Reveal URLs

Safari is supported through its macOS Xcode container and App Store route. Built-in providers use static scripts and Safari requests no all-sites access. A user-added site needs a runtime optional permission, then Safari injects content.js after navigation only for a granted, enabled, non-builtin rule; sub-frames run only when All frames is enabled. Safari settings are device-local and do not roam.

Reveal URLs — Handbuch

Reveal URLs ist eine kleine Browser-Erweiterung (und ein Thunderbird-Add-on), die dir zeigt, wohin ein Link in deiner E-Mail wirklich führt, sodass du einen Phishing-Link erkennen kannst, bevor du darauf klickst.

Dieses Handbuch erklärt, wie du Reveal URLs installierst und wie du es benutzt. Bei häufigen Fragen siehe die FAQ; zur Verarbeitung deiner Daten siehe die Datenschutzerklärung; einen technischen Überblick bietet der Architekturüberblick.

Einen Fehler gefunden, einen Link, der fälschlicherweise markiert (oder übersehen) wurde, oder einen Webmail-Host, der unterstützt werden sollte? Bitte melde es im Codeberg-Issue-Tracker.

Inhalt

Was es macht und warum

Eine Phishing-E-Mail verbirgt ein feindliches Ziel hinter vertrauenswürdig aussehendem Linktext. Manchmal ist es ein ähnlich aussehender Host: Der Text lautet paypal.com, während der Link auf paypa1.com verweist. Oft ist es subtiler und führt über einen Tracker oder eine Weiterleitung, sodass das Ziel, auf dem du landest, nichts mit der im Text genannten Marke zu tun hat.

Eine Phishing-E-Mail, die sich als ein Postdienstleister ausgibt, behauptet, ein Paket werde zurückgehalten, bis offene Zollgebühren bezahlt sind, und drängt zur Zahlung über eine Schaltfläche „Zur Zahlung“. Reveal URLs zeigt, dass die Schaltfläche nicht auf diesen Postdienstleister verweist, sondern auf parcel-pay.custom.co.xa, eine nicht zugehörige Website, und entlarvt die Nachricht so als Betrug.
Reveal URLs entlarvt die Schaltfläche „Zur Zahlung“: Sie verweist auf parcel-pay.custom.co.xa, nicht auf den Postdienstleister, als den sie sich ausgibt.

Hinweis: Dieser Screenshot zeigt eine betrügerische Phishing-E-Mail, die sich als ein Postdienstleister ausgibt. Der nachgeahmte Postdienstleister ist nicht mit Reveal URLs verbunden und unterstützt es nicht.

Reveal URLs liest jeden Link in der Nachricht, die du gerade liest, und zeigt dir die URL, auf die er tatsächlich zeigt. In der Browser-Erweiterung und in Thunderbird markiert es irreführende Web-, E-Mail-, Telefon- und andere Links, sodass der Unterschied deutlich ist, bevor du klickst.

Reveal URLs deckt auf und markiert; es prüft nicht. Es folgt keinen Weiterleitungen: Ein Link, der über einen Tracker oder Weiterleiter führt, wird als die URL des Weiterleiters angezeigt, die er tatsächlich nennt; Reveal URLs kann nicht erkennen, wo diese Weiterleitung letztlich endet. Bei einem Link ohne Warnung wurde keine zutreffende Abweichung festgestellt, nicht als sicher bestätigt, lies daher die aufgedeckte URL, bevor du einem Link vertraust, auch wenn nichts markiert ist. Damit du das im Blick behältst, wird die aufgedeckte URL bei einem nicht markierten Link in einem bernsteinfarbenen „Prüf“-Ton angezeigt statt in einem beruhigenden Grün.

Eine Gmail-Nachricht mit aktivem Reveal URLs: ein irreführender Link ist rot markiert, wobei die Tracking-URL, auf die er verweist, über dem Linktext aufgedeckt wird, während bei einem Link ohne Abweichung die URL ohne Warnung aufgedeckt wird.

