Safari is supported through its macOS Xcode container and App Store route. Built-in providers use static scripts and Safari requests no all-sites access. A user-added site needs a runtime optional permission, then Safari injects content.js after navigation only for a granted, enabled, non-builtin rule; sub-frames run only when All frames is enabled. Safari settings are device-local and do not roam.

Reveal URLs — Manual de usuario

Reveal URLs es una pequeña extensión de navegador (y complemento para Thunderbird) que te muestra adónde lleva realmente un enlace de tu correo, para que puedas detectar un enlace de phishing antes de hacer clic en él.

Este manual explica cómo instalar Reveal URLs y cómo usarlo. Para preguntas frecuentes, consulta las preguntas frecuentes; para saber cómo se tratan tus datos, consulta la política de privacidad; para una descripción técnica, consulta la descripción de la arquitectura.

¿Has encontrado un error, un enlace marcado erróneamente (o que se haya pasado por alto), o un host de webmail que debería ser compatible? Comunícalo en el gestor de incidencias de Codeberg.

Contenido

• Qué hace y por qué
• Navegadores compatibles y aplicaciones de correo
• Instalación
• Cómo usarlo
• Los complementos de Outlook y Gmail
• Idiomas
• Privacidad
• Resolución de problemas
• Licencia y código fuente

Qué hace y por qué

Un correo de phishing oculta un destino hostil tras un texto de enlace de apariencia fiable. A veces es un host similar: el texto muestra paypal.com mientras que el enlace apunta a paypa1.com. A menudo es más sutil y pasa por un rastreador o un redirector, de modo que el sitio donde acabas no se parece en nada a la marca nombrada en el texto.

Nota: Esta captura de pantalla muestra un correo de phishing fraudulento que suplanta a un servicio postal. El servicio suplantado no está afiliado a Reveal URLs ni lo respalda.

Reveal URLs lee cada enlace del mensaje que estás leyendo y te muestra la URL a la que realmente apunta. En la extensión de navegador y Thunderbird marca enlaces web, de correo, de teléfono y otros que son engañosos, de modo que la diferencia resulta evidente antes de que hagas clic.

Reveal URLs revela y marca; no verifica. No sigue redirecciones: un enlace que pasa por un rastreador o redireccionador se muestra como la URL del redireccionador que realmente indica; Reveal URLs no puede saber dónde termina finalmente esa redirección. En un enlace sin advertencia no se ha detectado ninguna discrepancia aplicable, no se ha confirmado como seguro, así que lee la URL revelada antes de confiar en un enlace, incluso cuando no hay nada marcado. Para tenerlo presente, la URL revelada de un enlace no marcado se muestra en un color ámbar «para revisar» en lugar de un verde tranquilizador.

Nota: las direcciones de correo, las URL y los nombres de esta captura de pantalla se han ocultado con asteriscos por privacidad.

En la extensión de navegador y el complemento para Thunderbird, todo sucede en tu propio dispositivo, sin transmitir nada. En todas sus formas, Reveal URLs no envía ninguno de tus datos de correo ni a nosotros ni a ningún tercero — no hay analíticas ni seguimiento. (Las formas difieren en dónde se ejecutan y en cómo se sirve el código del panel de Outlook; consulta la sección Privacidad y la política de privacidad para todos los detalles.)

Navegadores compatibles y aplicaciones de correo

Reveal URLs funciona en:

Navegadores web:

• Brave
• Google Chrome
• Microsoft Edge
• Mozilla Firefox
• Opera
• Safari

Aplicaciones de correo:

• Gmail
• Outlook
• Mozilla Thunderbird (el cliente de correo de escritorio)

En los destinos de navegador, Reveal URLs anota los enlaces de tu webmail. En Thunderbird anota los enlaces del correo que estás leyendo directamente en el cliente de correo.

Instalación

Desde la tienda de tu navegador o cliente de correo (recomendado)

Instala Reveal URLs desde la tienda de tu navegador o cliente de correo. Todas las fichas ya están disponibles; Opera utiliza la compilación de Chrome.

