Safari is supported through its macOS Xcode container and App Store route. Built-in providers use static scripts and Safari requests no all-sites access. A user-added site needs a runtime optional permission, then Safari injects content.js after navigation only for a granted, enabled, non-builtin rule; sub-frames run only when All frames is enabled. Safari settings are device-local and do not roam.

Reveal URLs — Manual d'usuari

Reveal URLs és una extensió petita per al navegador i un complement per al Thunderbird que et mostra cap a on va realment un enllaç del teu correu electrònic, perquè puguis detectar un enllaç de phishing abans de fer-hi clic.

Aquest manual explica com instal·lar Reveal URLs i com fer-lo servir. Per a preguntes habituals, consulta les PMF; per saber com es tracten les teves dades, consulta la política de privadesa; per a una visió tècnica, consulta la descripció de l'arquitectura.

Si has trobat un error, un enllaç marcat incorrectament o un host de webmail que hauria de ser compatible, comunica-ho al Codeberg issue tracker.

Contingut

• Què fa i per què
• Navegadors compatibles i aplicacions de correu
• Instal·lació
• Ús
• Complements d'Outlook i Gmail
• Idiomes
• Privadesa
• Resolució de problemes
• Llicència i codi font

Què fa i per què

Un missatge de phishing amaga un destí hostil darrere d'un text d'enllaç que sembla fiable. De vegades és un host que només s'assembla al real: el text diu paypal.com, però l'enllaç realment apunta a paypa1.com. Sovint el truc és més subtil i passa per un tracker o un redirector, de manera que el lloc on acabes no té gairebé res a veure amb la marca esmentada en el text.

Nota: Aquesta captura de pantalla mostra un correu de phishing fraudulent que suplanta un servei postal. El servei suplantat no està afiliat a Reveal URLs ni li dona suport.

Reveal URLs llegeix cada enllaç del missatge que estàs veient i et mostra l'URL al qual apunta. A l'extensió del navegador i al Thunderbird marca enllaços web, de correu, de telèfon i altres que són enganyosos, de manera que la diferència quedi clara abans de fer clic.

Reveal URLs revela i marca; no verifica. No segueix redireccions: un enllaç que passa per un rastrejador o redireccionador es mostra com l'URL del redireccionador que indica realment; Reveal URLs no pot saber on acaba arribant aquesta redirecció. Un enllaç sense advertiment no té cap discrepància aplicable detectada, no s'ha confirmat com a segur, així que llegeix l'URL revelat abans de confiar en un enllaç, fins i tot quan no hi ha res marcat. Per tenir-ho present, l'URL revelat d'un enllaç no marcat es mostra en un color ambre «per revisar» en lloc d'un verd tranquil·litzador.

Nota: les adreces de correu, els URL i els noms d'aquesta captura de pantalla s'han emmascarat amb asteriscs per privacitat.

En l'extensió del navegador i en el complement per al Thunderbird, tot passa al teu propi dispositiu i no s'envia res enlloc. Cap forma de Reveal URLs no envia les teves dades de correu electrònic ni a nosaltres ni a tercers: no hi ha analytics ni hi ha tracking. Les diferents formes només es diferencien pel lloc on s'executen i per com es lliura el codi del panell d'Outlook. Trobaràs més detalls a l'apartat Privadesa i a la política de privadesa.

Navegadors compatibles i aplicacions de correu

Reveal URLs funciona a:

Navegadors web:

• Brave
• Google Chrome
• Microsoft Edge
• Mozilla Firefox
• Opera
• Safari

Aplicacions de correu:

• Gmail
• Outlook
• Mozilla Thunderbird (el client de correu d'escriptori)

Als navegadors, Reveal URLs anota els enllaços del teu webmail. Al Thunderbird anota els enllaços directament al missatge de correu que llegeixes dins del mateix client.

Instal·lació

Des de la botiga del teu navegador o client de correu (recomanat)

Instal·la Reveal URLs des de la botiga del teu navegador o client de correu. Instal·leu Reveal URLs des de la botiga del navegador o client de correu. Totes les fitxes ja estan disponibles; l'Opera fa servir la compilació de Chrome.

