Sytuacja ta nie powinna dziwić, bo Mozilla o zmianach informowała jeszcze w lutym. Zmiany w zarządzaniu rozszerzeniami są oczywiście podyktowane bezpieczeństwem internautów. Fundacja chce się zająć problemem niechcianych dodatków w przeglądarce, które zostały zainstalowane przypadkowo lub bez wiedzy użytkownika. Rozwiązanie jest bardzo proste – rozszerzenia będą sprawdzane i po zatwierdzeniu podpisywane, a do użytkowników trafią tylko te bezpieczne. Jest to więc model tzw. „białej listy”, gdzie dopuszcza się pewne elementy, a wszystkie inne z definicji odrzuca.
Aby ułatwić użytkownikom życie, sprawdzone dodatki umieszczone w centralnej bazie AMO zostały już podpisane. Zmiany będą następowały stopniowo. Aktualny Firefox 40 jedynie informuje o ryzyku związanym z instalacją niepodpisanych rozszerzeń. Wersja 41 już nam na to nie pozwoli, choć nadal będziemy mogli wymusić to przez zmianę ustawień zaawansowanych – w tym celu należy przejść na stronę about:config, wyszukać ustawienie xpinstall.signatures.required a następnie przestawić je na wartość false. Rewolucją ma być natomiast edycja 42: gdy trafia ona do kanału beta a później stabilnego, nie będzie pozwalała na korzystanie z niepodpisywanych rozszerzeń, nie znajdziemy tu także opcji do wymuszania instalacji tego typu dodatków.
Co z użytkownikami, którzy nie będą chcieli korzystać z tego typu zabezpieczenia? Osoby takie powinny według Mozilli korzystać z Firefoksa w wersji Developer, lub wydań nocnych, bo edycje te pozwolą na wyłączenie sprawdzania podpisów. Innym wyjściem jest także skorzystanie z innej przeglądarki – na razie nie ma planów na wdrożenie takiej opcji w np. SeaMonkey czy Pale Moon, o rozszerzenia mogą być także spokojni użytkownicy klienta pocztowego Thunderbird. Sprawdzaniu podlegają ponadto jedynie rozszerzenia. Paczki językowe i motywy zmieniające wygląd przeglądarki nie będą w ten sposób weryfikowane.
Krok ten nie oznacza, że Mozilla wymusza na twórcach dodatków korzystanie z ich oficjalnej bazy – te mogą być podpisywane i bez tego, autor musi jednak założyć konto w AMO, zgłosić je do sprawdzenia i zaznaczyć, że nie chce, aby były publikowane. Fundacja zaznacza, że nie będzie blokować rozszerzeń ze względu na np. cenzurę lub kwestie prawne. Podpisywanie i weryfikacja ma służyć jedynie wyeliminowaniu problemu szkodliwych dodatków. Wciąż brakuje dokładnych informacji związanych z prywatnymi tworami przeznaczonymi do np. użytku w przedsiębiorstwach. Firefox ESR z długoterminowym wsparciem nie będzie weryfikował rozszerzeń przynajmniej do 2016 roku, więc wciąż jest jeszcze czas na uregulowanie tej kwestii.
Nie wiadomo, jak bardzo decyzje te uderzą w niektóre dodatki: na wersjach nocnych bez modyfikacji ustawień zaawansowanych przeglądarki nie skorzystamy już z najnowszych wydań np. LastPass, HTTPS Everywhere czy uBlock instalowanego bezpośrednio z GitHub. Autorzy mają jednak jeszcze nieco czasu, do zgłoszenia swoich rozszerzeń. Sam cel jest szczytny – przypominamy natomiast, że podobnie postąpiło Google, które nie pozwala na instalację rozszerzeń spoza oficjalnego sklepu bez uruchamiania trybu programistycznego. Tam ograniczenia są więc jeszcze większe niż w przypadku Mozilli.
