Reveal URLs — Manuel d'utilisation

Reveal URLs est une petite extension de navigateur (et un module Thunderbird) qui vous montre où un lien dans votre courriel mène réellement, afin que vous puissiez repérer un lien de hameçonnage avant de cliquer dessus.

Ce manuel explique comment installer Reveal URLs et comment l'utiliser. Pour savoir comment vos données sont traitées, consultez la politique de confidentialité ; pour un aperçu technique de la façon dont l'extension est construite, consultez l'aperçu de l'architecture.

Vous avez trouvé un bogue, un lien signalé à tort (ou manqué), ou un hôte de webmail qui devrait être pris en charge ? Veuillez le signaler sur le suivi des problèmes Codeberg.

Sommaire

• Ce que ça fait et pourquoi
• Navigateurs et client de messagerie pris en charge
• Installation
• Utilisation
• Les modules complémentaires Outlook et Gmail
• Langues
• Confidentialité
• Dépannage
• Licence et code source

Ce que ça fait et pourquoi

Un courriel de hameçonnage cache une destination hostile derrière un texte de lien d'apparence fiable. Parfois il s'agit d'un hôte sosie : le texte affiche paypal.com alors que le lien pointe vers paypa1.com. Souvent c'est plus subtil et passe par un traqueur ou un redirecteur, si bien que l'endroit où vous arrivez n'a rien à voir avec la marque nommée dans le texte.

Remarque : Cette capture d’écran montre un e-mail de phishing frauduleux se faisant passer pour La Poste. La Poste n’est pas affiliée à Reveal URLs et ne le cautionne pas.

Reveal URLs lit chaque lien dans le message que vous lisez et vous montre l'URL vers laquelle il pointe réellement. Lorsque l'hôte nommé dans le texte du lien ne correspond pas à cet hôte, Reveal URLs le signale, de sorte que l'écart est évident avant que vous ne cliquiez.

Dans l'extension de navigateur et le module Thunderbird, tout se passe sur votre propre appareil, sans rien transmettre. Sous toutes ses formes, Reveal URLs n'envoie aucune de vos données de courriel à nous ni à aucun tiers — il n'y a pas d'analyse et pas de pistage. (Les formes diffèrent quant à l'endroit où elles s'exécutent et à la façon dont le code du volet Outlook est servi ; consultez la section Confidentialité et la politique de confidentialité pour tous les détails.)

Navigateurs et client de messagerie pris en charge

Reveal URLs fonctionne sur :

• Google Chrome
• Microsoft Edge
• Opera
• Mozilla Firefox
• Mozilla Thunderbird (le client de messagerie de bureau)

Une version Safari n'est pas encore livrée ; elle est prévue pour une phase ultérieure.

Sur les cibles de navigateur, Reveal URLs annote les liens dans votre webmail. Dans Thunderbird, il annote les liens du courriel que vous lisez directement dans le client de messagerie.

Installation

Depuis la boutique de votre navigateur ou client de messagerie (recommandé)

Installez Reveal URLs depuis la boutique de votre navigateur ou de votre client de messagerie. Les fiches Chrome, Edge, Firefox et Thunderbird sont en ligne ; Opera fonctionne avec la version Chrome, et une fiche Opera dédiée est encore en préparation :

• Chrome — Chrome Web Store
• Edge — Microsoft Edge Add-ons
• Opera — installez la version Chrome depuis le Chrome Web Store ; une fiche Opera dédiée est bientôt disponible
• Firefox — Firefox Add-ons (AMO)
• Thunderbird — Thunderbird Add-ons (ATN)

Charger une version vous-même (développeurs et tests précoces)

Si vous avez construit Reveal URLs à partir du code source, vous pouvez charger directement la version décompressée. Chaque cible est construite avec une commande make et produite sous dist/<target>/ :

make build-chrome        # produces dist/chrome
make build-edge          # produces dist/edge
make build-opera         # produces dist/opera
make build-firefox       # produces dist/firefox
make build-thunderbird   # produces dist/thunderbird

