להורדה | תוסף לכרום שמקליד באתר את קוד האימות שקבלתם במייל

[יעב"ץ]

@חכמון
לרשות המיסים הבאמת מעצבנת הלזו, יש כמה ממשקים, בחלקם אפשר ואפשר, ולפחות באחד מהם אי ואי אפשר.

[חכמון]

@שלומפער כתב:

מה המצב כרגע זה נסגר לך אחרי כמה זמן או שלא ניסגר? כמה זמן צריך בשביל להספיק להעתיק?

כעת זה נסגר, ואני חושב שצריך כ-5 שניות.
(דעתי הענייה).

[זה אני...]

@שלומפער תעלה סרטון בזיפ

[יעב"ץ]

@שלומפער

@over כתב:

מגניב.
איך זה עובד?

[יעב"ץ]

@שלומפער
אני לא מבין בזה, אבל הבינה כותבת ש:

1. מעקב, איסוף נתונים או שליחה לגורם חיצוני?
   בקוד הזה אין שום שליחה לגורם חיצוני. כל התעבורה הרשתית היא אל שרתי גוגל בלבד:

https://mail.google.com/mail/u/{idx}/feed/atom — קריאת הפיד
https://mail.google.com/mail/u/{idx}/?ui=2&view=pt... — קריאת שרשור
נקודות רלוונטיות:

אין fetch/XMLHttpRequest/sendBeacon לאף דומיין אחר. אין כתובות IP, אין אנליטיקס, אין טלמטריה.
הקוד נוצר אצלך — הודעת ה-web_search שהצטרפה היא הקשר מערכתי, לא קוד התוסף.
הנתונים נשמרים מקומית בלבד ב-chrome.storage.local:
used3 — עד 300 קודים שכבר טופלו (כדי למנוע כפילות).
inited — אילו חשבונות כבר אותחלו.
הלוגים (console.log כשמכבים DEBUG הם כבויים) נכתבים לקונסול של ה-service worker בלבד — לא נשלחים לשום מקום.
הסתייגויות שחשוב להבין
הקוד כן קורא ומנתח תוכן מיילים שלך (נושא, תקציר, ולפעמים גוף מלא) — אבל הכל עובר בזיכרון מקומי ומושלך בסוף הריצה. הפיד של Gmail מוגש בשרת גוגל; הקריאה אליו היא בדיוק כמו לפתוח את Gmail בדפדפן.

מה שכן מהווה "חשיפה" הוא לא התוסף הזה, אלא ההרשאות שהוא דורש:

הרשאה משמעות
host_permissions: <all_urls> התוסף יכול לקרוא ולשנות כל דף שתפתח. הוא משתמש בזה רק להזרקת המילוי, אבל הטכנית זו הרשאה רחבה מאוד.
scripting מאפשר הזרקת סקריפט לכל דף פעיל.
storage שמירה מקומית.
הערה אבטחתית: אם התוסף הזה יותקן מהחנות, עדכון עתידי של התוסף עלול להוסיף שליחה החוצה — שליטה על הגרסה חשובה. ואם התוסף נכתב על ידי מישהו אחר, אין דרך לוודא שאין גרסה שונה מהמוצגת. כדי לוודא שאין שליחה החוצה, מספיק לחפש בקוד fetch, XMLHttpRequest ו-https:// שאינם mail.google.com — לא נמצא כאלה.

2. כמה זה שוקל בריצה?
   "משקל" תלוי אם מתכוונים לגודל הקובץ או לעומס הריצה.

