Safari is supported through its macOS Xcode container and App Store route. Built-in providers use static scripts and Safari requests no all-sites access. A user-added site needs a runtime optional permission, then Safari injects content.js after navigation only for a granted, enabled, non-builtin rule; sub-frames run only when All frames is enabled. Safari settings are device-local and do not roam.

Reveal URLs — Manuel d'utilisation

Reveal URLs est une petite extension de navigateur (et un module Thunderbird) qui vous montre où un lien dans votre courriel mène réellement, afin que vous puissiez repérer un lien de hameçonnage avant de cliquer dessus.

Ce manuel explique comment installer Reveal URLs et comment l'utiliser. Pour les questions fréquentes, consultez la FAQ ; pour savoir comment vos données sont traitées, consultez la politique de confidentialité ; pour un aperçu technique, consultez l'aperçu de l'architecture.

Vous avez trouvé un bogue, un lien signalé à tort (ou manqué), ou un hôte de webmail qui devrait être pris en charge ? Veuillez le signaler sur le suivi des problèmes Codeberg.

Sommaire

• Ce que ça fait et pourquoi
• Navigateurs et applications de messagerie pris en charge
• Installation
• Utilisation
• Les modules complémentaires Outlook et Gmail
• Langues
• Confidentialité
• Dépannage
• Licence et code source

Ce que ça fait et pourquoi

Un courriel de hameçonnage cache une destination hostile derrière un texte de lien d'apparence fiable. Parfois il s'agit d'un hôte sosie : le texte affiche paypal.com alors que le lien pointe vers paypa1.com. Souvent c'est plus subtil et passe par un traqueur ou un redirecteur, si bien que l'endroit où vous arrivez n'a rien à voir avec la marque nommée dans le texte.

Remarque : Cette capture d’écran montre un e-mail de phishing frauduleux se faisant passer pour un service postal. Le service usurpé n’est pas affilié à Reveal URLs et ne le cautionne pas.

Reveal URLs lit chaque lien dans le message que vous lisez et vous montre l'URL vers laquelle il pointe réellement. Dans l'extension de navigateur et Thunderbird, il signale les liens web, e-mail, téléphoniques et autres liens trompeurs, afin que l'écart soit évident avant que vous ne cliquiez.

Reveal URLs révèle et signale ; il ne vérifie pas. Il ne suit pas les redirections : un lien qui passe par un traqueur ou un redirecteur est affiché comme l'URL du redirecteur que le lien nomme réellement ; Reveal URLs ne peut pas savoir où cette redirection aboutit finalement. Un lien sans avertissement n'a fait l'objet d'aucune détection de divergence applicable, pas confirmé comme sûr, alors lisez l'URL révélée avant de faire confiance à un lien, même si rien n'est signalé. Pour vous en souvenir, l'URL révélée d'un lien non signalé s'affiche dans une couleur ambre « à vérifier » plutôt que dans un vert rassurant.

Remarque : les adresses e-mail, les URL et les noms de cette capture d'écran ont été masqués par des astérisques pour préserver la vie privée.

Dans l'extension de navigateur et le module Thunderbird, tout se passe sur votre propre appareil, sans rien transmettre. Sous toutes ses formes, Reveal URLs n'envoie aucune de vos données de courriel à nous ni à aucun tiers — il n'y a pas d'analyse et pas de pistage. (Les formes diffèrent quant à l'endroit où elles s'exécutent et à la façon dont le code du volet Outlook est servi ; consultez la section Confidentialité et la politique de confidentialité pour tous les détails.)

Navigateurs et applications de messagerie pris en charge

Reveal URLs fonctionne sur :

Navigateurs web:

• Brave
• Google Chrome
• Microsoft Edge
• Mozilla Firefox
• Opera
• Safari

Applications de messagerie:

• Gmail
• Outlook
• Mozilla Thunderbird (le client de messagerie de bureau)

Sur les cibles de navigateur, Reveal URLs annote les liens dans votre webmail. Dans Thunderbird, il annote les liens du courriel que vous lisez directement dans le client de messagerie.

Installation

Depuis la boutique de votre navigateur ou client de messagerie (recommandé)

Installez Reveal URLs depuis la boutique de votre navigateur ou client de messagerie. Toutes les fiches sont désormais disponibles ; Opera utilise la version Chrome.

