--- title: "Ekstensi Browser Berbahaya dan Cara Mengauditnya di Kantor" description: "Ekstensi browser bisa membaca semua halaman yang dibuka karyawan. Ini cara mengaudit ekstensi di laptop kantor dan membatasinya lewat kebijakan." url: "https://nivelva.com/insight/ekstensi-browser-berbahaya-cara-mengauditnya-kantor" category: "Keamanan/Cyber Security" tags: ["ekstensi browser","chrome","edge","audit keamanan","kebijakan it"] author: "Lucas Tan" published: "2026-11-11T11:53:00+07:00" updated: "2026-11-11T11:53:00+07:00" language: "id" publisher: "Nivelva (https://nivelva.com)" --- # Ekstensi Browser Berbahaya dan Cara Mengauditnya di Kantor > **Jawaban singkat:** Ekstensi browser dengan izin luas bisa membaca dan mengubah isi halaman, termasuk email dan panel admin. Audit dengan mendata ekstensi di setiap browser, menilai izinnya, mencabut yang tidak perlu, lalu menerapkan daftar izin (allowlist) lewat kebijakan Chrome atau Edge. Sudah tahu ekstensi apa saja yang terpasang di browser karyawanmu? Kebanyakan kantor tidak tahu, padahal ekstensi adalah salah satu perangkat lunak dengan akses paling dalam di laptop kerja. Ekstensi dengan izin "membaca dan mengubah semua data di situs web yang kamu kunjungi" bisa melihat isi email, dasbor bank, panel admin website, sampai data pelanggan di aplikasi web. Kabar baiknya, mengaudit ekstensi tidak butuh alat mahal. Chrome dan Edge punya halaman bawaan untuk melihat ekstensi dan izinnya, serta kebijakan resmi untuk membatasi apa yang boleh dipasang. Panduan ini membahas langkahnya dari kantor kecil tanpa sistem manajemen perangkat sampai yang sudah punya. ## Kenapa ekstensi bisa berbahaya? Ekstensi berbahaya tidak selalu masuk sebagai malware yang jelas. Beberapa jalur yang sering terjadi: - **Ekstensi yang sejak awal berniat jahat**, menyamar sebagai pengunduh video, penerjemah, pemblokir iklan, atau alat AI. - **Ekstensi sah yang berpindah tangan.** Pengembang menjual ekstensinya, lalu pemilik baru menambahkan kode pelacak atau iklan lewat update. - **Akun pengembang yang dibobol.** Penyerang menerbitkan versi berbahaya dari ekstensi populer, dan browser memperbaruinya otomatis di semua komputer. - **Ekstensi lama yang terbengkalai**, tidak lagi diperbarui dan memakai pustaka yang punya celah. Karena update ekstensi berjalan otomatis, ekstensi yang aman hari ini belum tentu aman bulan depan. Itu sebabnya audit perlu rutin, bukan sekali jalan. Bahaya serupa juga datang dari malware pencuri data browser, yang dibahas di [infostealer, malware pencuri password dari browser](https://nivelva.com/insight/infostealer-malware-pencuri-password-browser). ## Bagaimana cara mengaudit ekstensi di kantor? ### 1. Data ekstensi di setiap browser Untuk kantor kecil, cara paling sederhana adalah memeriksa satu per satu. Di Chrome buka `chrome://extensions`, di Edge buka `edge://extensions`. Aktifkan **Developer mode** (Mode pengembang) agar ID ekstensi tampil. Catat nama, ID, dan versinya ke spreadsheet. Jangan lupa semua profil browser di laptop yang sama, dan semua browser yang terpasang. Karyawan yang memakai Chrome dan Edge sekaligus punya dua daftar ekstensi berbeda. Kalau kantormu memakai Chrome Enterprise Core atau Microsoft Intune, daftar ekstensi dari semua perangkat bisa dilihat terpusat dari konsol admin, sehingga langkah ini jauh lebih cepat. ### 2. Nilai izin setiap ekstensi Klik **Details** (Detail) pada setiap ekstensi untuk melihat izin dan akses situsnya. Fokus pada tiga hal: - **Akses situs.** "Di semua situs" adalah izin paling berisiko. Ekstensi yang hanya perlu bekerja di satu situs sebaiknya dibatasi ke situs itu atau ke "Saat diklik". - **Kesesuaian fungsi.** Ekstensi pengubah warna yang meminta akses ke semua situs dan clipboard patut dipertanyakan. - **Penerbit dan pembaruan.