Navegadores web:

• Brave — instala la versión de Chrome desde Chrome Web Store
• Chrome — Chrome Web Store
• Edge — Microsoft Edge Add-ons
• Firefox — Firefox Add-ons (AMO)
• Opera — instala la versión de Chrome desde Chrome Web Store
• Safari — App Store

Aplicaciones de correo:

• Gmail — Google Workspace Marketplace
• Outlook — Microsoft Marketplace
• Thunderbird — Thunderbird Add-ons (ATN)

Cargar una compilación tú mismo (desarrolladores y pruebas tempranas)

Si has compilado Reveal URLs desde el código fuente, puedes cargar la compilación descomprimida directamente. Cada destino se compila con un comando make y se produce bajo dist/<target>/:

make build-chrome        # genera dist/chrome
make build-edge          # genera dist/edge
make build-firefox       # genera dist/firefox
make build-gmail         # genera dist/gmail
make build-opera         # genera dist/opera
make build-outlook       # genera dist/outlook
make build-safari        # genera dist/safari
make build-thunderbird   # genera dist/thunderbird

A continuación, carga la carpeta resultante:

• Chrome — abre chrome://extensions, activa el Modo de desarrollador, haz clic en Cargar descomprimida y selecciona dist/chrome.
• Edge — abre edge://extensions, activa el Modo de desarrollador, haz clic en Cargar descomprimida y selecciona dist/edge.
• Firefox — abre about:debugging, elige Este Firefox, haz clic en Cargar complemento temporal y selecciona cualquier archivo dentro de dist/firefox (por ejemplo su manifest.json). Un complemento temporal se elimina cuando Firefox se reinicia.
• Opera — abre opera://extensions, activa el Modo de desarrollador, haz clic en Cargar descomprimida y selecciona dist/opera.
• Thunderbird — instala el complemento temporal desde dist/thunderbird de la misma manera (mediante Herramientas → Herramientas de desarrollador → Depurar complementos → Cargar complemento temporal).

La extensión de Safari, el complemento de Outlook y el complemento de Gmail no se cargan como extensiones de navegador descomprimidas. Compílalos como se indica arriba y, después:

make deploy-gmail        # despliega el complemento de Gmail en Apps Script
make safari-xcode        # compila el proyecto Xcode de Safari y luego ejecútalo
                         # desde el menú Develop de Safari (macOS)
                         # Outlook: carga lateralmente dist/outlook

La página de ajustes se abre automáticamente la primera vez que se instala la extensión.

Cómo usarlo

Sin necesidad de configuración, Reveal URLs anota los enlaces de los mensajes en los proveedores integrados — no hace falta ninguna configuración:

• FastMail (app.fastmail.com)
• Gmail (mail.google.com)
• Outlook Live (outlook.live.com)
• Outlook en la web / Microsoft 365 (outlook.office.com)
• Proton Mail (mail.proton.me)
• Tuta (app.tuta.com, mail.tutanota.com)
• Yahoo Mail (mail.yahoo.com)
• Zoho Mail (mail.zoho.com.au, mail.zoho.com.cn, mail.zoho.com, mail.zoho.eu, mail.zoho.in, mail.zoho.jp, mail.zoho.sa, mail.zohocloud.ca)

La anotación se limita al cuerpo del mensaje, de modo que la interfaz propia de la app — su barra lateral, ventana de redacción y barras de herramientas — queda intacta. En Thunderbird se cubre el correo renderizado por completo.

Nota: las direcciones de correo, las URL y los nombres de esta captura de pantalla se han ocultado con asteriscos por privacidad.

Cómo se muestra la URL real

La URL real de cada enlace se muestra en su propia línea, justo encima del texto del enlace. También se coloca en la información sobre herramientas (título) del enlace, de modo que la URL completa siempre está ahí cuando pasas el cursor sobre el enlace.