Navigateurs web:

• Brave — installez la version Chrome depuis le Chrome Web Store
• Chrome — Chrome Web Store
• Edge — Microsoft Edge Add-ons
• Firefox — Firefox Add-ons (AMO)
• Opera — installez la version Chrome depuis le Chrome Web Store
• Safari — App Store

Applications de messagerie:

• Gmail — Google Workspace Marketplace
• Outlook — Microsoft Marketplace
• Thunderbird — Thunderbird Add-ons (ATN)

Charger une version vous-même (développeurs et tests précoces)

Si vous avez construit Reveal URLs à partir du code source, vous pouvez charger directement la version décompressée. Chaque cible est construite avec une commande make et produite sous dist/<target>/ :

make build-chrome        # génère dist/chrome
make build-edge          # génère dist/edge
make build-firefox       # génère dist/firefox
make build-gmail         # génère dist/gmail
make build-opera         # génère dist/opera
make build-outlook       # génère dist/outlook
make build-safari        # génère dist/safari
make build-thunderbird   # génère dist/thunderbird

Chargez ensuite le dossier obtenu :

• Chrome — ouvrez chrome://extensions, activez le mode développeur, cliquez sur Charger l'extension non empaquetée et sélectionnez dist/chrome.
• Edge — ouvrez edge://extensions, activez le mode développeur, cliquez sur Charger l'extension non empaquetée et sélectionnez dist/edge.
• Firefox — ouvrez about:debugging, choisissez Ce Firefox, cliquez sur Charger un module temporaire et sélectionnez n'importe quel fichier dans dist/firefox (par exemple son manifest.json). Un module temporaire est supprimé au redémarrage de Firefox.
• Opera — ouvrez opera://extensions, activez le mode développeur, cliquez sur Charger l'extension non empaquetée et sélectionnez dist/opera.
• Thunderbird — installez le module temporaire depuis dist/thunderbird de la même manière (via Outils → Outils de développement → Déboguer les modules → Charger un module temporaire).

L'extension Safari, le complément Outlook et le module complémentaire Gmail ne se chargent pas comme des extensions de navigateur décompressées. Compilez-les comme ci-dessus, puis :

make deploy-gmail        # déploie le module complémentaire Gmail sur Apps Script
make safari-xcode        # compile le projet Xcode Safari, puis exécutez-le
                         # depuis le menu Develop de Safari (macOS)
                         # Outlook : chargez dist/outlook en mode non empaqueté

La page des paramètres s'ouvre automatiquement la première fois que l'extension est installée.

Utilisation

D'emblée, Reveal URLs annote les liens dans les messages chez les fournisseurs intégrés — aucune configuration requise :

• FastMail (app.fastmail.com)
• Gmail (mail.google.com)
• Outlook Live (outlook.live.com)
• Outlook sur le web / Microsoft 365 (outlook.office.com)
• Proton Mail (mail.proton.me)
• Tuta (app.tuta.com, mail.tutanota.com)
• Yahoo Mail (mail.yahoo.com)
• Zoho Mail (mail.zoho.com.au, mail.zoho.com.cn, mail.zoho.com, mail.zoho.eu, mail.zoho.in, mail.zoho.jp, mail.zoho.sa, mail.zohocloud.ca)

L'annotation est limitée au corps du message, de sorte que l'interface propre de l'application — sa barre latérale, sa fenêtre de rédaction et ses barres d'outils — reste intacte. Dans Thunderbird, l'ensemble du courriel affiché est couvert.

Remarque : les adresses e-mail, les URL et les noms de cette capture d'écran ont été masqués par des astérisques pour préserver la vie privée.

Comment l’URL réelle est affichée

La véritable URL de chaque lien est affichée sur sa propre ligne, juste au-dessus du texte du lien. Elle est également placée dans l'info-bulle du lien (titre), de sorte que l'URL complète est toujours là lorsque vous survolez le lien.