Navegadors web:

• Brave — instal·la la versió de Chrome des de Chrome Web Store
• Chrome — Chrome Web Store
• Edge — Microsoft Edge Add-ons
• Firefox — Firefox Add-ons (AMO)
• Opera — instal·la la versió de Chrome des de Chrome Web Store
• Safari — App Store

Aplicacions de correu:

• Gmail — Google Workspace Marketplace
• Outlook — Microsoft Marketplace
• Thunderbird — Thunderbird Add-ons (ATN)

Carregar tu mateix un build (desenvolupament i proves primerenques)

Si has construït Reveal URLs a partir del codi font, pots carregar directament el build descomprimit. Cada target es construeix amb una comanda make i es genera dins del directori dist/<target>/:

make build-chrome        # genera dist/chrome
make build-edge          # genera dist/edge
make build-firefox       # genera dist/firefox
make build-gmail         # genera dist/gmail
make build-opera         # genera dist/opera
make build-outlook       # genera dist/outlook
make build-safari        # genera dist/safari
make build-thunderbird   # genera dist/thunderbird

Després carrega el directori corresponent:

• Chrome — obre chrome://extensions, activa Developer mode, fes clic a Load unpacked i selecciona dist/chrome.
• Edge — obre edge://extensions, activa Developer mode, fes clic a Load unpacked i selecciona dist/edge.
• Firefox — obre about:debugging, tria This Firefox, fes clic a Load Temporary Add-on i selecciona qualsevol fitxer dins del directori dist/firefox, per exemple manifest.json. El complement temporal s'elimina quan es reinicia el Firefox.
• Opera — obre opera://extensions, activa Developer mode, fes clic a Load unpacked i selecciona dist/opera.
• Thunderbird — instal·la el complement temporal des de dist/thunderbird de la mateixa manera a través de Tools → Developer Tools → Debug Add-ons → Load Temporary Add-on.

L'extensió de Safari, el complement d'Outlook i el complement de Gmail no es carreguen com a extensions de navegador desempaquetades. Compileu-los com s'ha indicat més amunt i, després:

make deploy-gmail        # desplega el complement de Gmail a Apps Script
make safari-xcode        # compila el projecte Xcode de Safari i després executa'l
                         # des del menú Develop de Safari (macOS)
                         # Outlook: carrega lateralment dist/outlook

La pàgina de configuració s'obre automàticament la primera vegada que s'instal·la l'extensió.

Ús

Tot just instal·lat, Reveal URLs anota els enllaços dels missatges dels serveis integrats sense cap configuració addicional:

• FastMail (app.fastmail.com)
• Gmail (mail.google.com)
• Outlook Live (outlook.live.com)
• Outlook on the web / Microsoft 365 (outlook.office.com)
• Proton Mail (mail.proton.me)
• Tuta (app.tuta.com, mail.tutanota.com)
• Yahoo Mail (mail.yahoo.com)
• Zoho Mail (mail.zoho.com.au, mail.zoho.com.cn, mail.zoho.com, mail.zoho.eu, mail.zoho.in, mail.zoho.jp, mail.zoho.sa, mail.zohocloud.ca)

L'anotació queda limitada al cos del missatge, de manera que el chrome propi de l'aplicació, com ara la barra lateral, la finestra de redacció i les barres d'eines, es manté intacte. Al Thunderbird queda cobert tot el rendered email.

Nota: les adreces de correu, els URL i els noms d'aquesta captura de pantalla s'han emmascarat amb asteriscs per privacitat.

Com es mostra l'URL real

L'URL real de cada enllaç es mostra en la seva pròpia línia, just damunt del text de l'enllaç. També es col·loca al tooltip (títol) de l'enllaç, de manera que l'URL complet sempre hi és quan deixes el cursor sobre l'enllaç.

