Strengere handhaving van zakelijk beleid voor chrome.debugger in Chrome 155

Gepubliceerd: 8 september 2026, Laatst geüpdatet: 4 november 2026

Vanaf Chrome 155 updatet Chrome hoe beperkingen van zakelijk beleid worden toegepast op extensies die de chrome.debugger API gebruiken.

Deze wijziging heeft alleen invloed op extensies die worden uitgevoerd in beheerde browsers waarvoor een beheerder expliciet runtime_blocked_hosts, DisableScreenshots of regels voor gegevensverlies voorkomen (Data Loss Prevention, DLP) heeft ingesteld.

Als een extensie wordt uitgevoerd in een onbeheerde browser of in een bedrijfsomgeving zonder deze specifieke beleidsbeperkingen, blijft chrome.debugger normaal werken zonder wijzigingen.

Tijdlijn en uitrol

  • Chrome 155 Bèta: 16 september 2026
  • Uitrol van Chrome 155 Stable: 6 oktober 2026
  • Terugdraaien: 3 november 2026

Belangrijke wijzigingen in Chrome 155

De volgende wijzigingen zijn alleen van invloed op zakelijk beheerde browsers:

  • Hostbeperkingen: Als een bedrijfsbeleid (ExtensionSettings) een niet-lege lijst met geblokkeerde hosts (runtime_blocked_hosts) instelt voor een extensie, wordt chrome.debugger.attach() geweigerd voor alle doelen met:

    "Host access is restricted by policy."

    Dit is zelfs het geval als specifieke herkomsten zijn opgenomen in runtime_allowed_hosts.

  • Beperkingen voor screenshots en DLP: Als het maken van screenshots is uitgezet door een bedrijfsbeleid (DisableScreenshots of regels voor gegevensverlies voorkomen (Data Loss Prevention, DLP)), mislukt chrome.debugger.attach() met:

    "Screenshot capture is restricted by policy."

Persoonlijke profielen en onbeheerde omgevingen hebben nog steeds onbeperkte toegang tot chrome.debugger, net als voorheen.

De chrome.debugger API verleent directe toegang tot het Chrome DevTools-protocol (CDP) voor krachtige mogelijkheden, waaronder willekeurige scriptevaluatie en netwerkonderschepping. Omdat CDP onder het oorsprongsmodel van het webplatform werkt, kan filtering op basis van oorsprong het niet beveiligd beperken. Chrome 155 lost dit op met een alles-of-niets-model, waarbij bedrijfsbeleid vooraf wordt gevalideerd bij elke chrome.debugger.attach()-aanroep.

Afwijzingen van bijlagen correct afhandelen

Verwerk afwijzingen van bijlagen altijd in je extensiecode om duidelijke feedback te geven aan zakelijke gebruikers:

// Promise-based (Manifest V3)
try {
  await chrome.debugger.attach({ tabId }, "1.3");
} catch (error) {
  if (error.message.includes("Host access is restricted by policy")) {
    console.warn("Debugger attach blocked: Extension has host restrictions configured by enterprise policy.");
  } else if (error.message.includes("Screenshot capture is restricted by policy")) {
    console.warn("Debugger attach blocked: Screenshots or DLP restrictions are enforced by enterprise policy.");
  } else {
    console.warn("Debugger attach failed:", error.message);
  }
}

// Callback-based
chrome.debugger.attach({ tabId }, "1.3", () => {
  if (chrome.runtime.lastError) {
    console.warn("Debugger attach failed:", chrome.runtime.lastError.message);
  }
});

Overweeg alternatieve API's op hoog niveau

Als je extensie geen directe CDP-toegang vereist, kun je overwegen te migreren naar extensie-API's op een hoger niveau die gedetailleerde hostrechten ondersteunen en werken naast toelatingslijsten en blokkeerlijsten voor zakelijke hosts:

Richtlijnen voor bedrijfsbeheerders

Update (4 november 2026): De beleidshandhaving van Chrome 155 is teruggedraaid via een update van de configuratie aan de serverzijde. Chrome downloadt deze automatisch en past deze toe na een herstart. Als je de handhaving wilt uitzetten zonder op deze update te wachten, start je Chrome met de opdrachtregelflag --disable-features=ExtensionDebuggerStrictPolicyRestrictions.

Totdat de rollback van kracht wordt, is de volgende richtlijn nog steeds van toepassing.

Enterprise-beheerders die extensiebeleid beheren, moeten weten dat extensies waarvoor het recht debugger is vereist, niet werken met gedeeltelijke hostbeperkingen (runtime_blocked_hosts). Als een extensie chrome.debugger nodig heeft, mogen er geen geblokkeerde hosts zijn ingesteld in ExtensionSettings.

Als het maken van screenshots is uitgezet via DisableScreenshots of regels voor gegevensverlies voorkomen (Data Loss Prevention, DLP), mislukt chrome.debugger.attach().

Organisaties die blokkeerlijsten voor hosts of screenshotbeperkingen vereisen, moeten nagaan of hun interne of goedgekeurde extensies kunnen worden gemigreerd naar API's op een hoger niveau, zoals chrome.scripting of chrome.declarativeNetRequest.

Feedback delen

Ga naar de chrome.debugger API-documentatie voor meer informatie. Als je vragen of feedback hebt, neem je contact op via de Google-groep Chromium-extensies.