Resaltado de discrepancias

Para los enlaces web, Reveal URLs compara las URL o los nombres de host del texto visible de un enlace con la URL a la que apunta. La comparación se hace sobre el dominio registrable, de modo que un subdominio sin discrepancias como mail.example.com para example.com no se marca, mientras que uno similar como paypa1.com para paypal.com sí. La extensión de navegador y Thunderbird también comprueban enlaces de correo, de teléfono y opacos; los enlaces javascript:, data: y vbscript: siempre se marcan.

La comprobación solo considera la URL que indica el propio enlace; nunca se siguen redirecciones, por lo que un enlace a través de un rastreador o redireccionador se compara como su URL, no como la página a la que llega finalmente.

Una discrepancia se muestra en el color de discrepancia que hayas elegido y en negrita.

Dos ajustes relacionados controlan esto:

• Resaltar enlaces no coincidentes activa o desactiva el énfasis de discrepancia.
• Mostrar en línea solo enlaces no coincidentes oculta la revelación visible en línea de los enlaces sin discrepancias, pero aún coloca su URL de destino en el atributo title del enlace, por lo que aparece al pasar el cursor.

El botón de la barra de herramientas

En Chrome, Edge, Opera, Firefox y Thunderbird, el icono de Reveal URLs en la barra de herramientas es un interruptor rápido de encendido/apagado: haz clic en él para alternar la anotación. Cuando la extensión está desactivada, aparece una insignia OFF en el icono, y su información sobre herramientas te dice si al hacer clic se activará o se desactivará. En los navegadores, el cambio surte efecto en todas las pestañas abiertas a la vez; en Thunderbird se aplica al siguiente mensaje que abras.

Mientras Reveal URLs está activado, el icono de la barra de herramientas del navegador también le indica, por pestaña, qué encontró en la página actual. Si la página tiene enlaces no coincidentes (parecidos), el icono muestra ese recuento en una insignia roja; si la página tiene enlaces pero ninguno es discordante, muestra el número total de enlaces analizados en una insignia gris; una página sin enlaces analizables (y cualquier página sobre la que la extensión no actúa) no muestra ningún recuento. Cada pestaña conserva su propia insignia, de modo que cambiar de pestaña actualiza el número, y salir de ella o cerrar la pestaña lo borra. (Los recuentos superiores a 99 se muestran como 99+.)

La insignia en sus tres estados (el navegador la dibuja, por lo que la ubicación exacta varía un poco según el navegador): un recuento rojo de discordancias, un recuento gris de enlaces analizados y la insignia OFF cuando la extensión está desactivada; su logotipo también aparece en gris claro apagado. En una página donde la extensión activada no está activa no hay insignia; la ausencia de la insignia OFF distingue ese mismo logotipo apagado del estado desactivado.

Estas ilustraciones no muestran todos los casos sin insignia; una página activa sin enlaces analizables conserva el icono de color normal.

(En Thunderbird el botón solo muestra su icono, así que se mantiene compacto en la barra de herramientas unificada. También puedes activar y desactivar Reveal URLs con el interruptor Activar en la página de ajustes.)

La página de ajustes

La página de ajustes contiene todas las opciones. Ábrela desde la página de extensiones de tu navegador (por ejemplo Detalles → Opciones de la extensión), o se abre automáticamente en la primera instalación.

