Como saber se uma extensão do editor de código é segura

Extensões rodam no seu computador, com acesso a arquivos e comandos. Um checklist de sete passos antes de instalar.

Extensões de editores como VS Code e similares não são simples temas: elas podem ler arquivos do projeto, executar comandos e acessar a rede. Por isso, uma extensão falsa ou comprometida pode roubar chaves, tokens e dados do seu computador. Este checklist reduz o risco.

1. Confira o publicador

Veja o nome exato de quem publica e se há selo de publicador verificado, quando a loja oferece. Desconfie de nomes quase idênticos aos de ferramentas conhecidas, uma técnica chamada typosquatting, e de extensões que dizem ser "oficiais" mas vêm de um publicador desconhecido.

2. Olhe a idade e as instalações

Uma extensão criada há poucos dias, com muitas instalações de repente ou com avaliações genéricas e repetidas, merece cuidado. Compare com a extensão oficial da mesma ferramenta.

3. Procure o repositório

Abra o link do código-fonte na página da extensão e confira se leva a um projeto real, com histórico de alterações e atividade. Ausência de repositório é um sinal de alerta.

4. Pergunte: ela precisa disso?

Um tema ou corretor de formatação não deveria precisar de acesso à rede ou de executar programas. Se o que ela faz não combina com o que ela pede, não instale.

5. Instale pela fonte oficial

Vá direto à loja de extensões da própria ferramenta, e não por links de anúncios, e-mails ou publicações em redes sociais.

6. Proteja seus segredos

Use chaves SSH com senha (passphrase), tokens com permissão mínima e não deixe segredos soltos em variáveis de ambiente ou arquivos do projeto.

7. Se instalou algo suspeito

Desinstale a extensão, revogue e troque chaves e tokens que estavam no computador e procure por chaves SSH desconhecidas na lista de chaves autorizadas. Apenas desinstalar pode não bastar, porque a extensão pode ter deixado acesso aberto.