Manifest V3: el riesgo de seguridad empresarial que tu empresa nunca votó
El navegador que tu organización ha estandarizado toma sus decisiones de capacidades desde la cuenta de resultados de una empresa publicitaria. El despliegue de Manifest V3 es el recibo.
El navegador que tu organización ha estandarizado toma sus decisiones de capacidades desde una empresa de publicidad. La mayoría de los equipos corporativos usan alguna variante de Chromium, y quien marca el rumbo de Chromium es Google, cuyos ingresos dependen abrumadoramente de la publicidad. Cuando Google rediseña lo que una extensión puede hacer, todos los navegadores construidos sobre ese motor heredan el cambio. Ese es el mecanismo detrás del riesgo de seguridad empresarial que supone Manifest V3, y prácticamente nadie en tu organización firmó una solicitud de cambio para aceptarlo.
Manifest V3 es la plataforma de extensiones que sustituye a las APIs sobre las que se construyeron los bloqueadores de contenido. La baja concreta es la versión bloqueante de webRequest, que permitía a una extensión recibir cada petición de red en tiempo real, inspeccionarla y cancelarla o redirigirla antes de que se ejecutara. Manifest V3 elimina ese comportamiento bloqueante y remite a los desarrolladores a declarativeNetRequest, donde la extensión declara de antemano una tabla fija de reglas y es el propio navegador quien las aplica, sin pasar la petición por el código de la extensión. El cambio tiene un coste medible. Chrome garantiza 30.000 reglas estáticas activas, ahora permite hasta 330.000 reglas estáticas repartidas entre los conjuntos de reglas de una extensión, y admite 30.000 reglas dinámicas, de las cuales solo 5.000 pueden usar las acciones «unsafe», más expresivas, según la referencia oficial de declarativeNetRequest de Chrome. Suena generoso hasta que lo comparas con un conjunto de filtros real: las listas por defecto de uBlock Origin superan con holgura los 100.000 filtros de red y cosméticos, y se actualizan varias veces al día, mientras que una lista de reglas estática viaja congelada dentro de la extensión y solo cambia cuando la Web Store aprueba una nueva versión.
El propio calendario de retirada de Chrome escalona el final de Manifest V2, desde los canales previos a estable a mediados de 2024 hasta llegar a los usuarios finales, y fija que la política empresarial que permitía a los administradores reactivar extensiones Manifest V2 (ExtensionManifestV2Availability) deje de funcionar en junio de 2025. Toma esas fechas como publicadas y sujetas a nuevos retrasos de Google, porque el calendario ya se ha movido más de una vez.
¿Debilita realmente Manifest V3 la seguridad de la empresa?
El instinto es archivar el bloqueo de anuncios en la carpeta de «comodidad del empleado». Eso malinterpreta lo que hace ese control. Un bloqueador de contenido serio es un filtro de red que corre en el propio equipo, y el tráfico que detiene no es solo publicidad: es malvertising y balizas de rastreo, parte de la superficie de ataque de tipo drive-by que llega al navegador antes de que el proxy corporativo pueda opinar. El centro de denuncias de ciberdelincuencia del FBI (IC3) ha recomendado usar una extensión de bloqueo de anuncios como defensa frente a delincuentes que compran anuncios en buscadores suplantando marcas conocidas para distribuir malware y páginas de phishing de credenciales.
Entonces, ¿qué protección concreta recorta Manifest V3? No el bloqueo masivo por lista estática: una lista grande y predefinida de dominios de anuncios y rastreadores cabe dentro de los nuevos límites, y el margen de reglas dinámicas absorbe los ajustes del usuario y las incorporaciones frecuentes. Las pérdidas son otras, muy concretas. Al desaparecer el webRequest bloqueante, una extensión ya no puede tomar una decisión en tiempo real a partir del contexto de la página. Con él se va también el desenmascaramiento de CNAME: uBlock Origin identifica rastreadores que se esconden tras un subdominio propio del sitio resolviendo el registro DNS y bloqueando según el resultado, y Chrome no expone ni el gancho de bloqueo ni la resolución DNS necesarios para hacerlo, así que los rastreadores camuflados como primera parte pasan sin filtro. El filtrado del cuerpo de la respuesta, la función de uBlock Origin que elimina scripts y elementos incrustados del propio flujo de respuesta, no tiene equivalente en Chrome porque la API que lo permite (filterResponseData) es exclusiva de Firefox. Y como las listas estáticas solo se actualizan pasando por la revisión de la Web Store, la mayoría de filtros, que cambian con rapidez, van por detrás de las listas que un bloqueador en tiempo real recarga varias veces al día. uBlock Origin Lite, la versión adaptada a Manifest V3, es honesta sobre el trueque: cambia la matriz de filtrado dinámico por sitio por unos pocos niveles de confianza, muy generales.
La dependencia era implícita, y eso es lo que la hace peligrosa. Nadie incluyó el bloqueador de contenido en la matriz de controles junto al agente EDR, así que cuando esa capacidad se degrada, ningún indicador se pone en rojo. Las defensas simplemente se adelgazan en equipos que creías completamente cubiertos.
¿Por qué tu proveedor de navegador no puede simplemente negarse?
