Reveal URLs — Manual d'usuari

Reveal URLs és una extensió petita per al navegador i un complement per al Thunderbird que et mostra cap a on va realment un enllaç del teu correu electrònic, perquè puguis detectar un enllaç de phishing abans de fer-hi clic.

Aquest manual explica com instal·lar Reveal URLs i com fer-lo servir. Per saber com es tracten les teves dades, consulta la política de privadesa. Per a una visió tècnica de com està construïda l'extensió, consulta la descripció de l'arquitectura.

Si has trobat un error, un enllaç marcat incorrectament o un host de webmail que hauria de ser compatible, comunica-ho al Codeberg issue tracker.

Contingut

• Què fa i per què
• Navegadors compatibles i el client de correu
• Instal·lació
• Ús
• Complements d'Outlook i Gmail
• Idiomes
• Privadesa
• Resolució de problemes
• Llicència i codi font

Què fa i per què

Un missatge de phishing amaga un destí hostil darrere d'un text d'enllaç que sembla fiable. De vegades és un host que només s'assembla al real: el text diu paypal.com, però l'enllaç realment apunta a paypa1.com. Sovint el truc és més subtil i passa per un tracker o un redirector, de manera que el lloc on acabes no té gairebé res a veure amb la marca esmentada en el text.

Nota: Aquesta captura de pantalla mostra un correu de phishing fraudulent que suplanta Correos. Correos no està afiliada a Reveal URLs ni li dona suport.

Reveal URLs llegeix cada enllaç del missatge que estàs veient i et mostra l'URL al qual apunta. Quan l'host indicat en el text de l'enllaç no coincideix amb l'host al qual l'enllaç va de debò, Reveal URLs ho marca perquè la discrepància quedi clara abans de fer clic.

En l'extensió del navegador i en el complement per al Thunderbird, tot passa al teu propi dispositiu i no s'envia res enlloc. Cap forma de Reveal URLs no envia les teves dades de correu electrònic ni a nosaltres ni a tercers: no hi ha analytics ni hi ha tracking. Les diferents formes només es diferencien pel lloc on s'executen i per com es lliura el codi del panell d'Outlook. Trobaràs més detalls a l'apartat Privadesa i a la política de privadesa.

Navegadors compatibles i el client de correu

Reveal URLs funciona a:

• Google Chrome
• Microsoft Edge
• Opera
• Mozilla Firefox
• Mozilla Thunderbird (el client de correu d'escriptori)

La versió per a Safari encara no s'ha publicat. Està prevista per a una fase posterior.

Als navegadors, Reveal URLs anota els enllaços del teu webmail. Al Thunderbird anota els enllaços directament al missatge de correu que llegeixes dins del mateix client.

Instal·lació

Des de la botiga del teu navegador o client de correu (recomanat)

Instal·la Reveal URLs des de la botiga del teu navegador o client de correu. Les publicacions de Chrome, Edge, Firefox i Thunderbird ja estan disponibles. Opera fa servir el build de Chrome, i una fitxa específica d'Opera encara està en preparació:

• Chrome — the Chrome Web Store
• Edge — Microsoft Edge Add-ons
• Opera — instal·la la versió de Chrome des de the Chrome Web Store. Una fitxa específica d'Opera arribarà aviat
• Firefox — Firefox Add-ons (AMO)
• Thunderbird — Thunderbird Add-ons (ATN)

Carregar tu mateix un build (desenvolupament i proves primerenques)

Si has construït Reveal URLs a partir del codi font, pots carregar directament el build descomprimit. Cada target es construeix amb una comanda make i es genera dins del directori dist/<target>/:

make build-chrome        # produces dist/chrome
make build-edge          # produces dist/edge
make build-opera         # produces dist/opera
make build-firefox       # produces dist/firefox
make build-thunderbird   # produces dist/thunderbird

Després carrega el directori corresponent:

• Chrome — obre chrome://extensions, activa Developer mode, fes clic a Load unpacked i selecciona dist/chrome.
• Edge — obre edge://extensions, activa Developer mode, fes clic a Load unpacked i selecciona dist/edge.
• Opera — obre opera://extensions, activa Developer mode, fes clic a Load unpacked i selecciona dist/opera.
• Firefox — obre about:debugging, tria This Firefox, fes clic a Load Temporary Add-on i selecciona qualsevol fitxer dins del directori dist/firefox, per exemple manifest.json. El complement temporal s'elimina quan es reinicia el Firefox.
• Thunderbird — instal·la el complement temporal des de dist/thunderbird de la mateixa manera a través de Tools → Developer Tools → Debug Add-ons → Load Temporary Add-on.