Chargez ensuite le dossier obtenu :

• Chrome — ouvrez chrome://extensions, activez le mode développeur, cliquez sur Charger l'extension non empaquetée et sélectionnez dist/chrome.
• Edge — ouvrez edge://extensions, activez le mode développeur, cliquez sur Charger l'extension non empaquetée et sélectionnez dist/edge.
• Opera — ouvrez opera://extensions, activez le mode développeur, cliquez sur Charger l'extension non empaquetée et sélectionnez dist/opera.
• Firefox — ouvrez about:debugging, choisissez Ce Firefox, cliquez sur Charger un module temporaire et sélectionnez n'importe quel fichier dans dist/firefox (par exemple son manifest.json). Un module temporaire est supprimé au redémarrage de Firefox.
• Thunderbird — installez le module temporaire depuis dist/thunderbird de la même manière (via Outils → Outils de développement → Déboguer les modules → Charger un module temporaire).

La page des paramètres s'ouvre automatiquement la première fois que l'extension est installée.

Utilisation

D'emblée, Reveal URLs annote les liens dans les messages chez les fournisseurs intégrés — aucune configuration requise :

• Gmail (mail.google.com)
• Outlook Live (outlook.live.com)
• Outlook sur le web / Microsoft 365 (outlook.office.com)
• Proton Mail (mail.proton.me)

L'annotation est limitée au corps du message, de sorte que l'interface propre de l'application — sa barre latérale, sa fenêtre de rédaction et ses barres d'outils — reste intacte. Dans Thunderbird, l'ensemble du courriel affiché est couvert.

Les deux modes de révélation

Vous choisissez la façon dont la véritable URL est affichée, sous Révéler l'URL sur la page des paramètres :

• En ligne — la véritable URL est affichée sur sa propre ligne, juste au-dessus du texte du lien. C'est le mode par défaut.
• Dans l'infobulle (titre) du lien — la véritable URL est placée dans l'infobulle du lien, de sorte qu'elle apparaît lorsque vous survolez le lien.

Mise en évidence des non-concordances

Lorsque l'hôte nommé dans le texte visible d'un lien ne correspond pas à l'hôte vers lequel le lien pointe réellement, Reveal URLs le signale comme une non-concordance. La comparaison se fait sur le domaine enregistrable, de sorte qu'un sous-domaine honnête tel que mail.example.com pour example.com n'est pas signalé, tandis qu'un sosie tel que paypa1.com pour paypal.com l'est.

• En mode en ligne, une non-concordance est affichée dans la couleur de non-concordance que vous avez choisie et en gras.
• En mode infobulle (titre), un badge distinctif ⚠ Non-concordance d'URL est ajouté à côté du lien.

Deux paramètres connexes contrôlent cela :

• Mettre en évidence les liens non concordants active ou désactive l'accentuation des non-concordances.
• N'annoter que les liens non concordants laisse les liens honnêtes complètement intacts, de sorte que seuls les liens suspects sont révélés.

Le bouton de la barre d'outils

Dans Chrome, Edge, Opera, Firefox et Thunderbird, l'icône Reveal URLs de la barre d'outils est un interrupteur marche/arrêt rapide — cliquez dessus pour basculer l'annotation. Lorsque l'extension est désactivée, un badge OFF apparaît sur l'icône, et son infobulle vous indique si un clic l'activera ou la désactivera. Dans les navigateurs, le changement prend effet dans tous les onglets ouverts en même temps ; dans Thunderbird, il s'applique au prochain message que vous ouvrirez.

(Dans Thunderbird, le bouton n'affiche que son icône, ce qui lui permet de rester compact dans la barre d'outils unifiée. Vous pouvez aussi activer et désactiver Reveal URLs avec l'interrupteur Activer sur la page des paramètres.)

