Erweiterungen installiert Firefox derzeit nicht nur über die offizielle Add-On-Seite, sondern auch aus beliebigen anderen Quellen. Damit sich Anwender dabei keine bösartigen Plugins mehr einfangen können, installiert Firefox zukünftig nur noch von Mozilla geprüfte und signierte Erweiterungen.

Das kündigte Jorge Villalobos im Mozilla-Add-On-Blog an. Zwar gibt es bereits jetzt Entwicklerrichtlinien für Plugins. Diese prüft Mozilla aber nur, wenn der Entwickler sein Plugin auf der offiziellen Add-On-Seite anbieten möchte.

Die Signierung prüft erstmals die kommende Firefox-Version 39. Diese und alle in den folgenden 12 Wochen veröffentlichten Versionen sollen auch noch unsignierte Erweiterungen installieren. Der Browser gibt dabei dann eine Warnung aus. Nach dieser Übergangsfrist lassen sich nur noch signierte Erweiterungen installieren. Diese Restriktion können Anwender auch nicht umgehen. Ausgenommen sind die Nighly Builds und die Developer Edition von Firefox. Diese akzeptieren auch weiterhin nicht-signierte Plugins.

Entwickler müssen zukünftig ihre Plugins bei Mozilla vorlegen. Dort durchläuft die Erweiterung einige automatisierte Tests. Erst wenn die bestanden sind, signiert Mozilla das Plugin. Sollten diese Ergebenisse negativ ausfallen, kann der Entwickler eine erneute Prüfung durch einen Mozilla-Mitarbeiter verlangen. Das signierte Plugin darf der Entwickler dann über die offizielle Add-On-Seite oder auf einem anderen Weg anbieten.

Der Signierungszwang wurde laut Jorge Villalobos notwendig, da bösartige Plugins mittlerweile recht verbreitet seien. Diese würden Einstellungen abfragen, die Homepage ändern oder etwa (zusätzliche) Werbung einblenden.

Weitere Informationen, insbesondere für Entwickler, liefert der Blog-Beitrag von Jorge Villalobos.