SECURITY REVIEW / 2026-11-09 / v1.0.0
セキュリティ確認書
公開用ソース一式について、権限・外部通信・ダウンロード処理・コード実行・保存データなどを静的検査した結果です。「リスクゼロ」を保証する書類ではなく、検査範囲と限界を明示した確認書です。
静的監査の範囲では、要求されていない外部通信・自動ダウンロード・他サイトへの注入を行うコードは検出されませんでした。
検査した項目
| 項目 | 検査結果 | 根拠・仕様 |
|---|---|---|
| 他サイトへのアクセス権限 | 範囲を限定 | content_scripts.matches は https://www.youtube.com/* のみ。all_frames: false。他ドメインの権限宣言なし。 |
| 追加のネットワーク通信 | 該当コードなし | fetch、XMLHttpRequest、WebSocket、sendBeacon、外部のJS読み込みを使用していません。 |
| 自動ダウンロード | 該当コードなし | Chromeの downloads 権限、ダウンロードAPI、ファイル保存機能なし。配布サイトのZIPは利用者が手動操作したときだけ取得。 |
| 閲覧履歴・Cookie・タブ情報 | 権限なし | history、cookies、tabs、webRequest 権限なし。 |
| 保存情報 | 設定値のみ | chrome.storage.local にON/OFFと広告音量のみ保存。storage.sync 不使用。 |
| リモートコード・任意コード実行 | 該当コードなし | eval、new Function、外部モジュール・外部CDN・リモートスクリプトを使用していません。 |
| DOM操作の範囲 | 限定 | YouTubeプレーヤーの広告検出クラス・スキップボタン・スピーカーボタン・video の音量/ミュートだけを操作。 |
| バックグラウンド処理 | なし | background service worker、常駐監視の独立プロセス、ページ外監視なし。YouTubeページ内での監視のみ。 |
| 配布Webサイト | 静的ページのみ | 外部CDN・JavaScript・解析タグ・フォーム送信なし。Cloudflare配信では通常のHTTPアクセスログ等が発生し得ます。 |
残留リスク・制限事項
- ライブ動作の保証なし：動的HTMLを使うYouTubeの最新仕様に対して、実際の広告再生を使った自動テストは行っていません。セレクタ変更、スキップボタン仕様変更、SPA遷移で停止することがあります。
- ページ側の標準通信：拡張機能は通信APIを呼びませんが、YouTube自体が通常行う動画配信や解析通信を停止するわけではありません。
- 広告中のメディア操作：ページの
video.volumeとvideo.mutedを操作します。YouTube UIや他の拡張機能と競合した場合は音量復元が期待どおりにならない可能性があります。 - 反応速度：表示状態変化を監視しつつ約300ms周期でも確認します。OS、ブラウザ負荷、ページ状態によって即時反応しない場合があります。
- 無音解除の遅延：広告が連続する場合の誤解除を防ぐため、広告終了判定に短い待機を設けます。
- 利用規約：YouTube利用規約に自動化やサービスへの干渉に関する制限があります。許諾を得たツールではなく、規約適合性は保証できません。
- ソース更新：拡張機能ZIPは自動更新されません。再配布する更新版は利用者自身が検証し、差し替える必要があります。
- 第三者監査ではない：手元の静的ソース確認と限定的な動作シミュレーションであり、ペネトレーションテストや専門機関による監査とは異なります。
ユーザー側で確認できること
解凍したZIPの manifest.json をテキストエディタで開き、permissions と content_scripts.matches を確認してください。
拡張機能が不要になったら、chrome://extensions/ で削除してください。設定も拡張機能とともに削除されます。