La page des paramètres

La page des paramètres contient toutes les options. Ouvrez-la depuis la page des extensions de votre navigateur (par exemple Détails → Options de l'extension), ou elle s'ouvre automatiquement à la première installation.

• Activer Reveal URLs — l'interrupteur principal marche/arrêt, tout en haut de la page. Il prend effet immédiatement, sans qu'il soit nécessaire d'enregistrer le reste du formulaire.
• Langue d'affichage — choisissez la langue dans laquelle la page des paramètres est affichée. Par défaut, elle suit la langue de votre navigateur, avec l'anglais comme solution de repli ; choisissez-en une autre dans la liste pour la remplacer. Votre choix prend effet immédiatement, est mémorisé pour la prochaine fois, et n'est stocké que sur cet appareil (il ne modifie jamais le reste de vos paramètres).
• Révéler l'URL — choisissez le mode en ligne ou infobulle (titre) (voir ci-dessus).
• Mettre en évidence les liens non concordants — active ou désactive l'accentuation des non-concordances.
• Couleur de non-concordance — la couleur CSS utilisée pour un lien signalé (par exemple red, #cc0000 ou rgb(200, 0, 0)). La valeur par défaut est le rouge.
• Couleur de concordance — la couleur de l'URL révélée sur les liens honnêtes (non concordants) (par exemple black ou #1a1a1a). La valeur par défaut est un gris très foncé neutre (#1a1a1a), choisi pour que la couleur n'implique pas que le lien a été vérifié.
• N'annoter que les liens non concordants — laisse les liens honnêtes intacts.
• Ignorer ces hôtes — une liste de noms d'hôtes à ignorer entièrement, un par ligne. Les sous-domaines d'un hôte listé sont également ignorés.
• Longueur maximale d'URL affichée — les URL longues sont tronquées au-delà de ce nombre de caractères, tout en gardant l'hôte visible. Plage autorisée : 20 à 2000.
• Taille / graisse de police de l'URL révélée et Taille / graisse de police du badge d'avertissement — surcharges typographiques facultatives ; laissez vide pour conserver les valeurs par défaut.

À part l'interrupteur principal Activer et les commandes des Sites actifs (qui s'appliquent immédiatement), les modifications sont enregistrées avec le bouton Enregistrer les paramètres.

Sites actifs — ajouter votre propre webmail

La section Sites actifs, en haut de la page des paramètres, répertorie les pages sur lesquelles Reveal URLs fonctionne et le conteneur qui héberge chaque corps de message.

Chaque ligne affiche :

• le motif de correspondance du site (par exemple https://mail.example.com/*) ;
• un interrupteur Activé ;
• le sélecteur de corps de message (le sélecteur CSS pour le conteneur que Reveal URLs annote), que vous pouvez modifier ;
• un interrupteur Sous-cadres, pour les sites dont le corps de message est affiché à l'intérieur d'un iframe ;
• un bouton Supprimer (pour vos propres sites uniquement).

Les fournisseurs intégrés (Gmail, Outlook et Proton) peuvent être désactivés et reciblés, mais ils ne peuvent pas être supprimés.

Pour ajouter votre propre site de webmail :

1. Sous Ajouter un site, saisissez une URL de correspondance — un motif de correspondance tel que https://mail.example.com/*.
2. Saisissez un Sélecteur de corps de message — un sélecteur CSS pour le conteneur qui héberge le corps du message, par exemple .message-body.
3. Si le corps du message est affiché à l'intérieur d'un sous-cadre, cochez Exécuter aussi à l'intérieur des sous-cadres.
4. Cliquez sur Ajouter un site. Votre navigateur vous demandera l'autorisation d'accéder à ce site ; accordez-la. Le site n'est ajouté qu'une fois que vous accordez l'autorisation.