• Activar Reveal URLs — el interruptor principal de activación/desactivación, en la parte superior de la página. Surte efecto de inmediato, sin necesidad de guardar el resto del formulario.
• Idioma de visualización — elige el idioma en el que se muestra la página de ajustes. De manera predeterminada sigue el idioma de tu navegador, recurriendo al inglés; elige otro de la lista para anularlo. Tu elección surte efecto al instante, se recuerda para la próxima vez y se almacena solo en este dispositivo (nunca cambia el resto de tus ajustes).
• Resaltar enlaces no coincidentes — activa o desactiva el énfasis de discrepancia.
• Color de discrepancia — el color CSS usado para un enlace marcado (por ejemplo red, #cc0000 o rgb(200, 0, 0)). El predeterminado es rojo.
• Color sin discrepancias — el color de la URL revelada en enlaces sin discrepancias (por ejemplo black o #b45309). El valor predeterminado es un tono ámbar de precaución (#b45309), elegido para que un enlace sin advertencia no parezca verificado como seguro.
• Mostrar en línea solo enlaces no coincidentes — oculta la revelación visible en línea de los enlaces sin discrepancias; su URL de destino permanece en el atributo title del enlace y aparece al pasar el cursor.
• Ignorar estos hosts — una lista de nombres de host que omitir por completo, uno por línea. Los subdominios de un host listado también se omiten.
• Longitud máxima de URL mostrada — las URL largas se truncan más allá de este número de caracteres, manteniendo el host visible. Rango permitido: de 20 a 2000.
• Tamaño / grosor de fuente de la URL revelada — anulaciones tipográficas opcionales; déjalas en blanco para mantener los valores predeterminados.

Aparte del interruptor principal Activar y de los controles de Sitios activos (que se aplican de inmediato), los cambios se guardan con el botón Guardar ajustes.

Sitios activos — añadir tu propio webmail

La sección Sitios activos, en la parte superior de la página de ajustes, enumera las páginas en las que Reveal URLs funciona. Ahora mantiene una altura fija: elige un sitio en el desplegable y edita solo la configuración de ese sitio en el panel de abajo.

El desplegable muestra una entrada por cada regla de sitio:

• las reglas integradas usan nombres fáciles de leer como Gmail, Proton Mail y Outlook (Live);
• cuando varias reglas comparten un mismo nombre, el desplegable añade el host entre paréntesis, por ejemplo Tuta (app.tuta.com) y Zoho Mail (mail.zoho.eu);
• una regla añadida por el usuario usa su Name opcional, o su match URL cuando el nombre se deja en blanco.

El editor del sitio seleccionado muestra:

• la Match URL del sitio como identificador de solo lectura;
• el Name editable del sitio;
• un interruptor Enabled;
• el Message-body selector (el selector CSS para el contenedor que Reveal URLs anota), que puedes editar;
• un interruptor Sub-frames, para sitios cuyo cuerpo de mensaje se renderiza dentro de un iframe;
• un botón Remove solo para tus propios sitios.

Los proveedores integrados (FastMail, Gmail, Outlook Live, Outlook 365, Proton, Tuta, Yahoo y Zoho) se pueden desactivar y volver a apuntar, pero no se pueden eliminar. Sus nombres también se pueden cambiar aquí; al vaciar el nombre de un proveedor integrado se restaura su nombre amistoso predeterminado.

Para añadir tu propio sitio de webmail:

1. Bajo Añadir sitio, introduce una URL de coincidencia — un patrón de coincidencia como https://mail.example.com/*.
2. Introduce opcionalmente un Name para el desplegable. Déjalo en blanco para usar la match URL.
3. Introduce un Message-body selector — un selector CSS para el contenedor que aloja el cuerpo del mensaje, por ejemplo .message-body.
4. Si el cuerpo del mensaje se renderiza dentro de un subframe, marca Also run inside sub-frames.
5. Haz clic en Add site. Tu navegador pedirá permiso para acceder a ese sitio; concédelo. El sitio solo se añade una vez que concedes el permiso.

Los cambios aquí se aplican de inmediato. Eliminar un sitio que añadiste también revoca su permiso, de modo que Reveal URLs deja de acceder a él. Para cambiar la match URL de un sitio, elimínalo y vuelve a añadirlo: la match permanece en solo lectura porque es la identidad de la regla.

Thunderbird (y otros clientes de correo). Thunderbird ya muestra cada mensaje que lees, sea cual sea el proveedor, de modo que no necesita una lista por host. Por eso la sección Sitios activos no se muestra en la página de ajustes de Thunderbird — solo aparecen el interruptor principal, el idioma de visualización, los colores, las fuentes y la lista de ignorados. Cualquier configuración de sitios activos que hayas establecido en un navegador se conserva intacta: guardar los ajustes de Thunderbird nunca la borra.