** Cek halaman ekstensi di toko resminya: siapa penerbitnya, kapan terakhir diperbarui, dan apakah ada keluhan baru soal perilaku aneh. ### 3. Kelompokkan hasilnya Bagi semua ekstensi ke tiga kelompok: dibutuhkan untuk kerja dan izinnya wajar, dibutuhkan tapi izinnya perlu dibatasi, dan tidak dibutuhkan. Ekstensi tanpa pemilik jelas ("tidak tahu siapa yang memasang") masuk kelompok ketiga. ### 4. Cabut yang tidak perlu Hapus ekstensi di kelompok ketiga. Untuk ekstensi yang dicurigai pernah berperilaku jahat, jangan berhenti di penghapusan: ganti password akun yang dibuka di browser itu dan keluarkan sesi aktifnya, karena ekstensi bisa saja sudah mengirim cookie sesi keluar. ### 5. Terapkan daftar izin lewat kebijakan Langkah ini yang membuat audit bertahan lama. Chrome dan Edge mendukung kebijakan resmi untuk ekstensi: - `ExtensionInstallBlocklist` dengan nilai `*` memblokir semua ekstensi secara bawaan. - `ExtensionInstallAllowlist` berisi daftar ID ekstensi yang tetap diizinkan. - `ExtensionInstallForcelist` memasang ekstensi wajib secara otomatis, misalnya password manager kantor. - `ExtensionSettings` untuk pengaturan lebih rinci, seperti membatasi situs yang boleh diakses sebuah ekstensi. Di Windows, kebijakan bisa dipasang lewat Group Policy dengan template administratif Chrome atau Edge, atau lewat Intune. Di Linux, Chrome membaca kebijakan dari file JSON di `/etc/opt/chrome/policies/managed/`. Contoh isi file sederhana: ```json { "ExtensionInstallBlocklist": ["*"], "ExtensionInstallAllowlist": [ "ID-ekstensi-password-manager", "ID-ekstensi-lain-yang-disetujui" ] } ``` Setelah dipasang, buka `chrome://policy` atau `edge://policy` untuk memastikan kebijakan terbaca. Ekstensi yang tidak ada di daftar izin akan dinonaktifkan. > **Uji dulu di beberapa laptop:** > > Memblokir semua ekstensi sekaligus bisa mematikan alat yang ternyata dipakai tim tertentu. Terapkan dulu di beberapa laptop, kumpulkan permintaan, lalu perluas ke semua perangkat dengan daftar izin yang sudah lengkap. ### 6. Jadwalkan audit ulang Ulangi audit secara berkala, misalnya tiap kuartal, dan setiap kali ada karyawan baru. Sediakan jalur permintaan yang jelas: karyawan yang butuh ekstensi baru mengajukan ke admin, yang lalu menilai izinnya sebelum menambahkannya ke daftar. Tanpa jalur ini, karyawan akan mencari jalan pintas, misalnya memakai browser lain yang tidak diatur. Fenomena ini dibahas di [shadow IT](https://nivelva.com/insight/shadow-it-bahaya-aplikasi-liar-dipakai-karyawan). ## Ringkasan tingkat risiko izin | Izin atau akses | Risiko | Sikap yang disarankan | |:--|:--|:--| | Membaca dan mengubah data di semua situs | Tinggi | Hanya untuk ekstensi tepercaya yang memang perlu | | Akses ke situs tertentu saja | Sedang | Wajar bila sesuai fungsi | | Membaca riwayat penelusuran | Tinggi | Pertanyakan alasannya | | Membaca dan mengubah clipboard | Sedang sampai tinggi | Batasi, terutama di perangkat keuangan | | Mengelola unduhan | Sedang | Wajar untuk pengelola unduhan resmi | | Tanpa akses situs khusus | Rendah | Tetap catat dan pantau | Ekstensi juga menjadi alasan tambahan untuk tidak menyimpan password di browser, seperti dijelaskan di [kenapa menyimpan password di browser berisiko](https://nivelva.com/insight/menyimpan-password-browser-berisiko-bagi-kantor). ## Pertanyaan yang sering diajukan ### Apakah ekstensi dari Chrome Web Store pasti aman? Tidak pasti. Toko resmi memang meninjau ekstensi, tetapi ekstensi yang lolos bisa berubah perilaku setelah update, berpindah pemilik, atau akun pengembangnya dibobol. ### Apakah ekstensi bisa mencuri password? Ekstensi dengan akses ke semua situs bisa membaca isi formulir yang kamu ketik dan cookie sesi di halaman yang dibuka. Karena itu izin akses situs adalah hal pertama yang perlu dinilai. ### Apakah kebijakan ekstensi bisa diterapkan tanpa Active Directory? Bisa. Selain Group Policy, ada Intune, Chrome Enterprise Core, atau file kebijakan lokal di Linux dan registry di Windows. Untuk kantor sangat kecil, pengaturan manual per laptop juga bisa dilakukan. ### Berapa banyak ekstensi yang wajar di laptop kantor? Tidak ada angka baku. Prinsipnya, pasang hanya ekstensi yang dibutuhkan untuk pekerjaan dan yang izinnya sudah dinilai. ### Bagaimana dengan Firefox? Firefox juga mendukung kebijakan perusahaan untuk mengatur ekstensi, lewat file policies.json atau Group Policy. Nama dan format pengaturannya berbeda dari Chrome, jadi rujuk dokumentasi kebijakan Firefox. Checklist audit ekstensi: - Semua browser dan profil di setiap laptop sudah didata. - Izin akses situs tiap ekstensi sudah dinilai. - Ekstensi tanpa pemilik dan tanpa kebutuhan sudah dihapus. - Kebijakan blocklist dan allowlist terpasang dan terbaca di halaman policy. - Jadwal audit ulang dan jalur permintaan ekstensi baru sudah ditetapkan. ## Sumber - - - --- Diterbitkan oleh Nivelva Insight (https://nivelva.com/insight/). Artikel ini: https://nivelva.com/insight/ekstensi-browser-berbahaya-cara-mengauditnya-kantor Kontak Nivelva: WhatsApp https://wa.me/6285111245007, email hello@nivelva.com