Mise en évidence des non-concordances

Pour les liens web, Reveal URLs compare les noms d'URL ou d'hôte figurant dans le texte visible d'un lien avec l'URL vers laquelle il pointe. La comparaison se fait sur le domaine enregistrable, de sorte qu'un sous-domaine sans discordance tel que mail.example.com pour example.com n'est pas signalé, tandis qu'un sosie tel que paypa1.com pour paypal.com l'est. L'extension de navigateur et Thunderbird vérifient aussi les liens e-mail, téléphoniques et opaques ; les liens javascript:, data: et vbscript: sont toujours signalés.

La vérification ne considère que l'URL que le lien nomme lui-même ; les redirections ne sont jamais suivies, donc un lien passant par un traqueur ou un redirecteur est comparé à son URL, et non à la page qu'il atteint finalement.

Une non-concordance est affichée dans la couleur de non-concordance que vous avez choisie et en gras.

Deux paramètres connexes contrôlent cela :

• Mettre en évidence les liens non concordants active ou désactive l'accentuation des non-concordances.
• Afficher en ligne uniquement les liens non concordants masque la révélation visible en ligne des liens sans discordance, mais inscrit toujours leur URL de destination dans l'attribut title du lien, où elle apparaît au survol.

Le bouton de la barre d'outils

Dans Chrome, Edge, Opera, Firefox et Thunderbird, l'icône Reveal URLs de la barre d'outils est un interrupteur marche/arrêt rapide — cliquez dessus pour basculer l'annotation. Lorsque l'extension est désactivée, un badge OFF apparaît sur l'icône, et son infobulle vous indique si un clic l'activera ou la désactivera. Dans les navigateurs, le changement prend effet dans tous les onglets ouverts en même temps ; dans Thunderbird, il s'applique au prochain message que vous ouvrirez.

Lorsque Reveal URLs est activé, l'icône de la barre d'outils du navigateur vous indique également, par onglet, ce qu'elle a trouvé sur la page actuelle. Si la page contient des liens non concordants (ressemblants), l'icône affiche ce nombre sur un badge rouge ; si la page contient des liens mais qu'aucun n'est discordant, elle affiche le nombre total de liens analysés sur un badge gris ; une page sans liens analysables (et toute page sur laquelle l'extension n'agit pas) n'affiche aucun nombre. Chaque onglet conserve son propre badge, de sorte que changer d'onglet met à jour le nombre, et quitter la page ou fermer l'onglet l'efface. (Les nombres supérieurs à 99 s'affichent sous la forme 99+.)

Le badge dans ses trois états (le navigateur le dessine, donc l'emplacement exact varie un peu selon le navigateur) : un nombre rouge de discordances, un nombre gris de liens analysés et le badge OFF lorsque l'extension est désactivée ; son logo est alors lui aussi gris clair atténué. Sur une page où l'extension activée n'est pas active, il n'y a pas de badge ; l'absence du badge OFF distingue ce même logo atténué de l'état désactivé.

Ces illustrations ne montrent pas tous les cas sans badge ; une page active sans liens analysables conserve l'icône de couleur normale.

(Dans Thunderbird, le bouton n'affiche que son icône, ce qui lui permet de rester compact dans la barre d'outils unifiée. Vous pouvez aussi activer et désactiver Reveal URLs avec l'interrupteur Activer sur la page des paramètres.)

La page des paramètres

La page des paramètres contient toutes les options. Ouvrez-la depuis la page des extensions de votre navigateur (par exemple Détails → Options de l'extension), ou elle s'ouvre automatiquement à la première installation.

• Activer Reveal URLs — l'interrupteur principal marche/arrêt, tout en haut de la page. Il prend effet immédiatement, sans qu'il soit nécessaire d'enregistrer le reste du formulaire.
• Langue d'affichage — choisissez la langue dans laquelle la page des paramètres est affichée. Par défaut, elle suit la langue de votre navigateur, avec l'anglais comme solution de repli ; choisissez-en une autre dans la liste pour la remplacer. Votre choix prend effet immédiatement, est mémorisé pour la prochaine fois, et n'est stocké que sur cet appareil (il ne modifie jamais le reste de vos paramètres).
• Mettre en évidence les liens non concordants — active ou désactive l'accentuation des non-concordances.
• Couleur de non-concordance — la couleur CSS utilisée pour un lien signalé (par exemple red, #cc0000 ou rgb(200, 0, 0)). La valeur par défaut est le rouge.
• Couleur sans discordance — la couleur de l'URL révélée sur les liens sans discordance (par exemple black ou #b45309). La valeur par défaut est un ton ambré de prudence (#b45309), choisi pour qu'un lien sans avertissement ne paraisse pas vérifié comme sûr.
• Afficher en ligne uniquement les liens non concordants — masquez la révélation visible en ligne des liens sans discordance ; leur URL de destination reste dans l'attribut title du lien et apparaît au survol.
• Ignorer ces hôtes — une liste de noms d'hôtes à ignorer entièrement, un par ligne. Les sous-domaines d'un hôte listé sont également ignorés.
• Longueur maximale d'URL affichée — les URL longues sont tronquées au-delà de ce nombre de caractères, tout en gardant l'hôte visible. Plage autorisée : 20 à 2000.
• Taille / graisse de police de l'URL révélée — surcharges typographiques facultatives ; laissez vide pour conserver les valeurs par défaut.