Hinweis: E-Mail-Adressen, URLs und Namen in diesem Screenshot wurden aus Datenschutzgründen mit Sternchen maskiert.

In der Browser-Erweiterung und im Thunderbird-Add-on geschieht alles auf deinem eigenen Gerät, wobei nichts übertragen wird. In jeder Form sendet Reveal URLs keine deiner E-Mail-Daten an uns oder an irgendeinen Dritten — es gibt kein Analytics und kein Tracking. (Die Formen unterscheiden sich darin, wo sie laufen und wie der Code des Outlook-Bereichs bereitgestellt wird; siehe den Abschnitt Datenschutz und die Datenschutzerklärung für alle Details.)

Unterstützte Browser und Mail-Apps

Reveal URLs läuft auf:

Webbrowser:

Mail-Anwendungen:

Auf den Browser-Zielen annotiert Reveal URLs Links in deiner Webmail. In Thunderbird annotiert es die Links in der E-Mail, die du liest, direkt im Mail-Client.

Installieren

Aus dem Store deines Browsers oder Mail-Clients (empfohlen)

Installiere Reveal URLs aus dem Store für deinen Browser oder dein E-Mail-Programm. Alle Einträge sind jetzt verfügbar; Opera führt den Chrome-Build aus.

Webbrowser:

Mail-Anwendungen:

Einen Build selbst laden (Entwickler und frühes Testen)

Wenn du Reveal URLs aus dem Quellcode gebaut hast, kannst du den entpackten Build direkt laden. Jedes Ziel wird mit einem make-Befehl gebaut und unter dist/<target>/ erzeugt:

make build-chrome        # erzeugt dist/chrome
make build-edge          # erzeugt dist/edge
make build-firefox       # erzeugt dist/firefox
make build-gmail         # erzeugt dist/gmail
make build-opera         # erzeugt dist/opera
make build-outlook       # erzeugt dist/outlook
make build-safari        # erzeugt dist/safari
make build-thunderbird   # erzeugt dist/thunderbird

Lade anschließend den resultierenden Ordner:

Die Safari-Erweiterung, das Outlook-Add-in und das Gmail-Add-on werden nicht als entpackte Browser-Erweiterungen geladen. Bauen Sie sie wie oben und dann:

make deploy-gmail        # stellt das Gmail-Add-on in Apps Script bereit
make safari-xcode        # baut das Safari-Xcode-Projekt, dann darüber ausführen
                         # über das Develop-Menü von Safari (macOS)
                         # Outlook: dist/outlook per Sideload laden

Die Einstellungsseite öffnet sich automatisch, wenn die Erweiterung zum ersten Mal installiert wird.

Verwendung

Out of the box annotiert Reveal URLs die Links in Nachrichten bei den eingebauten Anbietern — keine Einrichtung erforderlich:

Die Annotation ist auf den Nachrichtentext begrenzt, sodass die eigene Oberfläche der App — ihre Seitenleiste, ihr Verfassen-Fenster und ihre Symbolleisten — unangetastet bleibt. In Thunderbird wird die gesamte dargestellte E-Mail abgedeckt.

Reveal URLs annotiert eine Gmail-Nachricht: die URL jedes Links wird in einer eigenen Zeile über dem Linktext gezeigt, mit einem nicht übereinstimmenden Tracking-Link in Rot und einem Link ohne Abweichung, dessen URL ohne Warnung aufgedeckt wird.

Hinweis: E-Mail-Adressen, URLs und Namen in diesem Screenshot wurden aus Datenschutzgründen mit Sternchen maskiert.

Wie die tatsächliche URL angezeigt wird

Die tatsächliche URL jedes Links wird in einer eigenen Zeile direkt über dem Linktext angezeigt. Sie wird auch im Tooltip (Titel) des Links platziert, sodass die vollständige URL immer vorhanden ist, wenn du mit der Maus über den Link fährst.