Ressaltat de discrepàncies

Per als enllaços web, Reveal URLs compara els URL o els noms d'host del text visible d'un enllaç amb l'URL al qual apunta. La comparació es fa sobre el domini registrable, de manera que un sub-domain sense discrepàncies com mail.example.com per a example.com no es marca, mentre que un host look-alike com paypa1.com per a paypal.com sí que es marca. L'extensió del navegador i Thunderbird també comproven enllaços de correu, de telèfon i opacs; els enllaços javascript:, data: i vbscript: sempre es marquen.

La comprovació només considera l'URL que indica el mateix enllaç; mai no se segueixen redireccions, per tant un enllaç a través d'un rastrejador o redireccionador es compara com el seu URL, no com la pàgina a la qual arriba finalment.

Una discrepància es mostra amb el color de discrepància que has triat i en negreta.

Ho controlen dues opcions relacionades:

• Ressalta els enllaços que no coincideixen activa o desactiva el ressaltat de les discrepàncies.
• Mostra en línia només els enllaços que no coincideixen amaga la revelació visible en línia dels enllaços sense discrepàncies, però encara posa l'URL de destinació a l'atribut title de l'enllaç, de manera que apareix en passar-hi el cursor.

El botó de la barra d'eines

A Chrome, Edge, Opera, Firefox i Thunderbird, la icona de Reveal URLs a la barra d'eines és un interruptor ràpid d'encesa/apagada: feu-hi clic per commutar l'anotació. Quan l'extensió està desactivada, apareix una insígnia OFF a la icona, i la seva informació sobre eines us diu si fer-hi clic l'activarà o la desactivarà. Als navegadors, el canvi té efecte a totes les pestanyes obertes alhora; a Thunderbird s'aplica al missatge següent que obriu.

Mentre Reveal URLs està activat, la icona de la barra d'eines del navegador també us indica, per pestanya, què ha trobat a la pàgina actual. Si la pàgina té enllaços que no coincideixen (semblants), la icona mostra aquest recompte en una insígnia vermella; si la pàgina té enllaços però cap no és discordant, mostra el nombre total d'enllaços analitzats en una insígnia grisa; una pàgina sense enllaços analitzables (i qualsevol pàgina sobre la qual l'extensió no actua) no mostra cap recompte. Cada pestanya conserva la seva pròpia insígnia, de manera que canviar de pestanya actualitza el número, i sortir-ne o tancar la pestanya l'esborra. (Els recomptes superiors a 99 es mostren com a 99+.)

La insígnia en els seus tres estats (el navegador la dibuixa, de manera que la ubicació exacta varia una mica segons el navegador): un recompte vermell de discordances, un recompte gris d'enllaços analitzats i la insígnia OFF mentre l'extensió està desactivada; el seu logotip també és gris clar apagat. En una pàgina on l'extensió està activada però no és activa no hi ha insígnia; l'absència de la insígnia OFF distingeix aquest mateix logotip apagat de l'estat desactivat.

Aquestes il·lustracions no mostren tots els casos sense insígnia; una pàgina activa sense enllaços analitzables conserva la icona de color normal.

(A Thunderbird, el botó només mostra la seva icona, així que es manté compacte a la barra d'eines unificada. També podeu activar i desactivar Reveal URLs amb l'interruptor Activa Reveal URLs de la pàgina de configuració.)

La pàgina de configuració

A la pàgina de configuració hi ha totes les opcions. Obre-la des de la pàgina d'extensions del teu navegador, per exemple a través de Details → Extension options, o bé s'obrirà sola durant la primera instal·lació.