À part l'interrupteur principal Activer et les commandes des Sites actifs (qui s'appliquent immédiatement), les modifications sont enregistrées avec le bouton Enregistrer les paramètres.

Sites actifs — ajouter votre propre webmail

La section Sites actifs, en haut de la page des paramètres, répertorie les pages sur lesquelles Reveal URLs fonctionne. Elle garde maintenant une hauteur fixe : choisissez un site dans la liste déroulante, puis modifiez seulement les paramètres de ce site dans le panneau situé en dessous.

La liste déroulante affiche une entrée par règle de site :

• les règles intégrées utilisent des noms conviviaux tels que Gmail, Proton Mail et Outlook (Live) ;
• lorsque plusieurs règles partagent un même nom, la liste déroulante ajoute l'hôte entre parenthèses, par exemple Tuta (app.tuta.com) et Zoho Mail (mail.zoho.eu) ;
• une règle ajoutée par l'utilisateur utilise son Name facultatif, ou son match URL lorsqu'il est laissé vide.

L'éditeur du site sélectionné affiche :

• la Match URL du site comme identifiant en lecture seule ;
• le Name modifiable du site ;
• un interrupteur Enabled ;
• le Message-body selector (le sélecteur CSS du conteneur que Reveal URLs annote), que vous pouvez modifier ;
• un interrupteur Sub-frames, pour les sites dont le corps de message est affiché à l'intérieur d'un iframe ;
• un bouton Remove pour vos propres sites uniquement.

Les fournisseurs intégrés (FastMail, Gmail, Outlook Live, Outlook 365, Proton, Tuta, Yahoo et Zoho) peuvent être désactivés et reciblés, mais ils ne peuvent pas être supprimés. Leurs noms peuvent aussi être renommés ici ; effacer le nom d'un fournisseur intégré rétablit son nom convivial par défaut.

Pour ajouter votre propre site de webmail :

1. Sous Ajouter un site, saisissez une URL de correspondance — un motif de correspondance tel que https://mail.example.com/*.
2. Saisissez éventuellement un Name pour la liste déroulante. Laissez-le vide pour revenir au match URL.
3. Saisissez un Message-body selector — un sélecteur CSS pour le conteneur qui héberge le corps du message, par exemple .message-body.
4. Si le corps du message est affiché à l'intérieur d'un sous-cadre, cochez Also run inside sub-frames.
5. Cliquez sur Add site. Votre navigateur vous demandera l'autorisation d'accéder à ce site ; accordez-la. Le site n'est ajouté qu'une fois que vous accordez l'autorisation.

Les modifications ici s'appliquent immédiatement. La suppression d'un site que vous avez ajouté révoque également son autorisation, de sorte que Reveal URLs cesse d'y accéder. Pour changer le match URL d'un site, supprimez-le puis ajoutez-le de nouveau : le match reste en lecture seule parce qu'il est l'identité de la règle.

Thunderbird (et les autres clients de messagerie). Thunderbird affiche déjà chaque message que vous lisez, quel que soit le fournisseur, il n'a donc pas besoin d'une liste par hôte. La section Sites actifs n'est par conséquent pas affichée sur la page des paramètres de Thunderbird — seuls l'interrupteur principal, la langue d'affichage, les couleurs, les polices et la liste d'ignorance apparaissent. Toute configuration de sites actifs que vous auriez définie dans un navigateur est préservée intacte : l'enregistrement des paramètres de Thunderbird ne l'efface jamais.

