Un'estensione legacy è un add-on del browser più vecchio, creato per una precedente policy della piattaforma, un insieme di API o una versione del manifest. Può essere ancora installata sui dispositivi degli utenti anche dopo che il fornitore del browser modifica le regole dello store o interrompe il supporto per quel formato più vecchio. In termini pratici, l'estensione può continuare a funzionare per un po', smettere di aggiornarsi o diventare non disponibile per nuove installazioni, mentre le copie esistenti restano in uso.
Le estensioni legacy sono importanti perché gli add-on del browser vengono eseguiti all'interno di un contesto utente fidato e possono leggere, modificare o inoltrare contenuti web. I team di sicurezza le considerano parte della superficie di attacco: un'estensione obsoleta può contenere bug non corretti, permessi deboli o codice che non riceve più revisione. I difensori le cercano durante gli inventari software, gli audit delle policy del browser e le attività di hardening degli endpoint, mentre gli attaccanti possono abusare di add-on dimenticati o prenderli di mira tramite compromissione della supply chain e aggiornamenti dannosi.