Reveal URLs — Manual de usuario

Reveal URLs es una pequeña extensión de navegador (y complemento para Thunderbird) que te muestra adónde lleva realmente un enlace de tu correo, para que puedas detectar un enlace de phishing antes de hacer clic en él.

Este manual explica cómo instalar Reveal URLs y cómo usarlo. Para saber cómo se tratan tus datos, consulta la política de privacidad; para una descripción técnica de cómo está construida la extensión, consulta la descripción de la arquitectura.

¿Has encontrado un error, un enlace marcado erróneamente (o que se haya pasado por alto), o un host de webmail que debería ser compatible? Comunícalo en el gestor de incidencias de Codeberg.

Contenido

• Qué hace y por qué
• Navegadores compatibles y el cliente de correo
• Instalación
• Cómo usarlo
• Los complementos de Outlook y Gmail
• Idiomas
• Privacidad
• Resolución de problemas
• Licencia y código fuente

Qué hace y por qué

Un correo de phishing oculta un destino hostil tras un texto de enlace de apariencia fiable. A veces es un host similar: el texto muestra paypal.com mientras que el enlace apunta a paypa1.com. A menudo es más sutil y pasa por un rastreador o un redirector, de modo que el sitio donde acabas no se parece en nada a la marca nombrada en el texto.

Nota: Esta captura de pantalla muestra un correo de phishing fraudulento que suplanta a Correos. Correos no está afiliada a Reveal URLs ni lo respalda.

Reveal URLs lee cada enlace del mensaje que estás leyendo y te muestra la URL a la que realmente apunta. Cuando el host nombrado en el texto del enlace no coincide con ese host, Reveal URLs lo marca, de modo que la discrepancia resulta evidente antes de que hagas clic.

En la extensión de navegador y el complemento para Thunderbird, todo sucede en tu propio dispositivo, sin transmitir nada. En todas sus formas, Reveal URLs no envía ninguno de tus datos de correo ni a nosotros ni a ningún tercero — no hay analíticas ni seguimiento. (Las formas difieren en dónde se ejecutan y en cómo se sirve el código del panel de Outlook; consulta la sección Privacidad y la política de privacidad para todos los detalles.)

Navegadores compatibles y el cliente de correo

Reveal URLs funciona en:

• Google Chrome
• Microsoft Edge
• Opera
• Mozilla Firefox
• Mozilla Thunderbird (el cliente de correo de escritorio)

Todavía no se ofrece una compilación para Safari; está prevista para una fase posterior.

En los destinos de navegador, Reveal URLs anota los enlaces de tu webmail. En Thunderbird anota los enlaces del correo que estás leyendo directamente en el cliente de correo.

Instalación

Desde la tienda de tu navegador o cliente de correo (recomendado)

Instala Reveal URLs desde la tienda de tu navegador o cliente de correo. Las fichas de Chrome, Edge, Firefox y Thunderbird ya están disponibles; Opera funciona con la compilación de Chrome, y una ficha específica de Opera todavía está en camino:

• Chrome — Chrome Web Store
• Edge — Microsoft Edge Add-ons
• Opera — instala la versión de Chrome desde Chrome Web Store; una ficha específica de Opera estará disponible próximamente
• Firefox — Firefox Add-ons (AMO)
• Thunderbird — Thunderbird Add-ons (ATN)

Cargar una compilación tú mismo (desarrolladores y pruebas tempranas)

Si has compilado Reveal URLs desde el código fuente, puedes cargar la compilación descomprimida directamente. Cada destino se compila con un comando make y se produce bajo dist/<target>/:

make build-chrome        # produces dist/chrome
make build-edge          # produces dist/edge
make build-opera         # produces dist/opera
make build-firefox       # produces dist/firefox
make build-thunderbird   # produces dist/thunderbird

A continuación, carga la carpeta resultante:

• Chrome — abre chrome://extensions, activa el Modo de desarrollador, haz clic en Cargar descomprimida y selecciona dist/chrome.
• Edge — abre edge://extensions, activa el Modo de desarrollador, haz clic en Cargar descomprimida y selecciona dist/edge.
• Opera — abre opera://extensions, activa el Modo de desarrollador, haz clic en Cargar descomprimida y selecciona dist/opera.
• Firefox — abre about:debugging, elige Este Firefox, haz clic en Cargar complemento temporal y selecciona cualquier archivo dentro de dist/firefox (por ejemplo su manifest.json). Un complemento temporal se elimina cuando Firefox se reinicia.
• Thunderbird — instala el complemento temporal desde dist/thunderbird de la misma manera (mediante Herramientas → Herramientas de desarrollador → Depurar complementos → Cargar complemento temporal).