Les modules complémentaires Outlook et Gmail

Aux côtés de l'extension de navigateur et du module Thunderbird, Reveal URLs se présente comme un module complémentaire natif pour deux applications de messagerie qu'une extension de navigateur ne peut pas atteindre : un module complémentaire Outlook et un module complémentaire Gmail. Ils partagent la détection d'URL/d'hôte http/https de l'extension de navigateur, mais n'analysent pas ses autres schémas de liens.

La seule différence réside dans la façon dont ils présentent leurs constats. L'extension de navigateur annote les liens sur place — en colorant l'URL au-dessus ou à côté de chaque lien. Les cadres applicatifs d'Outlook et de Gmail ne permettent pas à un module complémentaire de modifier le message affiché ; à la place, chaque module complémentaire affiche un panneau latéral (Outlook) ou une carte (Gmail) répertoriant les liens qu'il a trouvés. Pour chaque lien http/https, il affiche le texte visible et l'URL de destination, et ne signale une non-concordance que lorsque le texte visible nomme une URL ou un hôte dont le domaine enregistrable ne correspond pas à celui de la destination du lien.

• Module complémentaire Outlook — un volet Office qui lit le message que vous avez ouvert et l'analyse sur votre propre appareil ; aucune donnée de courriel ou de message n'est envoyée où que ce soit. Le code de son volet Office (HTML, JavaScript, CSS et icônes) est chargé depuis https://www.reveal-urls.eu via HTTPS, comme cela se produit à l'ouverture de n'importe quelle page web. Il atteint Outlook sur le web, Windows, Mac, iOS et Android, ainsi qu'Outlook.com.
• Module complémentaire Gmail — une carte dans la barre latérale de Gmail. Ouvrez un message, puis cliquez sur l'icône Reveal URLs dans la barre latérale de droite pour voir ses liens : Gmail n'ouvre pas la carte de lui-même, mais si vous laissez le panneau ouvert, il s'actualise au fur et à mesure que vous passez d'un message à l'autre. Un lien sosie est signalé en rouge par une icône d’avertissement ; l’URL d’un lien sans discordance s’affiche dans la couleur de texte par défaut de la carte, qui suit le thème clair ou sombre de Gmail. Il atteint Gmail sur le web, Android et iOS. Contrairement aux autres formes, le module complémentaire Gmail s'exécute sur les serveurs de Google (c'est ainsi que fonctionnent les modules complémentaires Gmail) : le message que vous ouvrez y est lu et vérifié, chaque fois que vous l'ouvrez, et n'est pas conservé. Consultez la politique de confidentialité pour savoir ce à quoi chaque forme accède et ce qu'elle stocke.

Le module complémentaire Gmail est désormais disponible sur Google Workspace Marketplace.

Langues

Reveal URLs est disponible en anglais et dans de nombreuses autres langues.

• La page des paramètres suit automatiquement la langue de votre navigateur, avec l'anglais comme solution de repli lorsque votre langue ne figure pas parmi celles ci-dessus. Vous pouvez la remplacer à tout moment grâce au sélecteur Langue d'affichage situé près du haut de la page ; votre choix est mémorisé sur cet appareil (voir La page des paramètres).
• Ce site web (la page d'accueil et ces pages de documentation) détecte également la langue de votre navigateur et propose un sélecteur de langue dans l'en-tête. Le manuel et les pages de confidentialité sont disponibles traduits ; lorsqu'une page n'a pas encore de traduction, elle est affichée en anglais.

Le texte non anglais est traduit par machine et en attente de relecture humaine, de sorte qu'une formulation peut parfois sembler maladroite ; le sens est censé correspondre à l'original anglais. Si vous repérez une erreur de traduction, veuillez ouvrir un problème sur le suivi des problèmes Codeberg.

