Emoji Picker

Ce qu’il demande

• StockageConserve ses propres réglages et données sur votre ordinateur.
• DialoguesAffiche ses propres dialogues, avis et notifications éphémères.
• Aucun réseauPromet de ne contacter aucun serveur. L’app analyse le code et refuse le fichier s’il appelle fetch, XMLHttpRequest, WebSocket, EventSource ou sendBeacon.

Les autorisations sont une déclaration et un garde-fou, pas un bac à sable. Elles limitent ce que l’API wayBetter confie à ce plugin ; un plugin reste du JavaScript dans la page, avec l’accès de la page elle-même. C’est le code ci-dessous qui s’exécute réellement.

Le code

Ouvrez le fichier brut pour le lire.

Comment se passe l’installation, et est-ce sûr ?

1. Un lien, pas un installateur. « Installer dans wayBetter » est un lien waybetter://. Il ouvre l’app et propose ce plugin. Une page web ne peut rien installer, et un onglet dans l’app non plus.
2. L’app vérifie le fichier. Elle télécharge le fichier elle-même, vérifie la signature Ed25519 du catalogue de la Boutique avec la clé compilée dans l’app, puis la taille et le SHA-256 de ce fichier par rapport au catalogue.
3. Vous lisez, puis vous confirmez. L’écran d’installation affiche le nom, l’auteur, la version, la source, le SHA-256, les autorisations déclarées, ce qu’une analyse du code a trouvé, et le code. Rien n’est écrit tant que vous n’appuyez pas sur Installer.

Ce que cela ne promet pas : un plugin tourne dans la page avec l’accès de la page elle-même, et une analyse ne voit pas à travers du code minifié ou obscurci. Installez ce à quoi vous feriez confiance comme extension de navigateur. Tout ce qui figure dans le catalogue signé est garanti par la clé de la Boutique, conservée hors ligne.