La pàgina de configuració s'obre automàticament la primera vegada que s'instal·la l'extensió.

Ús

Tot just instal·lat, Reveal URLs anota els enllaços dels missatges dels serveis integrats sense cap configuració addicional:

• Gmail (mail.google.com)
• Outlook Live (outlook.live.com)
• Outlook on the web / Microsoft 365 (outlook.office.com)
• Proton Mail (mail.proton.me)

L'anotació queda limitada al cos del missatge, de manera que el chrome propi de l'aplicació, com ara la barra lateral, la finestra de redacció i les barres d'eines, es manté intacte. Al Thunderbird queda cobert tot el rendered email.

Els dos modes de revelació

A la pàgina de configuració, a Reveal the URL, tries com s'ha de mostrar l'URL real:

• Inline — l'URL real es mostra en la seva pròpia línia, just damunt del text de l'enllaç. Aquesta és l'opció predeterminada.
• In the link's tooltip (title) — l'URL real s'escriu al tooltip de l'enllaç, de manera que la veus quan hi deixes el cursor a sobre.

Ressaltat de discrepàncies

Quan l'host indicat en el text visible d'un enllaç no coincideix amb l'host al qual l'enllaç apunta de debò, Reveal URLs ho marca com una discrepància. La comparació es fa sobre el domini registrable, de manera que un sub-domain legítim com mail.example.com per a example.com no es marca, mentre que un host look-alike com paypa1.com per a paypal.com sí que es marca.

• En el mode inline la discrepància es mostra amb el color de mismatch que hagis triat i en negreta.
• En el mode tooltip (title) s'afegeix una marca clara ⚠ URL mismatch al costat de l'enllaç.

Ho controlen dues opcions relacionades:

• Highlight mismatching links activa o desactiva el ressaltat de les discrepàncies.
• Only annotate mismatching links deixa completament intactes els enllaços legítims, de manera que només es revelen els sospitosos.

El botó de la barra d'eines

A Chrome, Edge, Opera, Firefox i Thunderbird, la icona de Reveal URLs a la barra d'eines és un interruptor ràpid d'encesa/apagada: feu-hi clic per commutar l'anotació. Quan l'extensió està desactivada, apareix una insígnia OFF a la icona, i la seva informació sobre eines us diu si fer-hi clic l'activarà o la desactivarà. Als navegadors, el canvi té efecte a totes les pestanyes obertes alhora; a Thunderbird s'aplica al missatge següent que obriu.

(A Thunderbird, el botó només mostra la seva icona, així que es manté compacte a la barra d'eines unificada. També podeu activar i desactivar Reveal URLs amb l'interruptor Enable de la pàgina de configuració.)

La pàgina de configuració

A la pàgina de configuració hi ha totes les opcions. Obre-la des de la pàgina d'extensions del teu navegador, per exemple a través de Details → Extension options, o bé s'obrirà sola durant la primera instal·lació.

• Enable Reveal URLs — el commutador principal per activar i desactivar a la part superior de la pàgina. Té efecte immediat, sense necessitat de desar la resta del formulari.
• Display language — tria la llengua en què es mostrarà la pàgina de configuració. Per defecte segueix la llengua del teu navegador i torna a l'anglès si la teva llengua no és compatible. Ho pots canviar triant una altra llengua de la llista. La teva elecció té efecte immediat, es recorda i es desa només en aquest dispositiu.
• Reveal the URL — tria el mode inline o tooltip (title), tal com s'ha descrit més amunt.
• Highlight mismatching links — activa o desactiva el ressaltat de les discrepàncies.
• Mismatch colour — color CSS per a l'enllaç marcat, per exemple red, #cc0000 o rgb(200, 0, 0). El valor predeterminat és el vermell.
• Match colour — color de l'URL revelada per als enllaços legítims sense discrepància, per exemple black o #1a1a1a. Per defecte és un gris molt fosc i neutre (#1a1a1a).
• Only annotate mismatching links — deixa intactes els enllaços legítims.
• Ignore these hosts — llista de hostname que s'han d'ometre del tot, un per línia. També s'ometen els sub-domain de l'host indicat.
• Maximum displayed URL length — les URL llargues es retallen a partir d'aquest nombre de caràcters, mantenint visible l'host. El rang permès és de 20 a 2000.
• Revealed URL font size / weight i Warning badge font size / weight — canvis tipogràfics opcionals. Deixa-ho buit si vols mantenir els valors predeterminats.

