KalderaВы ставите фокус в поле
Скрипт страницы замечает поле входа и запрашивает у приложения учётные данные, принадлежащие этому сайту.
Продукт / Автозаполнение
Один клик — и только на том сайте, который вы имели в виду
Расширение сопоставляет сайты по регистрируемому домену, а не по строке URL, поэтому общий хостинг никогда не получает чужие учётные данные. Выпадающий список отрисовывается внутри закрытого теневого DOM, до которого страница не может добраться.
Что он делает
Сопоставление, которое не обманешь доменом-двойником
URL сводится к регистрируемому домену с помощью полного списка публичных суффиксов (Public Suffix List), встроенного в расширение как снимок с зафиксированным хешем. Имена хостов никогда не сравниваются как обычные строки, поэтому поддомен не сможет одолжить учётные данные, принадлежащие другому сайту.
Выпадающий список, генератор паролей и предупреждение о фишинге отрисовываются внутри закрытого теневого DOM, прикреплённого к странице. Собственные скрипты страницы не могут их прочитать, переписать или перекрыть, чтобы перехватить то, что вы вводите.
Расширение общается с настольным приложением через динамический петлевой порт, а кадры сообщений зашифрованы. Скопированный пароль попадает в буфер обмена по таймеру, поэтому он не лежит там бесконечно.
Как происходит сопоставление
Домен сводится
Ваш URL нормализуется до eTLD+1 с помощью встроенного списка публичных суффиксов, а затем сопоставляется с доменами, сохранёнными в хранилище.
Вы выбираете, и поле заполняется
Выпадающий список показывает только записи этого домена, а выбранная вводится в поле.
Одно приложение на компьютере и на телефоне
Расширение — это единый интерфейс к тому же локальному хранилищу, поэтому учётные данные, добавленные на компьютере, сразу доступны браузеру.
Архитектура безопасности
eTLD+1
Shadow DOM
İzinler
От чего автозаполнение вас не защищает
Автозаполнение — это удобство, а не средство контроля
Автозаполнение заполняет форму, но не решает, честен ли сайт. Расширение проверяет очевидный фишинг, сопоставляя домен с тем, что хранилище уже знает, но сайт, который выдаёт себя за домен, который вы никогда не сохраняли, будет выглядеть новым, а не знакомым. Менеджер паролей сокращает ошибки ввода и повторное использование. Он не заменяет двухфакторную аутентификацию и не поможет, когда учётные данные уже введены на страницу, которая была враждебной с самого начала.
Сопоставление по регистрируемому домену
Основано на полном списке публичных суффиксов (Public Suffix List), встроенном как снимок с зафиксированным хешем, поэтому общий хостинг обрабатывается корректно.
Закрыто и изолировано
Выпадающий список, генератор и предупреждение о фишинге отрисовываются там, где собственные скрипты страницы не могут их увидеть или изменить.
Область действия намеренно ограничена
Скрипты страницы работают только по HTTP и HTTPS, поэтому внутренние схемы браузера остаются за рамками.
Часто задаваемые вопросы
Об расширении
Нужно ли расширению подключение к интернету?
Нет. Всё, что ему нужно, находится на вашем устройстве: хранилище локально, а соединение с настольным приложением идёт через петлевой порт на вашей же машине.
Что произойдёт, если настольное приложение закрыто?
Всплывающее окно сообщает, что хранилище заблокировано, а выпадающий список не находит ни одной записи. В браузере ничего не кэшируется, поэтому закрытое приложение означает отсутствие автозаполнения.
Какие браузеры поддерживаются?
Chrome, Edge и Firefox с использованием манифеста V3. Сборка для Safari существует, но для её запуска нужна локальная обёртка.