• Activa Reveal URLs — el commutador principal per activar i desactivar a la part superior de la pàgina. Té efecte immediat, sense necessitat de desar la resta del formulari.
• Llengua de visualització — tria la llengua en què es mostrarà la pàgina de configuració. Per defecte segueix la llengua del teu navegador i torna a l'anglès si la teva llengua no és compatible. Ho pots canviar triant una altra llengua de la llista. La teva elecció té efecte immediat, es recorda i es desa només en aquest dispositiu.
• Ressalta els enllaços que no coincideixen — activa o desactiva el ressaltat de les discrepàncies.
• Color de discrepància — color CSS per a l'enllaç marcat, per exemple red, #cc0000 o rgb(200, 0, 0). El valor predeterminat és el vermell.
• Color sense discrepàncies — el color de l'URL revelat als enllaços sense discrepàncies (per exemple black o #b45309). Per defecte és un to d'advertiment ambre (#b45309), triat perquè un enllaç sense advertiment no sembli verificat com a segur.
• Mostra en línia només els enllaços que no coincideixen — amaga la revelació visible en línia dels enllaços sense discrepàncies; el seu URL de destinació roman a l'atribut title de l'enllaç i apareix en passar-hi el cursor.
• Ignora aquests amfitrions — llista de hostname que s'han d'ometre del tot, un per línia. També s'ometen els sub-domain de l'host indicat.
• Longitud màxima de l'URL mostrat — les URL llargues es retallen a partir d'aquest nombre de caràcters, mantenint visible l'host. El rang permès és de 20 a 2000.
• Mida / gruix de la lletra de l'URL revelat — canvis tipogràfics opcionals. Deixa-ho buit si vols mantenir els valors predeterminats.

Excepte el commutador principal Activa Reveal URLs i els controls d'Llocs actius, que s'apliquen immediatament, els canvis es desen amb el botó Desa la configuració.

Llocs actius — afegir el teu propi webmail

L'apartat Llocs actius a la part superior de la pàgina de configuració llista les pàgines on funciona Reveal URLs. Ara manté una alçada fixa: tria un lloc al menú desplegable i edita només la configuració d'aquest lloc al panell de sota.

El menú desplegable mostra una entrada per a cada regla de lloc:

• les regles integrades fan servir noms fàcils de llegir com Gmail, Proton Mail i Outlook (Live);
• quan diverses regles comparteixen un mateix nom, el menú desplegable hi afegeix l'host entre parèntesis, per exemple Tuta (app.tuta.com) i Zoho Mail (mail.zoho.eu);
• una regla afegida per l'usuari fa servir el seu Nom opcional, o bé el seu match URL si el nom es deixa en blanc.

L'editor del lloc seleccionat mostra:

• la URL de coincidència del lloc com a identificador de només lectura;
• el Nom editable del lloc;
• un commutador Activat;
• el Selector del cos del missatge (el CSS selector del container que Reveal URLs anota), que pots editar;
• un commutador Submarcs, per als llocs on el cos del missatge es mostra dins d'un iframe;
• un botó Elimina només per als teus propis llocs.

Els serveis integrats (FastMail, Gmail, Outlook Live, Outlook 365, Proton, Tuta, Yahoo i Zoho) es poden desactivar i reorientar, però no es poden eliminar. Els seus noms també es poden canviar aquí; si s'esborra el nom d'un proveïdor integrat, es restaura el seu nom amigable predeterminat.

Per afegir el teu propi lloc de webmail:

1. A l'apartat Afegeix un lloc, introdueix URL de coincidència — un match pattern com https://mail.example.com/*.
2. Introdueix opcionalment un Nom per al menú desplegable. Deixa'l en blanc si vols que es faci servir el match URL.
3. Introdueix Selector del cos del missatge — un CSS selector per al container que conté el cos del missatge, per exemple .message-body.
4. Si el cos del missatge es mostra dins d'un subframe, marca Executa també dins de submarcs.
5. Fes clic a Afegeix un lloc. El teu navegador et demanarà permís per accedir a aquest lloc. Concedeix-lo. El lloc només s'afegeix quan el permís queda confirmat.

Els canvis aquí s'apliquen immediatament. Eliminar un lloc que has afegit també en revoca el permís, de manera que Reveal URLs deixa d'accedir-hi. Si vols canviar la match URL d'un lloc, elimina'l i afegeix-lo de nou: la match es manté de només lectura perquè és la identitat de la regla.

