Установка расширений вне магазинов Chrome и Firefox

Интерфейс страницы расширений в браузере с опцией режима разработчика и кнопкой загрузки распакованного расширения

Быстрые ссылки

Google Chrome
Mozilla Firefox
Попробовать пользовательские скрипты

Ключевые определения

CRX — формат установочного файла расширения для Chromium/Chrome. Краткое определение: упакованный набор файлов расширения.
XPI — формат установочного файла дополнения Firefox. Краткое определение: упакованное дополнение для Mozilla.
Распакованное расширение — папка с файлами расширения (manifest.json, скрипты, ресурсы), которую браузер может загрузить для тестирования.

Важно: эти инструкции рассчитаны на опытных пользователей и разработчиков. Если расширение создано не вами, убедитесь в его безопасности прежде чем устанавливать.

Google Chrome

Google Chrome по умолчанию разрешает установку расширений только из Chrome Web Store. На Windows и macOS эта политика строго применяется — браузер блокирует установку .crx-файлов из произвольных мест.

Что можно сделать:

Загрузка распакованного расширения (для разработчиков)

Откройте страницу расширений: нажмите меню → Дополнительные инструменты → Расширения.
Включите “Режим разработчика” (Developer mode).
Нажмите кнопку “Загрузить распакованное расширение” и укажите папку с файлами расширения.

Эта процедура полезна при разработке и тестировании. Chrome будет показывать предупреждение о распакованных расширениях при каждом запуске — это мера безопасности, чтобы затруднить использование режима разработчика вредоносным ПО.

Страница расширений Chrome с включенным режимом разработчика и кнопкой загрузки распакованного расширения

Установка через .CRX

На Windows и macOS браузер блокирует прямое перетаскивание .crx на страницу расширений.
На Linux и Chrome OS подобного ограничение может отсутствовать: достаточно перетащить .crx на страницу расширений и подтвердить установку.

Альтернативы для установки вне магазина

Установите Opera: это браузер на базе Chromium, который позволяет перетаскивать .CRX на страницу расширений и устанавливать расширения из внешних источников. Opera предупреждает, что расширение установлено извне официального магазина и просит подтвердить установку.

Страница расширений Opera с подтверждением установки внешнего расширения

Корпоративная установка: в организациях можно развернуть расширения через групповые политики (Group Policy) на компьютерах в домене Windows. Это легитимный путь для централизованной установки, но он требует административной инфраструктуры.
Chromium: чистый Chromium (открытый проект) имеет похожие ограничения в сборках; простая замена Chrome на Chromium не всегда решает проблему.

Когда не стоит пытаться обойти ограничения:

Если расширение не из проверенного источника.
Если вы не понимаете, какие разрешения запрашивает расширение.

Mozilla Firefox

Mozilla не ограничивает список источников установок так строго, но требует подписи дополнений. То есть браузер разрешит установку только тех XPI, которые подписаны Mozilla. Это введено для защиты пользователей от вредоносных дополнений (начиная с Firefox 44).

Способы установки неподписанных дополнений

Firefox Developer Edition — специальная сборка, которая допускает установку неподписанных дополнений после изменения настроек.
Firefox Nightly — тестовая, нестабильная сборка, также допускает неподписанные дополнения.
Специальные “unbranded” сборки стабильной и бета-веток — сборки без логотипа Firefox, которые позволяют отключать проверку подписи.

После установки одной из специальных сборок нужно изменить настройку:

В адресной строке введите about:config и нажмите Enter.
В поле поиска введите xpinstall.signatures.required.
Дважды щелкните параметр, чтобы установить значение false.

Пример (последовательность действий):

Откройте about:config
Найдите “xpinstall.signatures.required”
Установите значение в False

Диалог about:config в Firefox с настройкой подписи дополнений

ESR и другие варианты

Extended Support Release (ESR) долгое время не требовал подписи, но со временем эта политика может применяться и к ESR. Не рассчитывайте на ESR как на долгосрочное решение для обхода подписей.
В качестве альтернативы можно использовать браузеры на основе кода Firefox, если они не применяют строгую проверку подписи. Внимательно проверяйте сборки и источники.

Иллюстрация менеджера дополнений Firefox

Попробуйте пользовательские скрипты

Если вам нужно внести небольшие изменения на сайте (убрать рекламу, автоматизировать задачу, изменить стиль), рассмотрите пользовательские скрипты вместо полного расширения.

Для Chrome: Tampermonkey.
Для Firefox: GreaseMonkey или Tampermonkey.

Пользовательские скрипты — это небольшие фрагменты JavaScript, которые запускаются автоматически на выбранных страницах. Их удобно писать и быстро тестировать. Скрипты не проходят модерацию магазинов и устанавливаются напрямую.

