XPI (extension Firefox/Thunderbird) : fichier .xpi

Le XPI (Cross-Platform Install, prononcé “zippy”) empaquette une extension pour Firefox, Thunderbird ou les autres applications construites sur la plateforme Mozilla : c’est une archive ZIP ordinaire contenant le code de l’extension et un manifeste décrivant ses permissions et son point d’entrée.

Comme pour l’APK Android ou le CRX de Chrome, sa signature binaire est celle d’un ZIP standard (PK\x03\x04) : rien ne le distingue à ce niveau d’une archive quelconque, seule la présence d’un manifeste d’extension confirme sa nature réelle. L’ancien format XPInstall reposait sur un script install.js et un manifeste install.rdf ; depuis le passage obligatoire aux WebExtensions avec Firefox 57 en 2017 (elles étaient disponibles depuis Firefox 48), le manifeste suit un format manifest.json largement compatible avec l’équivalent Chrome.

Depuis Firefox 43 (2015), Mozilla exige une signature numérique de ses propres serveurs pour qu’une extension s’installe sur les versions grand public du navigateur : cette vérification centralisée, comparable dans son principe au blocage imposé par Chrome sur les CRX hors Web Store, vise à empêcher l’installation silencieuse d’extensions malveillantes en dehors du canal officiel addons.mozilla.org (AMO).

Une extension installée obtient les permissions qu’elle déclare explicitement dans son manifeste (accès au contenu des pages visitées, aux onglets, voire à l’historique de navigation selon les cas), un périmètre qu’il convient de vérifier avant d’installer une extension, y compris lorsqu’elle provient du canal officiel, la revue de sécurité de Mozilla n’étant pas infaillible.

Le nom “XPI” dérive de XPInstall (Cross-Platform Install), la technologie d’installation historique de Mozilla, retirée de Firefox 57 en novembre 2017 au profit des WebExtensions ; l’extension de fichier .xpi, elle, a survécu à cette transition.