Thunderbird (i altres clients de correu). Thunderbird ja mostra cada missatge que llegeixes, independentment del proveïdor, de manera que no li cal una llista per host. Per això l'apartat Llocs actius no es mostra a la pàgina de configuració de Thunderbird. Allà només s'hi mostren el commutador principal, la llengua de visualització, els colors, les fonts i la llista d'ignorats. Qualsevol configuració de llocs actius que hagis establert en un navegador es manté intacta. Desar la configuració al Thunderbird no l'esborra mai.

Complements d'Outlook i Gmail

A més de l'extensió del navegador i del complement per al Thunderbird, Reveal URLs també està disponible com a native complement per a dues aplicacions de correu a les quals una extensió de navegador no pot arribar: Outlook add-in i Gmail add-on. Comparteixen el reconeixement d'URL i host http/https de l'extensió del navegador, però no analitzen els seus esquemes d'enllaç addicionals.

L'única diferència és com mostren les troballes. L'extensió del navegador anota els enllaços al mateix lloc, acolorint l'URL damunt o al costat de cada enllaç. Els marcs de treball d'Outlook i Gmail no permeten que un complement modifiqui el missatge renderitzat, de manera que cada complement mostra en canvi un panell lateral (Outlook) o una targeta (Gmail) amb la llista dels enllaços trobats. Per a cada enllaç http/https es mostren el text visible i l'URL de destí, i només es marca una discrepància quan el text visible indica un URL o un nom d'host el domini registrable del qual no coincideix amb el de la destinació de l'enllaç.

• Outlook add-in — task pane que llegeix el missatge que tens obert i l'analitza al teu dispositiu. No s'envia enlloc cap dada de correu electrònic ni del missatge. El codi del task pane, és a dir HTML, JavaScript, CSS i icones, es carrega des de https://www.reveal-urls.eu per HTTPS, com passa quan obres qualsevol pàgina web. Dona cobertura a Outlook on the web, Windows, Mac, iOS, Android i Outlook.com.
• Gmail add-on — targeta a la barra lateral de Gmail. Obre un missatge i, tot seguit, fes clic a la icona de Reveal URLs de la barra lateral dreta per veure'n els enllaços. Gmail no obre la targeta tot sol, però si deixes el panell obert es va actualitzant mentre et mous entre missatges. Un enllaç sosia es marca en vermell amb una icona d’avís; l’URL d’un enllaç sense discrepàncies es mostra amb el color de text predeterminat de la targeta, que segueix el tema clar o fosc de Gmail. Dona cobertura a Gmail al web, Android i iOS. A diferència de les altres formes, el Gmail add-on s'executa als servidors de Google, perquè així funcionen els complements de Gmail. El missatge que obres s'hi llegeix i s'hi comprova cada vegada que l'obres, i no es reté. Consulta la política de privadesa per veure a què accedeix i què emmagatzema cada forma.

El complement de Gmail ja està disponible a través de Google Workspace Marketplace.

Idiomes

Reveal URLs està disponible en anglès i en moltes altres llengües.

• La pàgina de configuració segueix automàticament la llengua del teu navegador i recorre a l'anglès si la teva llengua no és compatible. Ho pots canviar en qualsevol moment amb el selector Llengua de visualització a la part superior de la pàgina. La teva elecció es recorda en aquest dispositiu. Consulta La pàgina de configuració.
• Aquest lloc web, és a dir, la pàgina inicial i aquestes pàgines de documentació, també detecta la llengua del teu navegador i ofereix un selector d'idioma a la capçalera. El manual i les pàgines de privadesa estan disponibles traduïts. Si una pàgina encara no té traducció, es mostra en anglès.

El text no anglès està machine-translated i pendent de revisió humana, de manera que alguna formulació de vegades pot sonar estranya. La intenció és que el significat sigui el mateix que a l'original anglès. Si detectes una traducció incorrecta, obre una issue al Codeberg issue tracker.