Опасности и правила безопасности:

Пользовательские скрипты имеют доступ к страницам, на которых они выполняются. Они могут перехватывать формы, куки и запросы.
Устанавливайте скрипты только из проверенных источников или пишите их самостоятельно.

Руководство по безопасной проверке расширения (чеклист)

Перед установкой расширения вне официального магазина пройдите чеклист:

Проверить исходный код (если доступен).
Сверить список запрашиваемых разрешений с функциональностью.
Проверить репутацию автора (GitHub, веб-сайт, профиль).
Тестировать в отдельном профиле браузера или виртуальной машине.
Отключать и удалять расширение при малейшем подозрении.

Когда обходные пути не работают (контрпримеры)

На компьютере, подключённом к корпоративному AD с политиками безопасности, локальные ограничения могут блокировать установку даже при использовании Developer или Nightly.
На macOS и Windows Chrome может принудительно блокировать установку .crx вне Web Store, даже если вы переключились на другую канал-сборку.
Если расширение использует компоненты нативной интеграции (native messaging), простая установка скрипта не заменит полноценное расширение.

Методология тестирования собственного расширения (мини-метод)

Разработка: держите структуру в git, используйте manifest.json и ясные разрешения.
Локальный тест: загрузите распакованное расширение в режиме разработчика.
Инструменты: используйте консоль расширений, network-лог и debugger для проверки.
Пакетирование: создайте CRX только для финальной сборки; тестируйте XPI в Firefox на специализированной сборке.
Релиз и проверка: осторожно распространяйте переходные версии, сопровождайте релиз заметками безопасности.

Decision flowchart (выбор подхода)

flowchart TD
  A[Нужно установить расширение из .crx/.xpi?] --> B{Вы разработчик?}
  B -- Да --> C[Загрузить распакованное расширение в режиме разработчика]
  B -- Нет --> D{Это доверенный источник?}
  D -- Да --> E{Chrome или Firefox?}
  E -- Chrome --> F[Попробовать Opera или корпоративную политику]
  E -- Firefox --> G[Использовать Developer/Nightly или unbranded сборку]
  D -- Нет --> H[Не устанавливать — риск безопасности]
  C --> I[Тестировать в отдельном профиле]
  F --> I
  G --> I
  H --> Z[Искать альтернативы: пользовательский скрипт или другой инструмент]

Роли и чеклисты

Для разработчика:

Поддерживать чистый репозиторий с инструкцией по сборке.
Указывать все используемые внешние библиотеки.
Проводить код-ревью и автотесты.

Для опытного пользователя:

Проверять разрешения перед установкой.
Тестировать расширение в отдельном профиле.
Делать резервную копию важных данных.

Для администратора (ИТ):

Управлять установкой через групповую политику.
Ограничивать установку неподписанных расширений в рабочей среде.
Предоставлять безопасный каталог утверждённых расширений.

Матрица рисков и меры смягчения

Риск	Вероятность	Влияние	Меры смягчения
Установка вредоносного расширения	Высокая	Высокое	Проверка кода, тестирование в VM, отказ от установки из непроверенных источников
Потеря данных через расширение	Средняя	Высокое	Ограничение разрешений, резервное копирование
Компрометация учётных записей	Низкая	Критическая	Двухфакторная аутентификация, мониторинг активности

Критерии приёмки (тест-кейсы)

Расширение загружается в режиме разработчика без ошибок.
Функции расширения работают на ожидаемых страницах.
Запрошенные разрешения соответствуют заявленной функциональности.
После удаления расширения нет следов выполнения в профиле.

Безопасность и конфиденциальность

Установленные извне расширения могут считывать содержимое веб-страниц и перехватывать формы.
Для чувствительных аккаунтов используйте отдельные профили браузера и включайте двухфакторную аутентификацию.
Если расширение требует доступа к вашим данным, рассмотрите альтернативы или напишите минимальный пользовательский скрипт.

Ошибки и восстановление

Если после установки расширения вы заметили подозрительную активность:

Отключите расширение и удалите его.
Проверьте списки расширений в других профилях и браузерах.
Смените пароли и проверьте активные сессии аккаунтов.
Восстановите систему из резервной копии при необходимости.

Краткое резюме

Браузеры блокируют неподписанные расширения для защиты пользователей.
Для разработки и тестирования используйте режим разработчика, специализированные сборки (Developer, Nightly) или альтернативные браузеры (Opera).
Всегда проверяйте код и разрешения, тестируйте в отдельной среде.

Важно: обходить механизмы защиты следует только при полной уверенности в безопасности расширения и наличии обоснованной причины. Для большинства пользователей официальные магазины — лучший вариант.