-mails (gmail.readonly) — risque élevé

L'extension peut lire tous les messages et pièces jointes de votre boîte : réinitialisations de mot de passe, relevés bancaires, conversations personnelles. Certaines fonctions en ont vraiment besoin — détecter une réponse dans un fil de discussion, par exemple — mais tous les outils qui la demandent ne s'en servent pas.

Modifier ou supprimer vos e-mails (gmail.modify ou accès complet à Gmail) — risque très élevé

En plus de lire et d'envoyer, l'extension peut modifier, déplacer ou supprimer vos messages.

D'autres services Google peuvent apparaître sur le même écran — Google Sheets ou Contacts, par exemple. Pour chacun, demandez-vous s'il correspond à une fonction que vous allez réellement utiliser.

Autorisations Chrome

La fiche du Chrome Web Store et la fenêtre d'installation indiquent ce que l'extension peut faire dans votre navigateur. Pour les outils Gmail, la ligne qui compte est l'accès aux sites : une extension qui s'exécute sur mail.google.com peut voir et modifier les pages Gmail ouvertes. C'est ainsi que toute extension Gmail ajoute des boutons ou un suivi dans votre fenêtre de rédaction, donc c'est attendu. Méfiez-vous en revanche d'une extension qui veut « lire et modifier toutes vos données sur tous les sites Web » alors qu'elle ne fonctionne que dans Gmail.

Comment vérifier ce que vous avez déjà autorisé

1. Ouvrez chrome://extensions et cliquez sur Détails sous une extension pour voir ses autorisations et son accès aux sites.
2. Ouvrez la page Connexions tierces de votre compte Google pour voir quelles applications accèdent à vos données Google, et retirez celles que vous n'utilisez plus.

Les signaux d'alerte

• Un accès en lecture à la boîte de réception pour une fonction qui n'en a pas besoin. Le suivi d'ouverture fonctionne en ajoutant un pixel aux e-mails sortants ; il ne nécessite pas de lire vos messages reçus.
• Un accès à tous les sites pour un outil qui ne fonctionne que dans Gmail.
• Un accès aux contacts pour un simple traceur d'ouvertures.
• Pas de politique de confidentialité, ou une politique vague. Si une entreprise ne dit pas ce qu'elle fait de vos données, supposez le pire.

Ce que Zestmail demande

Nous avons conçu Zestmail pour suivre les ouvertures sans accès à votre boîte de réception. À noter : l'extension et le site sont en anglais. À la connexion, elle demande trois accès à Google :

1. Votre adresse e-mail — pour identifier votre compte.
2. Envoyer des e-mails en votre nom (gmail.send) — pour le publipostage et l'envoi programmé.
3. Voir vos feuilles Google Sheets (spreadsheets.readonly, lecture seule) — pour charger les destinataires d'un publipostage depuis une feuille de calcul.

Elle ne demande pas l'autorisation de lire, modifier ou supprimer vos messages Gmail, ni d'accéder à vos contacts. Dans Chrome, elle s'exécute sur Gmail pour ajouter le pixel de suivi quand vous cliquez sur Envoyer, et utilise les autorisations standard d'extension pour les notifications, le stockage, la synchronisation en arrière-plan et son panneau latéral. Vous pouvez supprimer à tout moment les données que Zestmail conserve sur ses serveurs depuis les Settings de l'extension.

Ce que vous pouvez faire

1. Faites l'inventaire de vos extensions — vérifiez ce à quoi celles déjà installées ont accès aujourd'hui.
2. Supprimez ce que vous n'utilisez pas — chaque extension ayant accès à Gmail est un acteur de plus qui peut toucher à vos messages.
3. Privilégiez les outils dont les accès correspondent aux fonctions.
4. Lisez la politique de confidentialité, en particulier ce qu'elle dit du partage avec des tiers et de la durée de conservation des données.

Votre boîte mail est l'un des endroits les plus sensibles où vous gardez des données. Traitez son accès en conséquence.