Privadesa

Reveal URLs no envia cap de les teves dades de correu electrònic o de missatge ni a nosaltres ni a tercers, en cap de les seves formes. No hi ha analytics ni hi ha tracking. El lloc i la manera com es fa la feina depenen de la forma:

• L'extensió del navegador i el complement per al Thunderbird funcionen completament al teu propi dispositiu i no transmeten res. Llegeixen el text de l'enllaç, les URL i els colors de la pàgina durant el renderitzat, sense emmagatzemar ni enviar mai aquestes dades.
• L'Outlook add-in analitza el missatge obert al teu dispositiu i no envia enlloc cap dada de correu electrònic ni del missatge. El seu codi de task pane, és a dir HTML, JavaScript, CSS i icones, es carrega des de https://www.reveal-urls.eu per HTTPS com qualsevol altra pàgina web.
• El Gmail add-on s'executa als servidors de Google, perquè així funcionen els complements de Gmail. El missatge obert s'hi llegeix i s'hi comprova cada vegada que l'obres, i no es reté.

L'únic que s'emmagatzema és la teva pròpia configuració, com ara si Reveal URLs està activat o desactivat, els colors, les mides de lletra, la teva llista d'ignorats i tots els llocs que hagis afegit. Tot això es desa al per-user storage del teu navegador, d'Outlook o de Google i no se ns envia mai.

Trobaràs tots els detalls a la política de privadesa.

Resolució de problemes

No es revela algun enllaç.

• Comprova que Reveal URLs estigui activat. La icona de la barra d'eines no ha de mostrar la marca OFF, i el commutador Activa Reveal URLs de la pàgina de configuració ha d'estar activat.
• Comprova que el lloc estigui cobert. Els serveis integrats (FastMail, Gmail, Outlook Live, Outlook 365, Proton, Tuta, Yahoo i Zoho) funcionen de seguida. Qualsevol altre webmail s'ha d'afegir a Llocs actius amb el seu match URL i el seu message-body selector.
• Comprova el message-body selector. Si no coincideix amb el container que conté el cos del missatge, els enllaços d'aquest container no es revelaran.
• Els proveïdors amb open shadow root es descobreixen amb l'escaneig del body per lots tan aviat com s'executa un lot del body observer després que l'host entri al DOM. Un shadow root tardà s'actualitza al següent lot de mutacions del body. L'únic cas no compatible és que aparegui un host o un shadow root i després no es torni a produir mai cap mutació del body a la pàgina.
• L'extensió del navegador i Thunderbird també revelen enllaços que fan servir altres scheme — mailto: (correu), tel:/sms: (telèfon) i scheme opacs com ara javascript:, data: o blob: — i els marquen quan el text visible indica un destí diferent d'aquell al qual l'enllaç apunta de debò; els enllaços javascript:, data: i vbscript: sempre es marquen (per exemple una adreça mostrada com billing@paypal.com el mailto: de la qual apunta a un altre domini, o un enllaç que sembla una adreça web però en realitat és un enllaç javascript:). Només s'ometen els enllaços a àncores de la mateixa pàgina (#…) i els enllaços buits o no analitzables, així com els host de la teva llista Ignora aquests amfitrions. Tingues en compte que aquesta cobertura més àmplia de scheme s'aplica a l'anotació inline de l'extensió del navegador; els panells de troballes dels complements natius d'Outlook i Gmail de moment només cobreixen enllaços http/https.

Un servei integrat ha deixat de funcionar després d'un redisseny.

Els serveis de webmail canvien de tant en tant el markup de les seves pàgines. Si el selector d'un servei integrat deixa de coincidir després d'un canvi així, el pots corregir tu mateix: a Llocs actius, edita el message-body selector d'aquell servei perquè apunti al nou container.

Llicència i codi font

Reveal URLs és programari lliure, amb llicència GNU Affero General Public License v3.0 (AGPL-3.0-only).

• Codi font: https://codeberg.org/Magentron/reveal-urls
• Descripció tècnica: Architecture
• Més informació sobre el phishing amb enllaços: Email link phishing: your app should always show the URL

Notes de Safari

Safari només mostra una insígnia quan els enllaços no coincideixen; no té cap comptador gris de pàgina segura. Torna a obrir la configuració amb el menú de clic dret Reveal URLs — settings, en lloc de recarregar una pestanya antiga.