Bei Web-Links vergleicht Reveal URLs URL- oder Hostnamen im sichtbaren Text eines Links mit der URL, auf die er zeigt. Der Vergleich erfolgt anhand der registrierbaren Domain, sodass eine Subdomain ohne Abweichung wie mail.example.com für example.com nicht markiert wird, während ein Look-alike wie paypa1.com für paypal.com markiert wird. Die Browser-Erweiterung und Thunderbird prüfen auch E-Mail-, Telefon- und undurchsichtige Links; javascript:, data: und vbscript:-Links werden immer markiert.

Die Prüfung betrachtet nur die URL, die der Link selbst nennt; Weiterleitungen werden nie verfolgt, daher wird ein Link über einen Tracker oder Weiterleiter als dessen URL verglichen, nicht als die Seite, die er letztlich erreicht.

Ein Mismatch wird in deiner gewählten Mismatch-Farbe und fett angezeigt.

Zwei zugehörige Einstellungen steuern dies:

Die Einstellungsseite: der Modus-Wähler 'URL aufdecken', der Schalter 'Nicht übereinstimmende Links hervorheben' und die Felder für die Mismatch-Farbe und Farbe ohne Abweichung.

Die Symbolleisten-Schaltfläche

In Chrome, Edge, Opera, Firefox und Thunderbird ist das Symbol von Reveal URLs in der Symbolleiste ein schneller Ein/Aus-Schalter — klicke darauf, um die Annotation umzuschalten. Wenn die Erweiterung ausgeschaltet ist, erscheint ein OFF-Abzeichen auf dem Symbol, und sein Tooltip sagt dir, ob ein Klick sie ein- oder ausschaltet. In den Browsern wird die Änderung in allen offenen Tabs gleichzeitig wirksam; in Thunderbird gilt sie für die nächste Nachricht, die du öffnest.

Während Reveal URLs eingeschaltet ist, zeigt Ihnen das Symbolleistensymbol des Browsers außerdem pro Tab an, was es auf der aktuellen Seite gefunden hat. Wenn die Seite nicht übereinstimmende (täuschend ähnliche) Links enthält, zeigt das Symbol diese Anzahl auf einem roten Abzeichen an; wenn die Seite Links enthält, aber keiner davon abweicht, zeigt es die Gesamtzahl der analysierten Links auf einem grauen Abzeichen an; eine Seite ohne analysierbare Links (und jede Seite, auf die die Erweiterung nicht wirkt) zeigt keine Anzahl an. Jeder Tab behält sein eigenes Abzeichen, sodass ein Wechsel zwischen Tabs die Zahl aktualisiert und das Verlassen oder Schließen des Tabs sie löscht. (Werte über 99 werden als 99+ angezeigt.)

Das Abzeichen in seinen drei Zuständen (der Browser zeichnet es, daher variiert die genaue Platzierung je nach Browser etwas): eine rote Anzahl von Abweichungen, eine graue Anzahl analysierter Links und das OFF-Abzeichen, während die Erweiterung deaktiviert ist; ihr Logo ist dann ebenfalls hellgrau abgeschwächt. Auf einer Seite, auf der die aktivierte Erweiterung nicht tätig ist, gibt es kein Abzeichen; das fehlende OFF-Abzeichen unterscheidet dasselbe abgeschwächte Logo vom deaktivierten Zustand.

Diese Abbildungen zeigen nicht jeden Fall ohne Abzeichen; eine aktive Seite ohne analysierbare Links behält das normalfarbige Symbol.