La página de ajustes se abre automáticamente la primera vez que se instala la extensión.

Cómo usarlo

Sin necesidad de configuración, Reveal URLs anota los enlaces de los mensajes en los proveedores integrados — no hace falta ninguna configuración:

• Gmail (mail.google.com)
• Outlook Live (outlook.live.com)
• Outlook en la web / Microsoft 365 (outlook.office.com)
• Proton Mail (mail.proton.me)

La anotación se limita al cuerpo del mensaje, de modo que la interfaz propia de la app — su barra lateral, ventana de redacción y barras de herramientas — queda intacta. En Thunderbird se cubre el correo renderizado por completo.

Los dos modos de revelado

Eliges cómo se muestra la URL real, bajo Revelar la URL en la página de ajustes:

• En línea — la URL real se muestra en su propia línea, justo encima del texto del enlace. Este es el modo predeterminado.
• En la información sobre herramientas (título) del enlace — la URL real se coloca en la información sobre herramientas del enlace, de modo que aparece cuando pasas el cursor sobre el enlace.

Resaltado de discrepancias

Cuando el host nombrado en el texto visible de un enlace no coincide con el host al que el enlace realmente apunta, Reveal URLs lo marca como una discrepancia. La comparación se hace sobre el dominio registrable, de modo que un subdominio honesto como mail.example.com para example.com no se marca, mientras que uno similar como paypa1.com para paypal.com sí.

• En el modo en línea, una discrepancia se muestra en el color de discrepancia que hayas elegido y en negrita.
• En el modo información sobre herramientas (título), se añade una insignia distintiva ⚠ Discrepancia de URL junto al enlace.

Dos ajustes relacionados controlan esto:

• Resaltar enlaces no coincidentes activa o desactiva el énfasis de discrepancia.
• Anotar solo enlaces no coincidentes deja los enlaces honestos completamente intactos, de modo que solo se revelan los sospechosos.

El botón de la barra de herramientas

En Chrome, Edge, Opera, Firefox y Thunderbird, el icono de Reveal URLs en la barra de herramientas es un interruptor rápido de encendido/apagado: haz clic en él para alternar la anotación. Cuando la extensión está desactivada, aparece una insignia OFF en el icono, y su información sobre herramientas te dice si al hacer clic se activará o se desactivará. En los navegadores, el cambio surte efecto en todas las pestañas abiertas a la vez; en Thunderbird se aplica al siguiente mensaje que abras.

(En Thunderbird el botón solo muestra su icono, así que se mantiene compacto en la barra de herramientas unificada. También puedes activar y desactivar Reveal URLs con el interruptor Activar en la página de ajustes.)

La página de ajustes

La página de ajustes contiene todas las opciones. Ábrela desde la página de extensiones de tu navegador (por ejemplo Detalles → Opciones de la extensión), o se abre automáticamente en la primera instalación.

• Activar Reveal URLs — el interruptor principal de activación/desactivación, en la parte superior de la página. Surte efecto de inmediato, sin necesidad de guardar el resto del formulario.
• Idioma de visualización — elige el idioma en el que se muestra la página de ajustes. De manera predeterminada sigue el idioma de tu navegador, recurriendo al inglés; elige otro de la lista para anularlo. Tu elección surte efecto al instante, se recuerda para la próxima vez y se almacena solo en este dispositivo (nunca cambia el resto de tus ajustes).
• Revelar la URL — elige el modo en línea o información sobre herramientas (título) (ver arriba).
• Resaltar enlaces no coincidentes — activa o desactiva el énfasis de discrepancia.
• Color de discrepancia — el color CSS usado para un enlace marcado (por ejemplo red, #cc0000 o rgb(200, 0, 0)). El predeterminado es rojo.
• Color de coincidencia — el color de la URL revelada en enlaces honestos (sin discrepancia) (por ejemplo black o #1a1a1a). El predeterminado es un gris muy oscuro neutro (#1a1a1a), elegido para que el color no dé a entender que el enlace haya sido comprobado.
• Anotar solo enlaces no coincidentes — deja los enlaces honestos intactos.
• Ignorar estos hosts — una lista de nombres de host que omitir por completo, uno por línea. Los subdominios de un host listado también se omiten.
• Longitud máxima de URL mostrada — las URL largas se truncan más allá de este número de caracteres, manteniendo el host visible. Rango permitido: de 20 a 2000.
• Tamaño / grosor de fuente de la URL revelada y Tamaño / grosor de fuente de la insignia de advertencia — anulaciones tipográficas opcionales; déjalas en blanco para mantener los valores predeterminados.

