Keepa y sus permisos: qué pidió, qué pide hoy y cómo mirarlo
Si compras en Amazon con cabeza, probablemente tienes Keepa instalada. Te enseña el historial de precios debajo de cada producto y te avisa cuando baja. Es útil. Por eso mismo da tanta rabia que cada cierto tiempo salte un aviso de que pide más de lo que debería.
Esta vez fue en agosto. Lo he revisado hoy, 27 de octubre de 2026, contra los manifiestos reales, y la historia es más matizada de lo que se dijo. Y más incómoda en otro sitio.
Qué pasó en agosto
El 14 de agosto de 2026 un usuario comentó en el análisis que Wladimir Palant publicó sobre Keepa en 2021 que la última actualización “requires new permissions”. Palant, investigador de seguridad de extensiones y autor de aquel análisis, respondió que la versión de Chrome ya no estaba restringida a Amazon, que tenía permisos para acceder a todas las webs y que además usaba la API chrome.identity, con lo que “sabe” quién eres si Chrome tiene sesión con tu cuenta de Google.
En Firefox, una reseña de una estrella se quejaba de que cada actualización pide más permisos y ahora hasta “AUTHENTICATION data”. El desarrollador contestó que es un token del propio dispositivo para la cuenta de Keepa, no el login de Amazon.
Fíjate en que son dos quejas distintas, de dos navegadores distintos. Mezclarlas es lo que hizo que el asunto sonara peor de lo que es.
Qué piden hoy sus manifiestos
Comprobado hoy en las fuentes primarias:
| Chrome (v5.75, 26/10/2026) | Firefox (v5.68, 26/10/2026) | |
|---|---|---|
| Acceso a webs | Solo keepa.com y 14 dominios de Amazon | Solo keepa.com y 14 dominios de Amazon |
| Permisos de API | alarms, storage, cookies, contextMenus, offscreen, webRequest, declarativeNetRequestWithHostAccess | storage, cookies, contextMenus |
identity | No | No |
| Todas las webs | No | No |
Dos cosas claras. Hoy no pide acceso a todas las webs ni usa identity, así que afirmar que ahora mismo lo hace sería falso. Y lo que ven los manifiestos de Firefox desde 2024 es prácticamente lo mismo: Amazon, keepa.com, cookies, storage y menú contextual (antes, además, notificaciones y webRequest).
Lo que sí cambió en Firefox son las declaraciones de recogida de datos, que Mozilla exige ahora. Las versiones 5.64 y 5.65, de agosto, declaraban browsingActivity y authenticationInfo. Desde la 5.66, del 21 de septiembre, solo browsingActivity. Ese “authentication data” de la reseña es esto.
Lo que no he podido comprobar
No he podido ver el manifiesto de Chrome de la versión de agosto que comentó Palant. O pedía de verdad <all_urls> e identity y se retiró después, o eran permisos opcionales. Lo que está documentado es el comentario de Palant, con su fecha, y lo que muestra la versión actual. Entre medias, no lo sé, y prefiero decírtelo a rellenarlo.
Qué significa cada permiso, en llano
- Acceso a los dominios de Amazon: puede leer y modificar las páginas de Amazon que visitas. Para pintar la gráfica de precios lo necesita. Es el permiso esperable.
- cookies: lee las cookies de esos sitios. Incluyen la sesión y, por ejemplo, la ubicación de entrega.
- webRequest y declarativeNetRequestWithHostAccess (Chrome): ver y alterar peticiones de red de los sitios a los que tiene acceso.
- offscreen (Chrome): abrir una página oculta donde ejecutar cosas en segundo plano sin que lo veas.
- storage, alarms, contextMenus: guardar ajustes, programar tareas y añadir una entrada al menú del botón derecho. Inofensivos por sí solos.
- identity (el del aviso): pedir al navegador la identidad de tu cuenta de Google. Un permiso potente cuando no tiene un motivo claro.
El fondo: tu navegador trabajando para Keepa
Los permisos son la parte visible. Lo importante está en lo que hace con ellos.
El análisis de Palant de 2021 mostró que la extensión mantiene un WebSocket con el servidor de Keepa, le envía qué productos y búsquedas ves en Amazon con un identificador persistente, y que el servidor puede ordenar a la extensión cargar páginas de Amazon en segundo plano y extraer datos: precio, vendedor, envío, tokens.
No era un fallo del pasado. En agosto de 2025 otro investigador, en un hilo de chromium-extensions, confirmó que el scraping continúa (“4 scrapes per hour”) y publicó un ejemplo con su ubicación de entrega incluida.