Symbolleistensymbol mit einem roten Abzeichen, das die Anzahl der nicht übereinstimmenden Links auf der aktuellen Seite zeigt Symbolleistensymbol mit einem grauen Abzeichen, das die Anzahl der analysierten Links auf der aktuellen Seite zeigt Symbolleistensymbol mit einem gedämpften hellgrauen Logo ohne Abzeichen, während die aktivierte Erweiterung auf dieser Seite nicht aktiv ist Symbolleistensymbol mit dem roten OFF-Abzeichen, während die Erweiterung deaktiviert ist

(In Thunderbird zeigt die Schaltfläche nur ihr Symbol, sodass sie in der einheitlichen Symbolleiste kompakt bleibt. Du kannst Reveal URLs auch mit dem Schalter Aktivieren auf der Einstellungsseite ein- und ausschalten.)

Die Einstellungsseite

Die Einstellungsseite enthält jede Option. Öffne sie über die Erweiterungsseite deines Browsers (zum Beispiel Details → Erweiterungsoptionen), oder sie öffnet sich automatisch bei der ersten Installation.

Abgesehen vom Hauptschalter Aktivieren und den Steuerungen für Aktive Sites (die sofort angewendet werden) werden Änderungen mit der Schaltfläche Einstellungen speichern gespeichert.

Die unteren Einstellungen: die Liste 'Diese Hosts ignorieren', die maximale angezeigte URL-Länge und die optionalen Felder für Schriftgröße und -gewicht der aufgedeckten URL, über der Schaltfläche 'Einstellungen speichern'.

Aktive Sites — deine eigene Webmail hinzufügen

Der Abschnitt Aktive Sites, oben auf der Einstellungsseite, listet die Seiten auf, auf denen Reveal URLs läuft. Er bleibt jetzt auf fester Höhe: Wähle eine Site aus dem Dropdown-Menü und bearbeite im Panel darunter nur die Einstellungen dieser Site.

Der obere Teil der Einstellungsseite: der Hauptschalter 'Enable Reveal URLs' und der Abschnitt 'Active sites', mit einem Dropdown-Menü 'Active site' über einem einzelnen Editor für die ausgewählte Site, der das match pattern, einen Schalter 'Enabled', einen Schalter 'Sub-frames' und seinen message-body selector zeigt.

Das Dropdown-Menü zeigt einen Eintrag pro Site-Regel:

Der Editor der ausgewählten Site zeigt:

Die eingebauten Anbieter (FastMail, Gmail, Outlook Live, Outlook 365, Proton, Tuta, Yahoo und Zoho) können ausgeschaltet und neu ausgerichtet werden, aber sie können nicht entfernt werden. Ihre Namen können hier ebenfalls umbenannt werden; wenn du den Namen einer eingebauten Site leerst, wird ihr freundlicher Standardname wiederhergestellt.

Um deine eigene Webmail-Site hinzuzufügen:

  1. Gib unter Site hinzufügen eine Übereinstimmungs-URL ein — ein Übereinstimmungsmuster wie https://mail.example.com/*.
  2. Gib optional einen Name für das Dropdown-Menü ein. Lasse ihn leer, um auf die match URL zurückzufallen.
  3. Gib einen Message-body selector ein — einen CSS-Selektor für den Container, der den Nachrichtentext enthält, zum Beispiel .message-body.
  4. Wenn der Nachrichtentext in einem Subframe dargestellt wird, hake Also run inside sub-frames an.
  5. Klicke auf Add site. Dein Browser wird um Erlaubnis bitten, auf diese Site zuzugreifen; erteile sie. Die Site wird erst hinzugefügt, sobald du die Erlaubnis erteilst.

Änderungen hier werden sofort angewendet. Das Entfernen einer Site, die du hinzugefügt hast, widerruft auch deren Erlaubnis, sodass Reveal URLs nicht mehr darauf zugreift. Um die match URL einer Site zu ändern, entferne sie und füge sie erneut hinzu: Die match bleibt schreibgeschützt, weil sie die Identität der Regel ist.

