Chrome 126.0.6478 版本在 2026 年 11 月引入了增强型跟踪保护与站点隔离优化。本清单整理了每周必查的 7 项安全配置、3 类权限审计流程，以及针对企业用户的策略部署方案。涵盖 Cookie 清理自动化、密码泄露检测、扩展程序沙箱验证等实操场景，帮助用户在日常使用中建立可持续的隐私防护体系，避免因配置疏漏导致的数据暴露风险。
Chrome 126.0.6478 在 2026 年 11 月的更新中强化了第三方 Cookie 阻止机制与站点隔离策略。对于需要处理敏感数据的用户，仅依赖默认设置无法覆盖所有风险点。本清单从权限审计、数据清理、账号防护三个维度，提供可每周执行的检查项与排查路径，确保配置始终符合当前威胁模型。
进入 chrome://settings/content/siteDetails 可查看单个站点的完整权限记录，包括摄像头、麦克风、位置、通知等 12 类授权。实际案例中，某电商站点在用户仅浏览商品时请求了剪贴板读取权限，通过该页面发现后立即撤销。扩展程序方面，chrome://extensions 的「详细信息」需重点检查「站点访问权限」字段：若显示「在所有网站上」而非「点击时」，意味着扩展可读取所有标签页内容。2026 年 11 月版本新增的权限时间线功能（Permissions Timeline）会记录过去 30 天内每次授权的触发时间与页面 URL，可通过 chrome://settings/content/all 筛选「最近使用」排序，快速定位异常调用。建议每周一检查新增权限，每月全量审计一次。
Chrome 126 的「退出时清除 Cookie」功能（chrome://settings/cookies）支持例外列表，但默认不会清理 Service Worker 缓存与 IndexedDB 数据。实测发现某社交平台即使清除 Cookie 后，仍可通过 IndexedDB 中的会话令牌恢复登录状态。完整清理需在 chrome://settings/cookies/detail 中勾选「包括第三方 Cookie」，并在 chrome://settings/clearBrowserData 的「高级」选项卡中同时选中「Cookie 及其他网站数据」与「缓存的图片和文件」。对于需要保留特定站点登录的场景，可使用 EditThisCookie 扩展导出白名单站点的 Cookie JSON，清理后再导入。企业环境可通过 CookiesAllowedForUrls 策略（组策略路径：计算机配置 > 管理模板 > Google > Chrome）预设豁免域名，避免每次手动配置。
chrome://settings/passwords 的「检查密码」功能会将本地密码的哈希值与 Google 的泄露数据库比对，但仅覆盖公开数据泄露事件。2026 年 10 月某次供应链攻击导致 1.2 万个企业账号凭据在暗网流通，但因未进入公开数据库而未被检测。建议结合 Have I Been Pwned API（https://haveibeenpwned.com/API/v3）进行补充验证：通过 curl 命令 `curl -H "hibp-api-key: YOUR_KEY" https://haveibeenpwned.com/api/v3/breachedaccount/[email protected]` 查询邮箱关联的所有泄露记录。支付信息方面，chrome://settings/payments 中的自动填充功能会缓存卡号后四位与到期日期，即使删除完整卡号，该缓存仍可能在表单中自动填充。需在「付款方式」列表中逐一点击「更多操作 > 移除」，并在 chrome://settings/addresses 中清理关联的账单地址。
Chrome 的站点隔离（Site Isolation）会为每个源分配独立渲染进程，防止 Spectre 类侧信道攻击。通过 chrome://process-internals 可查看当前标签页的进程 ID 与隔离状态，若「Isolation Mode」显示为「Disabled」，说明该站点未启用隔离。常见原因包括：1) 扩展程序注入了跨域脚本；2) 企业策略设置了 SitePerProcess=false。排查时需在 chrome://policy 中搜索「SitePerProcess」，确认值为 true。扩展沙箱方面，Manifest V3 扩展默认运行在独立上下文中，但 V2 扩展仍可通过 content_scripts 访问页面 DOM。实测某广告拦截扩展（V2）在金融站点注入了未混淆的 JavaScript，可通过开发者工具的 Sources 面板查看 `chrome-extension://[ID]` 目录下的脚本内容。建议在 chrome://extensions 中筛选「Manifest V2」标签，逐一评估是否存在替代方案。
除了 Cookie，网站还会通过 Canvas 指纹、WebGL 参数、字体列表等生成设备指纹。Chrome 的隐身模式无法完全阻止指纹采集。可安装 CanvasBlocker 扩展随机化 Canvas 输出，或在 chrome://flags 中启用「#fingerprinting-client-hints-disable」标志位，禁用客户端提示 API 的指纹暴露。企业用户可通过 UserAgentClientHintsEnabled 策略全局禁用。
访问 https://cookie3.com 测试站点，该站点会尝试设置跨域 Cookie 并读取。若 chrome://settings/cookies 中「阻止第三方 Cookie」已启用，测试页面应显示「Blocked」状态。需注意部分站点通过 CNAME 伪装（如将 tracker.example.com 解析为主域）绕过阻止，可在开发者工具 Network 面板的 Cookies 列查看「SameSite」属性，若为「None」且仍成功设置，说明存在绕过行为。
通过 Chrome 企业策略的 ExtensionSettings 可强制卸载高风险扩展。在组策略编辑器中配置 JSON 格式白名单：{"*": {"installation_mode": "blocked"}, "extension_id_1": {"installation_mode": "allowed"}}。部署后可通过 chrome://policy 的「重新加载策略」按钮验证。对于已安装的扩展，使用 PowerShell 脚本读取 `%LocalAppData%\Google\Chrome\User Data\Default\Extensions` 目录，提取 manifest.json 中的 permissions 字段，筛选包含「」或「webRequest」的高权限扩展。
下载完整《Chrome 安全配置检查表》PDF 版本，或访问 chrome://settings/security 开始首次审计。如需企业级部署方案，可参考 Google Chrome Enterprise 官方文档中的策略模板库。
相关阅读：Chrome 202611 周效率实践清单，Chrome 202611 周效率实践清单使用技巧，企业与个人合规指南：Chrome常见问题排查与高级隐私配置手册
