Rowfill, note à l'attention de la DSI

Le point essentiel : Rowfill n'a pas de serveur. Aucune donnée métier ne quitte le navigateur de l'utilisateur, jamais, y compris vers l'éditeur. Il n'y a aucune requête sortante pendant une exécution, ni au démarrage.

La seule requête sortante de tout le produit est la vérification de l'abonnement, auprès de api.lemonsqueezy.com, le prestataire de paiement. Elle ne transporte que la clé de licence et un identifiant d'instance, au plus une fois par semaine. En version gratuite, l'extension n'émet strictement aucune requête réseau.

Ce que fait l'extension

Rowfill automatise la saisie répétitive dans un formulaire web. L'utilisateur remplit le formulaire une fois, l'extension mémorise la séquence, puis la rejoue pour chaque ligne d'un tableau collé depuis Excel.

L'extension agit exactement dans le périmètre de l'utilisateur connecté. Elle n'ouvre aucun accès nouveau : elle réutilise la session applicative déjà ouverte dans l'onglet, comme le ferait l'utilisateur en tapant lui-même. Elle ne stocke aucun identifiant et ne manipule aucun cookie.

Permissions demandées et justification

Permission	Pourquoi elle est nécessaire
`sidePanel`	Afficher l'interface dans le panneau latéral du navigateur. Aucun accès aux données.
`scripting`	Injecter le code de saisie dans l'onglet de l'application métier, uniquement sur les domaines que l'utilisateur a explicitement autorisés, et uniquement pendant un enregistrement ou une exécution.
`storage`	Conserver localement les modèles de formulaire, via `chrome.storage.local`. Aucune synchronisation cloud : `chrome.storage.sync` n'est pas utilisé.
`tabs`	Identifier l'onglet actif pour savoir où agir, et détecter la fin du chargement de page entre deux lignes.
`host_permissions` `api.lemonsqueezy.com`	Vérifier l'abonnement auprès du prestataire de paiement. C'est le seul domaine joignable en dur par l'extension. La requête ne transporte que la clé de licence et un identifiant d'instance, jamais une donnée métier ni une URL visitée. Aucune requête n'est émise en version gratuite.
`optional_host_permissions`	L'extension ne demande aucun accès aux sites à l'installation. L'utilisateur accorde l'accès domaine par domaine, à la demande, via la boîte de dialogue native de Chrome. L'autorisation est révocable à tout moment dans `chrome://extensions`.

L'extension ne demande pas <all_urls> en statique, ne demande pas l'accès aux cookies, à l'historique, aux téléchargements, au presse-papiers système, ni aux identifiants.

Données et flux

Aucun flux métier sortant. Il n'existe pas de serveur Rowfill. Le seul appel réseau du code entier est la vérification de licence décrite ci-dessus, isolée dans src/background/license.js. Aucun autre fetch, XMLHttpRequest ou WebSocket n'existe dans le produit.
Aucune télémétrie, aucun outil d'analyse d'audience, aucun traceur.
Aucune ressource distante. Les polices de caractères sont embarquées dans le paquet. L'extension ne charge rien depuis un CDN.
Données collées : elles restent en mémoire pendant la session et ne sont jamais écrites sur disque.
Modèles enregistrés : ils contiennent la description des champs du formulaire, pas de données métier. Stockés dans le profil local du navigateur.

Comment le vérifier vous-même

Ouvrir chrome://extensions, activer le mode développeur, cliquer sur « service worker » pour Rowfill.
Dans l'onglet Réseau des outils de développement, lancer une exécution complète. Aucune requête sortante ne doit apparaître, quelle que soit la taille du lot.
Pour auditer la vérification de licence, chercher lemonsqueezy dans le code source : elle tient dans un seul fichier, et le corps de la requête y est visible en clair.
Le code source de l'extension est lisible tel quel : il n'est ni minifié, ni obfusqué, ni transpilé. Aucune dépendance tierce n'est embarquée à l'exécution.

Garde-fous intégrés

Délai minimum configurable entre deux lignes, pour ne pas solliciter anormalement le serveur applicatif.
Arrêt automatique après trois échecs consécutifs.
Exécution toujours visible à l'écran, avec un bandeau de progression dans la page et un bouton d'arrêt immédiat. L'extension ne fonctionne jamais en arrière-plan ni en dehors d'une action déclenchée par l'utilisateur.
Journal d'exécution exportable en CSV, ligne par ligne, pour l'audit.

Mise en liste blanche

Pour autoriser Rowfill par stratégie de groupe, sur Windows, via ExtensionInstallAllowlist :

HKLM\Software\Policies\Google\Chrome\ExtensionInstallAllowlist
  1 = "ofggabdbfpekpbjbnjldldnghdnpdiei"

Pour restreindre en plus les domaines sur lesquels l'extension peut agir, la stratégie ExtensionSettings permet de fixer une liste d'URL autorisées, indépendamment du choix de l'utilisateur.

Licence et support

L'extension est éditée par un éditeur indépendant. Le support et les questions de conformité passent par l'adresse de contact publiée sur la fiche du Chrome Web Store.