Les modifications ici s'appliquent immédiatement. La suppression d'un site que vous avez ajouté révoque également son autorisation, de sorte que Reveal URLs cesse d'y accéder.

Thunderbird (et les autres clients de messagerie). Thunderbird affiche déjà chaque message que vous lisez, quel que soit le fournisseur, il n'a donc pas besoin d'une liste par hôte. La section Sites actifs n'est par conséquent pas affichée sur la page des paramètres de Thunderbird — seuls l'interrupteur principal, la langue d'affichage, le mode de révélation, les couleurs, les polices et la liste d'ignorance apparaissent. Toute configuration de sites actifs que vous auriez définie dans un navigateur est préservée intacte : l'enregistrement des paramètres de Thunderbird ne l'efface jamais.

Les modules complémentaires Outlook et Gmail

Aux côtés de l'extension de navigateur et du module Thunderbird, Reveal URLs se présente comme un module complémentaire natif pour deux applications de messagerie qu'une extension de navigateur ne peut pas atteindre : un module complémentaire Outlook et un module complémentaire Gmail. Tous deux utilisent la même détection de liens que l'extension, de sorte qu'ils révèlent les mêmes URLs et signalent les mêmes hôtes sosies.

La seule différence réside dans la façon dont ils présentent leurs constats. L'extension de navigateur annote les liens sur place — en colorant l'URL au-dessus ou à côté de chaque lien. Les cadres applicatifs d'Outlook et de Gmail ne permettent pas à un module complémentaire de modifier le message affiché ; à la place, chaque module complémentaire affiche un panneau latéral (Outlook) ou une carte (Gmail) répertoriant les liens qu'il a trouvés. Pour chaque lien, il affiche le texte visible, l'URL de destination et l'hôte enregistrable, et il signale une non-concordance lorsque le texte visible nomme un domaine enregistrable différent de celui vers lequel le lien pointe réellement.

• Module complémentaire Outlook — un volet Office qui lit le message que vous avez ouvert et l'analyse sur votre propre appareil ; aucune donnée de courriel ou de message n'est envoyée où que ce soit. Le code de son volet Office (HTML, JavaScript, CSS et icônes) est chargé depuis https://www.reveal-urls.eu via HTTPS, comme cela se produit à l'ouverture de n'importe quelle page web. Il atteint Outlook sur le web, Windows, Mac, iOS et Android, ainsi qu'Outlook.com.
• Module complémentaire Gmail — une carte dans la barre latérale de Gmail. Ouvrez un message, puis cliquez sur l'icône Reveal URLs dans la barre latérale de droite pour voir ses liens : Gmail n'ouvre pas la carte de lui-même, mais si vous laissez le panneau ouvert, il s'actualise au fur et à mesure que vous passez d'un message à l'autre. L'URL de chaque lien est affichée en gris foncé neutre pour un lien honnête et en rouge pour un sosie. Il atteint Gmail sur le web, Android et iOS. Contrairement aux autres formes, le module complémentaire Gmail s'exécute sur les serveurs de Google (c'est ainsi que fonctionnent les modules complémentaires Gmail) : le message que vous ouvrez y est lu et vérifié, chaque fois que vous l'ouvrez, et n'est pas conservé. Consultez la politique de confidentialité pour savoir ce à quoi chaque forme accède et ce qu'elle stocke.

Les deux modules complémentaires seront distribués via leurs boutiques d'applications respectives — le module complémentaire Outlook via Microsoft AppSource, le module complémentaire Gmail via le Google Workspace Marketplace. La publication est en attente ; des liens d'installation directs seront ajoutés ici une fois chaque fiche en ligne.

Langues

Reveal URLs est disponible en anglais et dans de nombreuses autres langues.

