Version 1.12.0
Rechtsklick auf das Code-Feld einer beliebigen Seite, ein Eintrag ausgewählt, Code drin. Kein Popup, kein Fensterwechsel, kein Abtippen von sechs Ziffern, bevor sie ablaufen.
Der Menüeintrag erscheint bei Textfeldern. Sonst ändert sich nichts.
Einen Code einzufügen ist das Einzige, womit diese Erweiterung eine Seite überhaupt berührt. Es lohnt sich, genau zu sein: „kann auf Websites tippen“ und „kann Websites lesen“ sind sehr verschiedene Rechte, und nur das erste wird verlangt.
Das ist kein Content Script. Auf keiner Seite, die du besuchst, existiert Code der Erweiterung. Er wird erst eingefügt, wenn du den Menüeintrag wählst, und diese Geste gewährt einen Tab, einen Aufruf, widerrufen sobald du navigierst. Danach bleibt nichts zurück.
Die Erweiterung deklariert überhaupt keine Host-Berechtigungen — die Liste steht im Chrome Web Store, vier kurze Einträge, keiner davon eine Website. Sie kann deine geöffneten Seiten nicht lesen und weiß nicht, welche Seiten du besuchst.
Sie sieht sich die Eingabefelder zu genau einem Zweck an: um zu entscheiden, welches den Code bekommt. Was sie findet, wird dort und dann benutzt und geht nirgendwo sonst hin. Dabei entsteht keine einzige Netzwerkanfrage — es gibt keinen Server, an den etwas gehen könnte.
Gibt es kein Feld, bei dem sie sicher ist, kopiert sie den Code in die Zwischenablage und sagt es, statt ihn irgendwohin zu setzen. Ist ein Feld zu kurz für den ganzen Code, lehnt sie ab: ein abgeschnittener Code sieht wie Erfolg aus und scheitert im ungünstigsten Moment.
Nichts davon musst du glauben. Der gesamte seitenseitige Teil ist eine einzige lesbare Datei, und es ist der einzige Code, der je in einer Seite läuft: auf GitHub ansehen.
Die vollständige technische Änderungsliste steht auf GitHub: Release Notes.