Confidentialité

Reveal URLs n'envoie aucune de vos données de courriel ou de message à nous ni à aucun tiers, sous aucune de ses formes — il n'y a pas d'analyse et pas de pistage. Comment et où le travail s'effectue dépend de la forme :

• L'extension de navigateur et le module Thunderbird fonctionnent entièrement sur votre propre appareil et ne transmettent rien : ils lisent le texte des liens, les URLs et les couleurs de la page au fur et à mesure de l'affichage de celle-ci, sans jamais les stocker ni les envoyer.
• Le module complémentaire Outlook analyse le message ouvert sur votre propre appareil et n'envoie aucune donnée de courriel ou de message où que ce soit ; le code de son volet Office (HTML, JavaScript, CSS et icônes) est chargé depuis https://www.reveal-urls.eu via HTTPS, comme cela se produit à l'ouverture de n'importe quelle page web.
• Le module complémentaire Gmail s'exécute sur les propres serveurs de Google (c'est ainsi que fonctionnent les modules complémentaires Gmail) : le message ouvert y est lu et vérifié, chaque fois que vous l'ouvrez, et n'est pas conservé.

La seule chose qui est stockée, ce sont vos propres paramètres (tels que activé/désactivé, couleurs, tailles de police, votre liste d'ignorance et tous les sites que vous avez ajoutés), conservés dans le stockage par utilisateur de votre navigateur, d'Outlook ou de Google, et jamais envoyés à nous.

Consultez la politique de confidentialité pour tous les détails.

Dépannage

Un lien n'est pas révélé.

• Vérifiez que Reveal URLs est activé — l'icône de la barre d'outils ne doit pas afficher le badge OFF, et l'interrupteur Activer Reveal URLs sur la page des paramètres doit être activé.
• Vérifiez que le site est couvert. Les fournisseurs intégrés (FastMail, Gmail, Outlook Live, Outlook 365, Proton, Tuta, Yahoo, Zoho) fonctionnent d'emblée ; tout autre webmail doit être ajouté sous Sites actifs avec son URL de correspondance et son sélecteur de corps de message.
• Vérifiez le sélecteur de corps de message. S'il ne correspond pas au conteneur qui héberge le corps du message, les liens à l'intérieur de ce conteneur ne seront pas révélés.
• Les fournisseurs avec open shadow root sont découverts par le balayage du body par lot dès qu'un lot du body observer s'exécute après l'entrée de l'hôte dans le DOM. Un shadow root tardif est mis à niveau lors du lot suivant de mutations du body. Le seul cas non pris en charge est celui où un hôte ou un shadow root apparaît puis qu'aucune autre mutation du body ne se déclenche jamais pour la page.
• L'extension de navigateur et Thunderbird révèlent aussi les liens qui utilisent d'autres schémas — mailto: (e-mail), tel:/sms: (téléphone) et des schémas opaques tels que javascript:, data:, vbscript: ou blob: — et les signalent lorsque le texte visible nomme une destination différente de celle vers laquelle le lien pointe réellement (par exemple une adresse affichée comme billing@paypal.com dont le mailto: vise un autre domaine, ou un lien qui ressemble à une adresse web mais qui est en réalité un lien javascript:) ; les liens javascript:, data: et vbscript: sont toujours signalés. Seuls les liens vers des ancres internes à la page (#…) et les liens vides ou non analysables sont ignorés, tout comme les hôtes figurant sur votre liste Ignorer ces hôtes. Notez que cette couverture élargie des schémas s'applique à l'annotation en ligne de l'extension de navigateur ; les panneaux de résultats des modules complémentaires natifs Outlook et Gmail ne couvrent actuellement que les liens http/https.

Un fournisseur intégré a cessé de fonctionner après une refonte.

Les fournisseurs de webmail modifient de temps en temps le balisage de leurs pages. Si le sélecteur d'un fournisseur intégré ne correspond plus après un tel changement, vous pouvez le corriger vous-même : dans Sites actifs, modifiez le sélecteur de corps de message de ce fournisseur vers le nouveau conteneur.

Licence et code source

Reveal URLs est un logiciel libre, sous licence GNU Affero General Public License v3.0 (AGPL-3.0-only).

• Code source : https://codeberg.org/Magentron/reveal-urls
• Aperçu technique : Architecture
• Pour aller plus loin sur le hameçonnage par lien : Email link phishing: your app should always show the URL

Notes sur Safari

Safari affiche un badge uniquement lorsque les liens ne correspondent pas ; il n’a pas de compteur gris de page sûre. Rouvre les réglages depuis le menu par clic droit Reveal URLs — settings, plutôt que de recharger un ancien onglet.