Aparte del interruptor principal Activar y de los controles de Sitios activos (que se aplican de inmediato), los cambios se guardan con el botón Guardar ajustes.

Sitios activos — añadir tu propio webmail

La sección Sitios activos, en la parte superior de la página de ajustes, enumera las páginas en las que Reveal URLs funciona y el contenedor que aloja el cuerpo de cada mensaje.

Cada fila muestra:

• el patrón de coincidencia del sitio (por ejemplo https://mail.example.com/*);
• un interruptor Activado;
• el selector del cuerpo del mensaje (el selector CSS para el contenedor que Reveal URLs anota), que puedes editar;
• un interruptor Subframes, para sitios cuyo cuerpo de mensaje se renderiza dentro de un iframe;
• un botón Eliminar (solo para tus propios sitios).

Los proveedores integrados (Gmail, Outlook y Proton) se pueden desactivar y volver a apuntar, pero no se pueden eliminar.

Para añadir tu propio sitio de webmail:

1. Bajo Añadir sitio, introduce una URL de coincidencia — un patrón de coincidencia como https://mail.example.com/*.
2. Introduce un Selector del cuerpo del mensaje — un selector CSS para el contenedor que aloja el cuerpo del mensaje, por ejemplo .message-body.
3. Si el cuerpo del mensaje se renderiza dentro de un subframe, marca Ejecutar también dentro de subframes.
4. Haz clic en Añadir sitio. Tu navegador pedirá permiso para acceder a ese sitio; concédelo. El sitio solo se añade una vez que concedes el permiso.

Los cambios aquí se aplican de inmediato. Eliminar un sitio que añadiste también revoca su permiso, de modo que Reveal URLs deja de acceder a él.

Thunderbird (y otros clientes de correo). Thunderbird ya muestra cada mensaje que lees, sea cual sea el proveedor, de modo que no necesita una lista por host. Por eso la sección Sitios activos no se muestra en la página de ajustes de Thunderbird — solo aparecen el interruptor principal, el idioma de visualización, el modo de revelado, los colores, las fuentes y la lista de ignorados. Cualquier configuración de sitios activos que hayas establecido en un navegador se conserva intacta: guardar los ajustes de Thunderbird nunca la borra.

Los complementos de Outlook y Gmail

Junto con la extensión de navegador y el complemento para Thunderbird, Reveal URLs se ofrece como un complemento nativo para dos apps de correo a las que una extensión de navegador no puede llegar: un complemento para Outlook y un complemento para Gmail. Ambos usan la misma detección de enlaces que la extensión, de modo que revelan las mismas URLs y marcan los mismos hosts similares.

La única diferencia es cómo muestran sus hallazgos. La extensión de navegador anota los enlaces en su sitio — coloreando la URL encima o junto a cada enlace. Los marcos de trabajo de Outlook y Gmail no permiten que un complemento cambie el mensaje renderizado, así que en su lugar cada complemento muestra un panel lateral (Outlook) o tarjeta (Gmail) que enumera los enlaces que encontró. Para cada enlace muestra el texto visible, la URL de destino y el host registrable, y marca una discrepancia cuando el texto visible nombra un dominio registrable distinto del que el enlace realmente apunta.

• Complemento para Outlook — un panel de tareas que lee el mensaje que tienes abierto y lo analiza en tu propio dispositivo; no se envía ningún dato de correo o de mensaje a ninguna parte. El código de su panel de tareas (HTML, JavaScript, CSS e iconos) se carga desde https://www.reveal-urls.eu mediante HTTPS, como ocurre al abrir cualquier página web. Llega a Outlook en la web, Windows, Mac, iOS y Android, y Outlook.com.
• Complemento para Gmail — una tarjeta en la barra lateral de Gmail. Abre un mensaje y, a continuación, haz clic en el icono de Reveal URLs en la barra lateral derecha para ver sus enlaces: Gmail no abre la tarjeta por sí solo, pero si dejas el panel abierto se actualiza a medida que te mueves entre mensajes. La URL de cada enlace se muestra en gris oscuro neutro para un enlace honesto y en rojo para uno similar. Llega a Gmail en la web, Android e iOS. A diferencia de las otras formas, el complemento para Gmail se ejecuta en los servidores de Google (así es como funcionan los complementos para Gmail): el mensaje que abres se lee y se comprueba allí, cada vez que lo abres, y no se retiene. Consulta la política de privacidad para saber a qué accede y qué almacena cada forma.