Porque separarse del motor compartido cuesta dinero, y ese coste se acumula. Mantener una plataforma de extensiones heredada sobre un proyecto ascendente que sigue avanzando implica parchear contra un código que va borrando activamente la superficie de la que dependes, y cada nueva versión de Chromium amplía la brecha. Por eso las salidas de emergencia actuales están redactadas con tanto cuidado. Computerworld informa de que Brave mantendrá activas ciertas extensiones Manifest V2 relacionadas con la privacidad mientras pueda, y Vivaldi planea conservarlas mientras sigan disponibles en Chromium. Son contingencias, no compromisos: tanto «mientras pueda» como «mientras sigan disponibles en Chromium» dependen de una decisión que se toma más arriba.
Hay una excepción genuina, y confirma la regla precisamente por quedar fuera del monocultivo. Firefox usa una arquitectura de extensiones distinta. Mozilla ha declarado que su implementación se aparta deliberadamente de Chrome al mantener el webRequest bloqueante, no tiene planes de retirar Manifest V2 y seguirá dando soporte a esas extensiones en el futuro previsible. La capacidad sobrevive precisamente donde el motor no es de Google.
¿Por qué Edge ha completado una migración que antes calificaba de opcional?
En 2022, Microsoft dijo a los desarrolladores que Edge Add-ons seguiría un calendario propio para Manifest V3, teniendo en cuenta el de Chromium y las opiniones de los desarrolladores. Discreción, por escrito. Su comunicado de agosto de 2026 suena distinto. Según ese anuncio, Edge desactivará Manifest V2 por fases en los canales Canary, Dev y Beta antes de llegar a Stable, con la desactivación para usuarios particulares prevista para finales de 2026 y el fin del soporte empresarial a partir de principios de 2027. Son fechas publicadas por Microsoft, en el calendario de Microsoft.
Una compañía con ingresos multimillonarios y tienda propia, que se había reservado explícitamente el derecho a diferenciarse, completa igualmente la migración. Si el proveedor mejor situado para apartarse del rebaño decide no hacerlo, es que la compatibilidad con el motor de referencia pesa hoy más en la hoja de ruta que la protección del usuario.
Qué debería hacer un equipo de estrategia técnica al respecto
Trátalo como una cuestión de dependencia de plataforma. Si el bloqueo de contenido en el navegador está haciendo trabajo de seguridad en tu parque de equipos, inclúyelo en el inventario de controles, para que la pérdida del desenmascaramiento de CNAME o una lista de reglas congelada se registre como una brecha real y no como un encogimiento de hombros cuando ya se ha degradado. Calcula el coste real del plan de reserva, porque «mientras pueda» es una fecha de caducidad que controla otro. Y decide de forma deliberada dónde merece la pena pagar el sobrecoste de la diversidad arquitectónica, porque el único navegador que conserva el webRequest bloqueante y el filtrado del cuerpo de la respuesta es precisamente el que se salió del monocultivo. Es la misma disciplina que aplicamos en nuestros proyectos de estrategia técnica y en la cuestión más amplia de la dependencia de plataforma.
Nada de esto exige creer que Google diseñó Manifest V3 para perjudicar a tu equipo de seguridad, y la propia compañía presenta el cambio como una mejora de seguridad y rendimiento. El punto es estructural, no una cuestión de intenciones. Cuando estandarizas sobre un motor compartido, cedes parte de tu política de seguridad de equipos a quien lo mantiene, y ese mantenedor responde primero ante su propia cuenta de resultados. Tú heredas los compromisos que se deriven de ahí, te apunten a ti o no.
Preguntas frecuentes
¿uBlock Origin seguirá funcionando tras la migración a Manifest V3?
La versión completa depende del webRequest bloqueante, que Manifest V3 elimina, así que no se traslada intacta. La versión reducida, uBlock Origin Lite, funciona mediante declarativeNetRequest, filtrando contra una lista de reglas predefinida en lugar de inspeccionar cada petición por código. Considéralo un cambio de modelo de filtrado, no una sustitución equivalente: el desenmascaramiento de CNAME y el filtrado del cuerpo de la respuesta no vienen incluidos.
¿Es Firefox una alternativa segura para las extensiones de bloqueo de contenido?
Mozilla se ha comprometido a mantener el webRequest bloqueante y a dar soporte a las extensiones Manifest V2 en el futuro previsible, porque Firefox usa un motor y una arquitectura distintos. Eso lo convierte hoy en la excepción, aunque apostarlo todo a un único proveedor merece también su propio plan de contingencia.
¿Deberían las empresas retrasar su despliegue de Manifest V3 para ganar tiempo?
Retrasarlo compra semanas, no una estrategia. Las alternativas dentro de Chromium se declaran temporales desde el principio, así que lo útil es documentar si el bloqueo de contenido del navegador está haciendo trabajo de seguridad en tu parque de equipos y planificar el cambio de esa capacidad, en lugar de dar por hecho que un navegador de reserva seguirá disponible indefinidamente.
Relacionado
- En Ubuntu 26.04 LTS, el coreutils del que depende tu build ya no es de GNU
- La prima de la soberanía: por qué las soluciones de IA soberana para empresas ganan por acceso, no por velocidad
- Los pleitos por secretos comerciales se ganan años antes de que nadie dimita. Que se lo pregunten a Faccenda Chicken.
- Security & Trust
Escrito por una persona editorial de IA del sistema editorial propietario de Abyshire y revisado por nuestro equipo.