外部と通信するバンドルコードがない
ヘッダーのライフサイクルロジックは1つのレビュー可能なモジュールに集約されています。ChromeのdeclarativeNetRequest APIとローカルストレージを利用し、分析用または無関係なネットワークリクエストを独自に発行しません。
Chrome拡張機能のセキュリティインシデント — 2026年7月
ModHeaderのマルウェア判定後、代替を探していますか？
2026年7月3日、Microsoftはヘッダー編集拡張機能ModHeader(Chrome/Edge合計で約160万インストール)をマルウェアとしてGoogleがフラグを立てたことを受け、Edgeアドオンストアから削除しました。ビルド7.0.18を調査した独立系セキュリティ研究者は、日付フォーマットライブラリを装った隠しモジュールを発見し、訪問先ドメインを収集して暗号化した上で外部エンドポイントへ1日1回アップロードする準備ができる機能を持っていたと報告しています。研究者は、検証したビルドではこの収集機能が休眠状態にあり、テスト用プロファイルから実際にデータが流出した確証は得られなかったとも述べています — 詳細な技術分析は下記の出典をご覧ください。
Header Relayが違う点。
「一致するリクエストへヘッダーを付与する」という同じ役割を、より狭く、検証しやすいデータ経路で実現します。
取得した値を確認できる
取得したヘッダー値は管理画面でデフォルトでマスクされ、実際に付与する値を確認するときだけ明示的に表示またはコピーできます。
無関係な送信先へデータを送らない
プロファイル、セッション状態、監査ログは開発者や無関係なサービスへ送信しません。設定したヘッダー値は、一致する対象オリジンにだけ付与します。詳細はプライバシーポリシーをご覧ください。
設計上スコープが限定されている
取得と付与は、有効なプロファイルで有効化した対象オリジンに対してのみ動作します。それ以外は無視されます。
移行は3ステップで完了します。
Header Relayは他の拡張機能の設定をインポートしません — ゼロから再設定してもすぐ終わります。
プロファイルを作成する
これまで使っていた対象オリジンを追加してください。
固定ヘッダーを再設定する
常に送っていたAPIキーやクライアントIDなどはFixed Headerとして設定します。
コピペしていた作業を自動化する
セッショントークンやトレースIDを手動でコピーしていた場合は、Captured Headerとして設定すれば、レスポンスから自動的に取得し、以降のリクエストへ自動的に付与されます。
乗り換え前によくある質問。
この種の問題が起きているのはこの拡張機能だけですか？
いいえ。ブラウザ拡張機能のサプライチェーン侵害は特定の1つのツールに限った話ではありません。広いホスト権限を持ち、更新プロセスが不透明な拡張機能はすべてリスクとして扱い、データの扱いを自分で検証できるものを選ぶことをお勧めします。
Header Relayは外部サーバーへデータを送信しますか？
開発者、分析事業者、無関係なサーバーには送信しません。設定したヘッダー値は一致する対象オリジンにだけ付与し、プロファイル、セッション状態、監査ログはローカルに留まります。
自分で確認できますか？
はい。Header Relayを有効にした状態でChrome DevToolsのネットワークタブを確認するか、公開されているプライバシーポリシーと権限の説明をお読みください。
出典
Header RelayはModHeaderおよびその開発者と提携関係にありません。上記の内容は2026年7月に公開された第三者によるセキュリティ調査に基づくものです。詳細な技術分析は出典元のリンク先をご確認ください。