Excepte el commutador principal Enable i els controls d'Active sites, que s'apliquen immediatament, els canvis es desen amb el botó Save settings.

Llocs actius — afegir el teu propi webmail

L'apartat Active sites a la part superior de la pàgina de configuració llista les pàgines on funciona Reveal URLs i el container que conté el cos de cada missatge.

Cada fila mostra:

• el match pattern del lloc, per exemple https://mail.example.com/*
• un commutador Enabled
• el message-body selector, és a dir, el CSS selector del container que Reveal URLs anota i que pots editar
• un commutador Sub-frames, per als llocs on el cos del missatge es mostra dins d'un iframe
• un botó Remove, només per als llocs que has afegit tu mateix

Els serveis integrats, com Gmail, Outlook i Proton, es poden desactivar o reorientar, però no es poden eliminar.

Per afegir el teu propi lloc de webmail:

1. A l'apartat Add site, introdueix Match URL — un match pattern com https://mail.example.com/*.
2. Introdueix Message-body selector — un CSS selector per al container que conté el cos del missatge, per exemple .message-body.
3. Si el cos del missatge es mostra dins d'un subframe, marca Also run inside sub-frames.
4. Fes clic a Add site. El teu navegador et demanarà permís per accedir a aquest lloc. Concedeix-lo. El lloc només s'afegeix quan el permís queda confirmat.

Els canvis aquí s'apliquen immediatament. Eliminar un lloc que has afegit també en revoca el permís, de manera que Reveal URLs deixa d'accedir-hi.

Thunderbird (i altres clients de correu). Thunderbird ja mostra cada missatge que llegeixes, independentment del proveïdor, de manera que no li cal una llista per host. Per això l'apartat Active sites no es mostra a la pàgina de configuració de Thunderbird. Allà només s'hi mostren el commutador principal, la llengua de visualització, el mode de revelació, els colors, les fonts i la llista d'ignorats. Qualsevol configuració de llocs actius que hagis establert en un navegador es manté intacta. Desar la configuració al Thunderbird no l'esborra mai.

Complements d'Outlook i Gmail

A més de l'extensió del navegador i del complement per al Thunderbird, Reveal URLs també està disponible com a native complement per a dues aplicacions de correu a les quals una extensió de navegador no pot arribar: Outlook add-in i Gmail add-on. Tots dos fan servir la mateixa detecció d'enllaços que l'extensió i, per tant, revelen les mateixes URL i marquen els mateixos hosts look-alike.

L'única diferència és com mostren les troballes. L'extensió del navegador anota els enllaços al mateix lloc, acolorint l'URL damunt o al costat de cada enllaç. Els marcs de treball d'Outlook i Gmail no permeten que un complement modifiqui el missatge renderitzat, de manera que cada complement mostra en canvi un panell lateral (Outlook) o una targeta (Gmail) amb la llista dels enllaços trobats. Per a cada enllaç es mostra el text visible, l'URL de destí i l'host registrable, i es marca una discrepància quan el text visible indica un domini registrable diferent d'aquell al qual realment apunta l'enllaç.

• Outlook add-in — task pane que llegeix el missatge que tens obert i l'analitza al teu dispositiu. No s'envia enlloc cap dada de correu electrònic ni del missatge. El codi del task pane, és a dir HTML, JavaScript, CSS i icones, es carrega des de https://www.reveal-urls.eu per HTTPS, com passa quan obres qualsevol pàgina web. Dona cobertura a Outlook on the web, Windows, Mac, iOS, Android i Outlook.com.
• Gmail add-on — targeta a la barra lateral de Gmail. Obre un missatge i, tot seguit, fes clic a la icona de Reveal URLs de la barra lateral dreta per veure'n els enllaços. Gmail no obre la targeta tot sol, però si deixes el panell obert es va actualitzant mentre et mous entre missatges. L'URL de cada enllaç es mostra en gris fosc neutre per als enllaços legítims i en vermell per als look-alike. Dona cobertura a Gmail al web, Android i iOS. A diferència de les altres formes, el Gmail add-on s'executa als servidors de Google, perquè així funcionen els complements de Gmail. El missatge que obres s'hi llegeix i s'hi comprova cada vegada que l'obres, i no es reté. Consulta la política de privadesa per veure a què accedeix i què emmagatzema cada forma.