Thunderbird (und andere Mail-Clients). Thunderbird zeigt bereits jede Nachricht, die du liest, ganz gleich, welcher Anbieter, sodass es keine Liste pro Host benötigt. Der Abschnitt Aktive Sites wird daher auf der Thunderbird-Einstellungsseite nicht gezeigt — nur der Hauptschalter, die Anzeigesprache, die Farben, die Schriftarten und die Ignorierliste erscheinen. Jede Aktive-Sites-Konfiguration, die du eventuell in einem Browser festgelegt hast, bleibt unangetastet erhalten: das Speichern der Thunderbird-Einstellungen löscht sie nie.

Die Outlook- und Gmail-Add-ons

Neben der Browser-Erweiterung und dem Thunderbird-Add-on gibt es Reveal URLs als natives Add-on für zwei Mail-Apps, die eine Browser-Erweiterung nicht erreichen kann: ein Outlook-Add-in und ein Gmail-Add-on. Sie teilen die http/https-URL-/Host- Erkennung der Browser-Erweiterung, analysieren aber nicht deren zusätzliche Link-Schemata.

Der einzige Unterschied liegt darin, wie sie ihre Ergebnisse zeigen. Die Browser-Erweiterung annotiert die Links direkt an Ort und Stelle — sie färbt die URL über oder neben jedem Link. Die Outlook- und Gmail-Frameworks erlauben es einem Add-on nicht, die dargestellte Nachricht zu ändern, sodass stattdessen jedes Add-on ein Seitenpanel (Outlook) oder eine Karte (Gmail) zeigt, das/die die gefundenen Links auflistet. Für jeden http/https-Link zeigt es den sichtbaren Text und die URL und markiert einen Mismatch nur, wenn der sichtbare Text einen URL- oder Hostnamen nennt, dessen registrierbare Domain nicht mit der des Linkziels übereinstimmt.

Das Gmail-Add-on ist jetzt über Google Workspace Marketplace verfügbar.

Sprachen

Reveal URLs ist auf Englisch und in vielen weiteren Sprachen verfügbar.

Der nicht englische Text ist maschinell übersetzt und steht noch zur menschlichen Überprüfung aus, sodass eine Formulierung gelegentlich holprig klingen kann; die Bedeutung soll dem englischen Original entsprechen. Wenn dir eine Fehlübersetzung auffällt, eröffne bitte ein Issue im Codeberg-Issue-Tracker.

Datenschutz

Reveal URLs sendet in keiner seiner Formen E-Mail- oder Nachrichtendaten an uns oder an irgendeinen Dritten — es gibt kein Analytics und kein Tracking. Wie und wo die Arbeit geschieht, hängt von der Form ab:

Das Einzige, was gespeichert wird, sind deine eigenen Einstellungen (wie ein-/ausgeschaltet, Farben, Schriftgrößen, deine Ignorierliste und etwaige Sites, die du hinzugefügt hast), aufbewahrt im benutzerbezogenen Speicher deines Browsers, von Outlook oder von Google und nie an uns gesendet.

Siehe die Datenschutzerklärung für alle Details.

Fehlerbehebung

Ein Link wird nicht aufgedeckt.

Ein eingebauter Anbieter funktionierte nach einer Neugestaltung nicht mehr.

Webmail-Anbieter ändern von Zeit zu Zeit ihr Seiten-Markup. Wenn der Selektor eines eingebauten Anbieters nach einer solchen Änderung nicht mehr übereinstimmt, kannst du dies selbst korrigieren: bearbeite in Aktive Sites den Nachrichtentext-Selektor dieses Anbieters auf den neuen Container.

Lizenz und Quellcode

Reveal URLs ist freie Software, lizenziert unter der GNU Affero General Public License v3.0 (AGPL-3.0-only).

Hinweise zu Safari

Safari zeigt nur bei nicht übereinstimmenden Links ein Abzeichen; es gibt keinen grauen Zähler für sichere Seiten. Öffne die Einstellungen über das Rechtsklick- Menü Reveal URLs — settings erneut, statt einen alten Einstellungs-Tab neu zu laden.