ก่อนหน้านี้ Google ได้เสนอปรับสเปค API ของ Chromium หรือ Manifest v3 ซึ่งจะมีผลบังคับใช้ในปีหน้า โดยจุดสำคัญของอัพเดตครั้งนี้จะส่งผลต่อส่วนขยายบล็อคโฆษณาบน Chrome เพราะ API ใหม่ไม่เปิดให้ส่วนขยายจัดการกับ request โดยตรงเหมือนเดิม

ประเด็นนี้ถือเป็นเรื่องใหญ่มาก เพราะนักพัฒนารวมถึงผู้ใช้ไม่พอใจกับความเปลี่ยนแปลงครั้งนี้ จนทำให้ Brave, Opera และ Vivaldi สามเบราว์เซอร์ที่ใช้ Chromium เป็นฐานเหมือนกับ Chrome ได้ประกาศออกมาชัดเจนว่าจะซัพพอร์ต API เดิมต่อไป

ล่าสุด วิศวกร Google ได้ยอมถอยอีกครั้ง ​โดยเขียนบล็อกให้คำมั่นสัญญากับผู้ใช้ว่าการเสนอสเปคอัพเดตเกี่ยวกับระบบส่วนขยายของ Chrome ครั้งนี้จะไม่ส่งผลต่อตัวบล็อคโฆษณาตามที่กังวลกัน รวมถึงยืนยันว่าสเปคใหม่นี้จะช่วยเพิ่มความเป็นส่วนตัวของผู้ใช้ และเบราว์เซอร์เร็วขึ้นด้วย

Web Request API ภาพจาก Google

Google ระบุว่า API แบบเก่าหรือ Web Request API เป็นช่องทางในการถูกคุกคาม เพราะตัว API จะส่งข้อมูลของ network request ให้ส่วนขยายก่อน ซึ่งข้อมูลที่ส่งนี้มีข้อมูลสำคัญอย่างข้อมูลส่วนตัว, บัญชี, credential ที่ใช้เข้าสู่บริการต่าง ๆ รวมอยู่ด้วย

Declarative Net Request API ภาพจาก Google

ในขณะที่ Declarative Net Request API ซึ่งเป็น API ใหม่จะทำงานแตกต่างกันโดยสิ้นเชิง คือแทนที่จะให้ส่วนขยายเป็นผู้จัดการกับ request โดยตรง ก็เปลี่ยนเป็นให้ส่วนขยายมาตั้งกฎกับเบราว์เซอร์แทน และให้เบราว์เซอร์จัดการหน้าเว็บก่อนที่จะโหลดตามกฎที่ส่วนขยายตั้งไว้ โดยไม่ต้องส่งข้อมูลใด ๆ ให้ส่วนขยายเลย ซึ่งวิธีการนี้ช่วยทั้งในแง่ความเป็นส่วนตัวของผู้ใช้ และความเร็วของเบราว์เซอร์

ปัญหาที่เกิดขึ้นคือ Google วางแผนจะจำกัดกฎที่ให้ส่วนขยายมาตั้งได้เพียง 30,000 กฎเท่านั้น ซึ่งจากเสียงวิจารณ์เกี่ยวกับ API ใหม่นี้ระบุว่า ค่าที่เหมาะสมที่ตัวบล็อคโฆษณาจะใช้งานอยู่ที่ราว 90,000-150,000 กฎ และถ้าให้ปลอดภัยต่อตัวบล็อคโฆษณาควรจะอยู่ที่ 500,000 กฎ ตอนแรก Google ไม่เห็นด้วย แต่ตอนนี้สเปคล่าสุดก็ยอมผ่อนปรนให้เป็น 150,000 กฎแล้วตามข้อเรียกร้อง

อย่างไรก็ดี ด้วยข้อจำกัดของ Declarative Net Request API ที่ไม่ได้ให้ส่วนขยายควบคุมหน้าเว็บโดยตรงก็ส่งผลให้ส่วนขยายบางอย่างไม่สามารถทำงานได้เหมือนเดิม แต่จากท่าทีของ Google ก็คงจะไม่ยอมให้นักพัฒนาส่วนขยายเข้าควบคุมส่วนนี้ได้อีก

การถอยครั้งนี้เป็นการถอยครั้งที่สอง เนื่องจากก่อนหน้านี้ Google ก็เคยสัญญาว่าจะไม่กระทบ แต่สุดท้ายกลับกลายเป็นการประกาศว่า API เก่าจะอยู่ใน Chrome เวอร์ชันองค์กรเท่านั้น ซึ่งก็ต้องรอดูท่าทีของ Google ต่อไป

ที่มา - ZDNet, Google Security Blog