Permissões de extensões do Gmail: o que elas podem ler

6 de março de 2026

Ao instalar uma extensão para o Gmail, você aprova dois tipos de acesso: as permissões do Chrome (o que a extensão pode fazer no seu navegador) e, quando faz login, as permissões da Conta Google (o que ela pode fazer com o seu Gmail e outros dados do Google). A maioria das pessoas clica em Permitir nas duas telas sem ler. Entender as permissões de extensões do Gmail é o que separa uma ferramenta que "pode enviar mensagens por você" de uma que "pode ler todos os e-mails que você já recebeu". Veja como interpretar cada tela.

Permissões da Conta Google (escopos OAuth)

Quando uma extensão pede para entrar com o Google, a tela de consentimento lista os escopos que ela quer. No caso do Gmail, os mais comuns são:

Seu endereço de e-mail — risco baixo

A extensão descobre qual conta Google você está usando. Isso basta para identificar você; ela não consegue ler nem enviar mensagens.

Enviar e-mails em seu nome (`gmail.send`) — risco médio

A extensão pode enviar mensagens pela sua conta, o que é necessário para envio agendado e mala direta. Não permite ler a caixa de entrada, mas uma extensão mal-intencionada poderia disparar spam como se fosse você.

Ler seus e-mails (`gmail.readonly`) — risco alto

A extensão pode ler todas as mensagens e anexos da sua caixa: redefinições de senha, extratos do banco, boletos, notas fiscais e conversas pessoais. Alguns recursos realmente precisam disso (detectar respostas em uma conversa, por exemplo), mas nem toda ferramenta que pede esse acesso o utiliza de fato.

Alterar ou excluir seus e-mails (`gmail.modify` ou acesso total ao Gmail) — risco muito alto

Além de ler e enviar, a extensão pode modificar, mover ou apagar suas mensagens.

Outros serviços do Google podem aparecer na mesma tela, como Planilhas Google ou Contatos. Para cada um, pergunte se ele corresponde a um recurso que você vai usar de verdade.

Permissões do Chrome

A página da extensão na Chrome Web Store e o aviso de instalação mostram o que ela pode fazer no navegador. Para ferramentas de Gmail, a linha que importa é o acesso a sites: uma extensão que roda em mail.google.com consegue ver e alterar as páginas do Gmail que você tem abertas. É assim que toda extensão de Gmail adiciona botões ou rastreamento à janela de redação, então isso é esperado. Desconfie de uma extensão que quer "ler e alterar todos os seus dados em todos os sites" quando só funciona no Gmail.

Como conferir as permissões de extensões do Gmail que você já concedeu

Abra chrome://extensions e clique em Detalhes em uma extensão para ver suas permissões e o acesso a sites.
Abra a página de conexões com apps e serviços de terceiros da sua Conta Google para ver quais apps acessam seus dados e remova os que você não usa mais.

Sinais de alerta

Acesso de leitura à caixa de entrada para um recurso que não precisa disso. O rastreamento de abertura funciona inserindo um pixel no e-mail que sai; não exige ler a sua caixa.
Acesso a todos os sites para uma ferramenta que só funciona no Gmail.
Acesso aos contatos para um rastreador simples.
Sem política de privacidade, ou com uma política vaga. Se a empresa não diz o que faz com seus dados, presuma o pior.

O que o Zestmail pede

Criamos o Zestmail para rastrear aberturas sem acesso à sua caixa de entrada (a extensão e o site estão em inglês). Ao fazer login, ele pede três escopos ao Google:

Seu endereço de e-mail — para identificar a sua conta.
Enviar e-mails em seu nome (gmail.send) — usado na mala direta e no envio agendado.
Ver suas Planilhas Google (spreadsheets.readonly, somente leitura) — usado para carregar os destinatários da mala direta a partir de uma planilha.

Ele não pede permissão para ler, alterar ou excluir suas mensagens do Gmail, nem acesso aos seus contatos. No Chrome, ele roda no Gmail para inserir o pixel de rastreamento quando você clica em Enviar, e usa permissões padrão de extensão para notificações, armazenamento, sincronização em segundo plano e o painel lateral. Você pode apagar os dados que o Zestmail guarda em seus servidores a qualquer momento em Settings (Configurações) na extensão.

O que você pode fazer

Audite suas extensões — veja o que as que já estão instaladas podem acessar hoje.
Remova o que não usa — cada extensão com acesso ao Gmail é mais uma parte que pode tocar nas suas mensagens.
Prefira ferramentas cujo acesso corresponde aos recursos que oferecem.
Leia a política de privacidade, principalmente o que ela diz sobre compartilhamento com terceiros e por quanto tempo os dados ficam guardados.

Sua caixa de entrada é um dos lugares mais sensíveis onde você guarda informações. Trate o acesso a ela com o mesmo cuidado.