גודל
manifest.json — פחות מקילובייט.
background.js — כ-10–12KB טקסט (כ-250 שורות).
popup.html + popup.js — כ-4–5KB.
סה"כ: פחות מ-20KB — תוסף זעיר במיוחד.
עומס ריצה (זו הבעיה האמיתית)
התוסף עובד קשה באופן קבוע, לא רק כשמגיע מייל:

לולאת סריקה כל 20 שניות (setInterval(check, 20000)) — כלומר 180 סריקות בשעה, כל אחת מהן:
fetch אחד לפיד ה-RSS לכל חשבון מחובר (עד 3 בקשות).
אם יש הודעות חדשות עם קודים — קריאת שרשור מלא (עד 3 בקשות נוספות).
החזקת ה-service worker ער (keep-alive): setInterval כל 15 שניות ששולח getPlatformInfo. זה נגד המודל של Manifest V3 (שמיועד לכבות workers לא-פעילים), וצורך סוללה ו-CPU כשהדפדפן פתוח — גם אם אין מיילים.
התראת alarms כל 0.5 דקות — גורמת ל-worker להתעורר שוב ושוב.
allFrames: true בהזרקה — סורק כל iframe בדף הפעיל, מה שיכול להכפיל עבודה באתרים כבדים.
הערכה גסה של עלות: כל סריקה ללא קוד חדש = בעיקר בקשות רשת קלות ל-Gmail (שכבר פתוח אצלך) + פרסור XML קטן. הבקשה החוזרת כל 15 שניות היא הקלה אבל קבועה. בחשבון מחובר יחיד סה"כ צריכה קטנה יחסית, אבל רציפה ולאורך כל זמן שהדפדפן פתוח. אם כרום פתוח 12 שעות ביום, מדובר בכ-~2,160 סריקות ו-~2,880 קריאות keep-alive ליום.

השוואה: מה היה אפשר לעשות אחרת
לתפוס את האירוע של מייל חדש במקום לסקור — למשל לקצר את הבדיקה, או להסתמך רק על alarms בלי ה-setInterval הכפול.
להעלות את CHECK_EVERY_SECONDS ל-60+ — הפחתה של פי 3 בצריכה בלי לפגוע בזמן התגובה למייל OTP.
להסיר את ה-keep-alive כל 15 שניות — הוא הכבד ביותר ולא באמת נצרך אם ההתראה כל 0.5 דקות מספיקה.
טבלת סיכום
מדד מצב
שליחה לגורם חיצוני אין
שמירה חיצונית / אנליטיקס אין
שמירה מקומית used3, inited ב-storage.local
קריאות רשת רק ל-mail.google.com
גודל קובץ קטן מאוד (<20KB)
עומס ריצה ️ גבוה יחסית — סריקה כל 20 שנ' + keep-alive כל 15 שנ'
הרשאת all_urls ️ רחבה מאוד (נדרשת למילוי, אבל מסוכנת אם הגרסה משתנה)
אם תרצה, אוכל להראות בדיוק איך למצוא בקוד כל מקום שיוצא לרשת (חיפוש fetch/XMLHttpRequest), או להציע גרסה "רזה" שמפחיתה את תדירות הבדיקה בלי לפגוע בזיהוי הקוד.

היא מדברת לעניין?

[שלומפער]

@יעב-ץ
קצת מגזימה...
בכל הנוגע לעומס על המערכת זה שולי
לגבי ההרשאה למלאות טפסים עקרונית אין בעיה כי התוסף הוא לא מהחנות והוא רץ באופן מקומי ועדיין מכיון שזה הרשאה כוללת לכל האתרים אזי בגירסה הבאה שאני יעלה ההרשאה תבוטל וידרש אישור ראשוני לכל אתר בנפרד (וכמובן שבפעמים הבאות שנכנסים לאתר הקוד ימולא אוטמטית ללא צורך באישור)

[חכמון]

@שלומפער כבר ראיתי שיש אתרים שזה רק הורס,
למשל שהוא מצטט את כתובת המייל שלי שכתובה באימייל (זה מייל עם ספרות) ולא את הקוד, ואין לי אפשרות לתקן את ההקלדה והוא מזהה כקוד שגוי.
אני חושב שאחרי החיבור הנסיוני הראשון אני יוכל לראות אם החיבור צלח ואז לאשר לו לתמיד,
או שיהי' תמיד אפשרות של "מלא תמיד" ואפשרות של "רק עכשיו" ושל "אף פעם".
ובשלושת האפשרויות האלו פתרנו את כל האפשרויות של אתרים עם בעיות ובלי בעיות.
בכל אופן, זה תוסף ממש מצויין.