Los complementos de Outlook y Gmail

Junto con la extensión de navegador y el complemento para Thunderbird, Reveal URLs se ofrece como un complemento nativo para dos apps de correo a las que una extensión de navegador no puede llegar: un complemento para Outlook y un complemento para Gmail. Comparten el reconocimiento de URL y host http/https de la extensión de navegador, pero no analizan sus esquemas de enlace adicionales.

La única diferencia es cómo muestran sus hallazgos. La extensión de navegador anota los enlaces en su sitio — coloreando la URL encima o junto a cada enlace. Los marcos de trabajo de Outlook y Gmail no permiten que un complemento cambie el mensaje renderizado, así que en su lugar cada complemento muestra un panel lateral (Outlook) o tarjeta (Gmail) que enumera los enlaces que encontró. Para cada enlace http/https muestra el texto visible y la URL de destino, y marca una discrepancia solo cuando el texto visible nombra una URL o un host cuyo dominio registrable no coincide con el destino del enlace.

• Complemento para Outlook — un panel de tareas que lee el mensaje que tienes abierto y lo analiza en tu propio dispositivo; no se envía ningún dato de correo o de mensaje a ninguna parte. El código de su panel de tareas (HTML, JavaScript, CSS e iconos) se carga desde https://www.reveal-urls.eu mediante HTTPS, como ocurre al abrir cualquier página web. Llega a Outlook en la web, Windows, Mac, iOS y Android, y Outlook.com.
• Complemento para Gmail — una tarjeta en la barra lateral de Gmail. Abre un mensaje y, a continuación, haz clic en el icono de Reveal URLs en la barra lateral derecha para ver sus enlaces: Gmail no abre la tarjeta por sí solo, pero si dejas el panel abierto se actualiza a medida que te mueves entre mensajes. Un enlace similar se marca en rojo con un icono de advertencia; la URL de un enlace sin discrepancias se muestra en el color de texto predeterminado de la tarjeta, que sigue el tema claro u oscuro de Gmail. Llega a Gmail en la web, Android e iOS. A diferencia de las otras formas, el complemento para Gmail se ejecuta en los servidores de Google (así es como funcionan los complementos para Gmail): el mensaje que abres se lee y se comprueba allí, cada vez que lo abres, y no se retiene. Consulta la política de privacidad para saber a qué accede y qué almacena cada forma.

El complemento para Gmail ya está disponible a través de Google Workspace Marketplace.

Idiomas

Reveal URLs está disponible en inglés y en muchos otros idiomas.

• La página de ajustes sigue automáticamente el idioma de tu navegador, recurriendo al inglés cuando tu idioma no es uno de los anteriores. Puedes anularlo en cualquier momento con el conmutador Idioma de visualización cerca de la parte superior de la página; tu elección se recuerda en ese dispositivo (consulta La página de ajustes).
• Este sitio web (la página de inicio y estas páginas de documentación) también detecta el idioma de tu navegador y ofrece un conmutador de idioma en el encabezado. El manual y las páginas de privacidad están disponibles traducidos; cuando una página aún no tiene traducción, se muestra en inglés.

El texto no inglés está traducido automáticamente y pendiente de revisión humana, de modo que una frase puede a veces sonar extraña; el significado pretende coincidir con el original en inglés. Si detectas una mala traducción, abre una incidencia en el gestor de incidencias de Codeberg.