Ambos complementos se distribuirán a través de sus tiendas de aplicaciones — el complemento para Outlook a través de Microsoft AppSource, y el complemento para Gmail a través de Google Workspace Marketplace. La publicación está pendiente; aquí se añadirán enlaces de instalación directa una vez que cada ficha esté disponible.

Idiomas

Reveal URLs está disponible en inglés y en muchos otros idiomas.

• La página de ajustes sigue automáticamente el idioma de tu navegador, recurriendo al inglés cuando tu idioma no es uno de los anteriores. Puedes anularlo en cualquier momento con el conmutador Idioma de visualización cerca de la parte superior de la página; tu elección se recuerda en ese dispositivo (consulta La página de ajustes).
• Este sitio web (la página de inicio y estas páginas de documentación) también detecta el idioma de tu navegador y ofrece un conmutador de idioma en el encabezado. El manual y las páginas de privacidad están disponibles traducidos; cuando una página aún no tiene traducción, se muestra en inglés.

El texto no inglés está traducido automáticamente y pendiente de revisión humana, de modo que una frase puede a veces sonar extraña; el significado pretende coincidir con el original en inglés. Si detectas una mala traducción, abre una incidencia en el gestor de incidencias de Codeberg.

Privacidad

Reveal URLs no envía ninguno de tus datos de correo o de mensaje ni a nosotros ni a ningún tercero, en ninguna de sus formas — no hay analíticas ni seguimiento. Cómo y dónde ocurre el trabajo depende de la forma:

• La extensión de navegador y el complemento para Thunderbird funcionan enteramente en tu propio dispositivo y no transmiten nada: leen el texto del enlace, las URLs y los colores de la página a medida que la página se renderiza, sin almacenarlos ni enviarlos nunca.
• El complemento para Outlook analiza el mensaje abierto en tu propio dispositivo y no envía ningún dato de correo o de mensaje a ninguna parte; el código de su panel de tareas (HTML, JavaScript, CSS e iconos) se carga desde https://www.reveal-urls.eu mediante HTTPS, como ocurre al abrir cualquier página web.
• El complemento para Gmail se ejecuta en los propios servidores de Google (así es como funcionan los complementos para Gmail): el mensaje abierto se lee y se comprueba allí, cada vez que lo abres, y no se retiene.

Lo único que se almacena son tus propios ajustes (como activado/desactivado, modo de revelado, colores, tamaños de fuente, tu lista de ignorados y cualquier sitio que hayas añadido), guardados en el almacenamiento por usuario de tu navegador, de Outlook o de Google, y nunca enviados a nosotros.

Consulta la política de privacidad para todos los detalles.

Resolución de problemas

Un enlace no se está revelando.

• Comprueba que Reveal URLs esté activado — el icono de la barra de herramientas no debe mostrar la insignia OFF, y el interruptor Activar Reveal URLs en la página de ajustes debe estar activado.
• Comprueba que el sitio esté cubierto. Los proveedores integrados (Gmail, Outlook, Proton) funcionan sin configuración; cualquier otro webmail debe añadirse bajo Sitios activos con su URL de coincidencia y su selector del cuerpo del mensaje.
• Comprueba el selector del cuerpo del mensaje. Si no coincide con el contenedor que aloja el cuerpo del mensaje, los enlaces dentro de ese contenedor no se revelarán.
• Ten en cuenta que los enlaces a anclas dentro de la página, y los enlaces que usan esquemas distintos de http/https (como mailto:), se omiten deliberadamente — al igual que los hosts de tu lista Ignorar estos hosts.

Un proveedor integrado dejó de funcionar tras un rediseño.

Los proveedores de webmail cambian el marcado de sus páginas de vez en cuando. Si el selector de un proveedor integrado ya no coincide tras un cambio así, puedes corregirlo tú mismo: en Sitios activos, edita el selector del cuerpo del mensaje de ese proveedor al nuevo contenedor.

La URL de la información sobre herramientas no se muestra.

En el modo información sobre herramientas (título), la URL real se coloca en la información sobre herramientas del enlace, de modo que solo aparece cuando pasas el cursor sobre el enlace. Si prefieres ver la URL sin pasar el cursor, cambia Revelar la URL al modo en línea.

Licencia y código fuente

Reveal URLs es software libre, con licencia bajo la GNU Affero General Public License v3.0 (AGPL-3.0-only).

• Código fuente: https://codeberg.org/Magentron/reveal-urls
• Descripción técnica: Arquitectura
• Lectura adicional sobre el phishing de enlaces: Email link phishing: your app should always show the URL