[שלומפער]

@חכמון
טוב שאתה מעדכן
התוסף בנוי בצורה שהוא מזהה את הקוד לפי דפוסים נפוצים של הודעות מייל עם קוד
במידה ויש תקלה בזיהוי אז תעלה את המלל של המייל (כמובן ללא פרטים מזהים) כדי שאוסיף אותו לדפוסי הזיהוי
כמו כן אני יתקן את הבעיה של כתובת מייל עם מספרים שהוא לא יזהה אותו כסיסמא

[ztcebuck]

@שלומפער תודה רבה על התוסף
בניתי פעם משהו כזה אבל הבעיה שאם הופיע שורת מספרים במייל חוץ מהסיסמא הוא היה מזהה אותה כסיסמה
בנוסף אם הסיסמה כוללת אותיות הוא לא מזהה
בתוסף אצלך תוקן הבאג הזה?

[צדיק וטוב לו 0]

@שלומפער אחזור על הצעתי - לאפשר למשתמש להוסיף לבד - ובהתאם לאיזה מייל.
כלומר יש דפוס שנכון למייל אחד - בזמן שבמייל אחר הוא יפשל.

חוץ מזה, חסר לי שאין דף בית נורמלי לתוסף, אם אני רוצה להגדיר כך או כך, או לראות קוד ישן.
תבקש מעוזר שלך לעשות גם פאנל צד.

[צדיק וטוב לו 0]

@שלומפער אולי כדאי שתעלה לגיטאהב, יוכלו לתת לך PR.
(באופן כללי, כעת המראה שלו זועק AI בסיסי, תנסה להגיד לו מה אתה רוצה או שתחפש תוסף שאתה אוהב את העיצוב שלו - ותביא לו - תגיד שאתה רוצה אותו סגנון.
אין לי בעיה עם תוסף AI או עיצוב AI, אלא שיש עיצוב AI 'זול', ולא יפה, ויש כאשר דורשים ממנו ומסבירים לו - עיצוב שאתה עדיין יודה ורואה שהוא AI - אבל הוא יפה)

[שלומפער]

@צדיק-וטוב-לו-0
בגירסה הבאה בכל שימוש ראשוני באתר בתוסף יפתח חלון לאישור במידה ואתה רואה שהתוסף זיהה את הקוד בצורה לא נכונה אז לא לאשר (או שתעלה לכאן את הדפוס:)
כמו כן תפרט מה היית רוצה לראות בדף הבית של התוסף
@ztcebuck
במידה ויש לך הודעות סיסמא בדפוס שכתבת אשמח שתעלה לכאן ואני יכניס את זה בדפוסי המיילים.

[צדיק וטוב לו 0]

@שלומפער כתבתי.
אפשרות של עריכת מחרוזת מותאמת פר מייל.
למשל מחברת החשמל אני יודע בדיוק שהנוסח הוא כך:

שלום, הקוד 386367 ישמש אותך בכניסה לאזור האישי ולשירותים הדיגיטליים של חברת החשמל

ומימות המשיח:

קוד האימות החד פעמי שלך הוא: 176777 אין למסור קוד זה לאף אחד, ולעולם לא נבקש ממכם קוד זה.

הכי קל ופשוט לי להגדיר לפי כתובת מייל השולחות (לא לפי אתרים).

כמו כן צריך רק לדעת להגדיר נכון את הטקסט שהוא ישלח בפוש - וזה 'ידליק' את האופציה המובנית של העתקת קוד.
למשל בתוסף שלי:

Spoiler