Tots dos complements es distribuiran a través de les seves botigues d'aplicacions: l'Outlook add-in a través de Microsoft AppSource, i el Gmail add-on a través de Google Workspace Marketplace. La publicació encara està pendent. Els enllaços directes d'instal·lació s'afegiran aquí tan bon punt cada fitxa estigui activa.

Idiomes

Reveal URLs està disponible en anglès i en moltes altres llengües.

• La pàgina de configuració segueix automàticament la llengua del teu navegador i recorre a l'anglès si la teva llengua no és compatible. Ho pots canviar en qualsevol moment amb el selector Display language a la part superior de la pàgina. La teva elecció es recorda en aquest dispositiu. Consulta La pàgina de configuració.
• Aquest lloc web, és a dir, la pàgina inicial i aquestes pàgines de documentació, també detecta la llengua del teu navegador i ofereix un selector d'idioma a la capçalera. El manual i les pàgines de privadesa estan disponibles traduïts. Si una pàgina encara no té traducció, es mostra en anglès.

El text no anglès està machine-translated i pendent de revisió humana, de manera que alguna formulació de vegades pot sonar estranya. La intenció és que el significat sigui el mateix que a l'original anglès. Si detectes una traducció incorrecta, obre una issue al Codeberg issue tracker.

Privadesa

Reveal URLs no envia cap de les teves dades de correu electrònic o de missatge ni a nosaltres ni a tercers, en cap de les seves formes. No hi ha analytics ni hi ha tracking. El lloc i la manera com es fa la feina depenen de la forma:

• L'extensió del navegador i el complement per al Thunderbird funcionen completament al teu propi dispositiu i no transmeten res. Llegeixen el text de l'enllaç, les URL i els colors de la pàgina durant el renderitzat, sense emmagatzemar ni enviar mai aquestes dades.
• L'Outlook add-in analitza el missatge obert al teu dispositiu i no envia enlloc cap dada de correu electrònic ni del missatge. El seu codi de task pane, és a dir HTML, JavaScript, CSS i icones, es carrega des de Codeberg Pages per HTTPS com qualsevol altra pàgina web.
• El Gmail add-on s'executa als servidors de Google, perquè així funcionen els complements de Gmail. El missatge obert s'hi llegeix i s'hi comprova cada vegada que l'obres, i no es reté.

L'únic que s'emmagatzema és la teva pròpia configuració, com ara si Reveal URLs està activat o desactivat, el mode de revelació, els colors, les mides de lletra, la teva llista d'ignorats i tots els llocs que hagis afegit. Tot això es desa al per-user storage del teu navegador, d'Outlook o de Google i no se ns envia mai.

Trobaràs tots els detalls a la política de privadesa.

Resolució de problemes

No es revela algun enllaç.

• Comprova que Reveal URLs estigui activat. La icona de la barra d'eines no ha de mostrar la marca OFF, i el commutador Enable Reveal URLs de la pàgina de configuració ha d'estar activat.
• Comprova que el lloc estigui cobert. Els serveis integrats Gmail, Outlook i Proton funcionen de seguida. Qualsevol altre webmail s'ha d'afegir a Active sites amb el seu match URL i el seu message-body selector.
• Comprova el message-body selector. Si no coincideix amb el container que conté el cos del missatge, els enllaços d'aquest container no es revelaran.
• Tingues en compte que els enllaços a àncores de la mateixa pàgina i els enllaços que fan servir scheme diferents de http/https, com ara mailto:, s'ometen expressament. El mateix passa amb els host de la teva llista Ignore these hosts.

Un servei integrat ha deixat de funcionar després d'un redisseny.

Els serveis de webmail canvien de tant en tant el markup de les seves pàgines. Si el selector d'un servei integrat deixa de coincidir després d'un canvi així, el pots corregir tu mateix: a Active sites, edita el message-body selector d'aquell servei perquè apunti al nou container.

No es mostra l'URL del tooltip.

En el mode tooltip (title), l'URL real es col·loca al tooltip de l'enllaç, de manera que només es veu quan hi deixes el cursor a sobre. Si prefereixes veure l'URL sense hover, canvia Reveal the URL al mode inline.

Llicència i codi font

Reveal URLs és programari lliure, amb llicència GNU Affero General Public License v3.0 (AGPL-3.0-only).

• Codi font: https://codeberg.org/Magentron/reveal-urls
• Descripció tècnica: Architecture
• Més informació sobre el phishing amb enllaços: Email link phishing: your app should always show the URL