CRX (extension Chrome) — fichier .crx

Le CRX empaquette une extension Google Chrome : c’est une archive ZIP ordinaire contenant le code, les ressources et le manifeste de l’extension, précédée d’un en-tête binaire qui porte la signature du développeur.

Sa signature “Cr24” (43 72 32 34 en hexadécimal, littéralement “Chrome” suivi de “24”) ouvre cet en-tête, suivi d’un numéro de version de format et, depuis la version CRX3 obligatoire à partir de Chrome 75, d’un bloc Protocol Buffer qui porte la clé publique du développeur et la signature cryptographique de l’ensemble du paquet — c’est cette signature qui garantit qu’une mise à jour ultérieure provient bien du même auteur que la version initialement installée.

Chrome n’autorise plus l’installation directe d’un fichier .crx téléchargé et ouvert manuellement en dehors du Chrome Web Store : ce blocage, en place depuis Chrome 33 sous Windows et Chrome 44 sous macOS, ne modifie en rien le format lui-même, qui reste utilisé en coulisses pour la distribution et la mise à jour de toutes les extensions installées via le Web Store.

Comme pour l’APK sur Android, une extension installée obtient les permissions qu’elle déclare dans son manifeste — accès au contenu des pages visitées, aux onglets ouverts, voire à l’historique de navigation selon les cas — un périmètre qu’il convient de vérifier avant d’installer une extension d’origine incertaine, y compris lorsqu’elle provient techniquement du Web Store.

Le passage au Manifest V3, imposé progressivement par Google depuis le début des années 2020, a restreint certaines capacités que les extensions packagées en CRX pouvaient auparavant déclarer (notamment l’interception réseau via des scripts d’arrière-plan persistants), une évolution motivée par des raisons de sécurité et de performance mais qui a contraint de nombreux développeurs d’extensions à revoir leur architecture.