Privacidad

Reveal URLs no envía ninguno de tus datos de correo o de mensaje ni a nosotros ni a ningún tercero, en ninguna de sus formas — no hay analíticas ni seguimiento. Cómo y dónde ocurre el trabajo depende de la forma:

• La extensión de navegador y el complemento para Thunderbird funcionan enteramente en tu propio dispositivo y no transmiten nada: leen el texto del enlace, las URLs y los colores de la página a medida que la página se renderiza, sin almacenarlos ni enviarlos nunca.
• El complemento para Outlook analiza el mensaje abierto en tu propio dispositivo y no envía ningún dato de correo o de mensaje a ninguna parte; el código de su panel de tareas (HTML, JavaScript, CSS e iconos) se carga desde https://www.reveal-urls.eu mediante HTTPS, como ocurre al abrir cualquier página web.
• El complemento para Gmail se ejecuta en los propios servidores de Google (así es como funcionan los complementos para Gmail): el mensaje abierto se lee y se comprueba allí, cada vez que lo abres, y no se retiene.

Lo único que se almacena son tus propios ajustes (como activado/desactivado, colores, tamaños de fuente, tu lista de ignorados y cualquier sitio que hayas añadido), guardados en el almacenamiento por usuario de tu navegador, de Outlook o de Google, y nunca enviados a nosotros.

Consulta la política de privacidad para todos los detalles.

Resolución de problemas

Un enlace no se está revelando.

• Comprueba que Reveal URLs esté activado — el icono de la barra de herramientas no debe mostrar la insignia OFF, y el interruptor Activar Reveal URLs en la página de ajustes debe estar activado.
• Comprueba que el sitio esté cubierto. Los proveedores integrados (FastMail, Gmail, Outlook Live, Outlook 365, Proton, Tuta, Yahoo, Zoho) funcionan sin configuración; cualquier otro webmail debe añadirse bajo Sitios activos con su URL de coincidencia y su selector del cuerpo del mensaje.
• Comprueba el selector del cuerpo del mensaje. Si no coincide con el contenedor que aloja el cuerpo del mensaje, los enlaces dentro de ese contenedor no se revelarán.
• Los proveedores con open shadow root se descubren mediante el escaneo del body por lotes en cuanto se ejecuta un lote del body observer después de que el host entre en el DOM. Un shadow root tardío se actualiza en el siguiente lote de mutaciones del body. El único caso no compatible es que aparezca un host o un shadow root y después no vuelva a dispararse ninguna mutación del body en la página.
• La extensión de navegador y Thunderbird también revelan enlaces que usan otros esquemas — mailto: (correo), tel:/sms: (teléfono) y esquemas opacos como javascript:, data: o blob: — y los marcan cuando el texto visible nombra un destino distinto de aquel al que el enlace apunta realmente; los enlaces javascript:, data: y vbscript: siempre se marcan (por ejemplo, una dirección que se muestra como billing@paypal.com cuyo mailto: apunta a otro dominio, o un enlace que parece una dirección web pero en realidad es un enlace javascript:). Solo se omiten los enlaces a anclas dentro de la página (#…) y los enlaces vacíos o no analizables, al igual que los hosts de tu lista Ignorar estos hosts. Ten en cuenta que esta cobertura más amplia de esquemas se aplica a la anotación en línea de la extensión de navegador; los paneles de resultados de los complementos nativos de Outlook y Gmail actualmente solo cubren enlaces http/https.

Un proveedor integrado dejó de funcionar tras un rediseño.

Los proveedores de webmail cambian el marcado de sus páginas de vez en cuando. Si el selector de un proveedor integrado ya no coincide tras un cambio así, puedes corregirlo tú mismo: en Sitios activos, edita el selector del cuerpo del mensaje de ese proveedor al nuevo contenedor.

Licencia y código fuente

Reveal URLs es software libre, con licencia bajo la GNU Affero General Public License v3.0 (AGPL-3.0-only).

• Código fuente: https://codeberg.org/Magentron/reveal-urls
• Descripción técnica: Arquitectura
• Lectura adicional sobre el phishing de enlaces: Email link phishing: your app should always show the URL

Notas sobre Safari

Safari solo muestra una insignia cuando los enlaces no coinciden; no tiene un contador gris de página segura. Vuelve a abrir los ajustes desde el menú de clic derecho Reveal URLs — settings, en vez de recargar una pestaña antigua.