Dicho de otro modo: parte de lo que Keepa sabe de los precios lo saca de tu navegador, con tu sesión y tu ubicación. Es justo lo que explica por qué necesita las cookies. Que lo permita la tienda de extensiones no lo convierte en lo que esperabas al instalarla.
Cómo comprobar tú los permisos de una extensión
Esto sirve para Keepa y para cualquier otra.
- Chrome: escribe
chrome://extensions, pulsa Detalles en la extensión y mira Permisos y Acceso al sitio. Ahí puedes cambiarlo a “Al hacer clic” o a sitios concretos. - Firefox:
about:addons, la extensión, pestaña Permisos. Los opcionales se pueden revocar desde ahí. - El manifiesto: en Chrome Web Store y en addons.mozilla.org la ficha lista permisos, y la API pública de Mozilla da los de cada versión. Es lo más fiable porque ves el historial.
- Cuando una actualización desactiva la extensión por pedir permisos nuevos, no pulses “aceptar” por inercia. Mira qué permiso es, compáralo con el de la versión anterior y decide.
- Mira la autoría y las reseñas recientes. Una extensión que cambia de manos o de política es la señal clásica de problemas.
Alternativas si ya no te fías
- Un perfil de navegador aparte, sin sesión de Google ni de Amazon, con Keepa dentro. Pierde parte de la gracia, pero también lo que puede ver.
- La web de Keepa sin extensión: pegas la URL o el ASIN del producto y consultas la gráfica. Menos cómodo, cero permisos.
- Otros rastreadores de precios, con la misma lupa: revisa sus permisos antes de instalar.
Mi opinión: no hace falta tirar Keepa a la basura hoy, pero sí dejar de instalar extensiones por costumbre. ¿Cuántas de las que tienes puestas habrías aceptado si te hubieran pedido hoy lo que piden?
Y si has mirado los permisos de tus extensiones y has encontrado alguna sorpresa, déjame un comentario con qué opinas.
Preguntas frecuentes
¿Keepa puede ver todas las webs que visito?
Según el manifiesto actual, en Chrome y Firefox solo tiene acceso a keepa.com y a los dominios de Amazon. Lo que se dijo en agosto sobre acceso a todas las webs no aparece en la versión vigente.
¿Keepa accede a mi cuenta de Google?
La versión actual de Chrome no declara el permiso identity. En agosto, Wladimir Palant afirmó que la versión de entonces sí lo tenía. No he podido verificar ese manifiesto concreto.
¿Qué datos recoge Keepa en Firefox?
Mozilla exige ahora declararlo. Las versiones de agosto declaraban actividad de navegación e información de autenticación; desde la 5.66 solo actividad de navegación. El desarrollador dice que lo de autenticación era un token del dispositivo para la cuenta de Keepa.
¿Cómo veo los permisos de una extensión de Chrome?
Entra en chrome://extensions, abre Detalles de la extensión y revisa Permisos y Acceso al sitio. Desde ahí puedes limitar el acceso a cuando hagas clic.
Fuentes
Artículos relacionados
El fallo de los routers de Movistar y Orange: qué hacer hoy
Un fallo en el wifi de los chips de Broadcom permite a alguien que esté cerca de tu casa tomar el control del router y leer la clave del wifi, sin contraseña ni nada. Afecta al router HGU original de Movistar y O2, al Livebox Fibra de Orange y a otros modelos que siguen en millones de hogares. Te cuento qué modelos están afectados, por qué cambiar la contraseña no sirve, qué dicen las operadoras y qué haría yo mientras llega la actualización.
No solo PHP: Node.js y Java también se parchean esta semana
La misma semana que PHP2Shell, Node.js corrigió diez vulnerabilidades, una de ellas en el descompresor Brotli que permite ejecutar código, y Oracle sacó su parche trimestral con más de 1.200 fallos, 55 de ellos en Java. Te resumo qué versiones de Node necesitas, por qué hay que reconstruir los snapshots y no solo actualizar, qué pasa con Node 20 y qué mirar en Java, para que no te quedes solo con el parche de PHP.
Claude Duet: el agente de Anthropic que te escribe él primero
Anthropic ha presentado Claude Duet, un agente que no espera a que le escribas: cada mañana te manda un resumen de lo que necesita tu atención, revisa tus aplicaciones cada pocas horas y hace tareas solo en un ordenador en la nube, pidiendo permiso antes de enviar, pagar o firmar nada. Te cuento qué hace de verdad, qué no puede hacer aunque le digas que sí, por qué de momento solo está en Estados Unidos y con lista de espera, y la letra pequeña que más te conviene saber: que trabaja con la misma cuota que ya pagas. Y por qué, a alguien como yo, que tiene las notificaciones apagadas y mira el correo una vez al día, no le sirve: más datos tuyos en manos de otro y más motivos para coger el móvil.