• La page des paramètres suit automatiquement la langue de votre navigateur, avec l'anglais comme solution de repli lorsque votre langue ne figure pas parmi celles ci-dessus. Vous pouvez la remplacer à tout moment grâce au sélecteur Langue d'affichage situé près du haut de la page ; votre choix est mémorisé sur cet appareil (voir La page des paramètres).
• Ce site web (la page d'accueil et ces pages de documentation) détecte également la langue de votre navigateur et propose un sélecteur de langue dans l'en-tête. Le manuel et les pages de confidentialité sont disponibles traduits ; lorsqu'une page n'a pas encore de traduction, elle est affichée en anglais.

Le texte non anglais est traduit par machine et en attente de relecture humaine, de sorte qu'une formulation peut parfois sembler maladroite ; le sens est censé correspondre à l'original anglais. Si vous repérez une erreur de traduction, veuillez ouvrir un problème sur le suivi des problèmes Codeberg.

Confidentialité

Reveal URLs n'envoie aucune de vos données de courriel ou de message à nous ni à aucun tiers, sous aucune de ses formes — il n'y a pas d'analyse et pas de pistage. Comment et où le travail s'effectue dépend de la forme :

• L'extension de navigateur et le module Thunderbird fonctionnent entièrement sur votre propre appareil et ne transmettent rien : ils lisent le texte des liens, les URLs et les couleurs de la page au fur et à mesure de l'affichage de celle-ci, sans jamais les stocker ni les envoyer.
• Le module complémentaire Outlook analyse le message ouvert sur votre propre appareil et n'envoie aucune donnée de courriel ou de message où que ce soit ; le code de son volet Office (HTML, JavaScript, CSS et icônes) est chargé depuis https://www.reveal-urls.eu via HTTPS, comme cela se produit à l'ouverture de n'importe quelle page web.
• Le module complémentaire Gmail s'exécute sur les propres serveurs de Google (c'est ainsi que fonctionnent les modules complémentaires Gmail) : le message ouvert y est lu et vérifié, chaque fois que vous l'ouvrez, et n'est pas conservé.

La seule chose qui est stockée, ce sont vos propres paramètres (tels que activé/désactivé, mode de révélation, couleurs, tailles de police, votre liste d'ignorance et tous les sites que vous avez ajoutés), conservés dans le stockage par utilisateur de votre navigateur, d'Outlook ou de Google, et jamais envoyés à nous.

Consultez la politique de confidentialité pour tous les détails.

Dépannage

Un lien n'est pas révélé.

• Vérifiez que Reveal URLs est activé — l'icône de la barre d'outils ne doit pas afficher le badge OFF, et l'interrupteur Activer Reveal URLs sur la page des paramètres doit être activé.
• Vérifiez que le site est couvert. Les fournisseurs intégrés (Gmail, Outlook, Proton) fonctionnent d'emblée ; tout autre webmail doit être ajouté sous Sites actifs avec son URL de correspondance et son sélecteur de corps de message.
• Vérifiez le sélecteur de corps de message. S'il ne correspond pas au conteneur qui héberge le corps du message, les liens à l'intérieur de ce conteneur ne seront pas révélés.
• Notez que les liens vers des ancres internes à la page, et les liens utilisant des schémas autres que http/https (tels que mailto:), sont délibérément ignorés — tout comme les hôtes figurant sur votre liste Ignorer ces hôtes.

Un fournisseur intégré a cessé de fonctionner après une refonte.

Les fournisseurs de webmail modifient de temps en temps le balisage de leurs pages. Si le sélecteur d'un fournisseur intégré ne correspond plus après un tel changement, vous pouvez le corriger vous-même : dans Sites actifs, modifiez le sélecteur de corps de message de ce fournisseur vers le nouveau conteneur.

L'URL de l'infobulle ne s'affiche pas.

En mode infobulle (titre), la véritable URL est placée dans l'infobulle du lien, de sorte qu'elle n'apparaît que lorsque vous survolez le lien. Si vous préférez voir l'URL sans survol, basculez Révéler l'URL en mode en ligne.

Licence et code source

Reveal URLs est un logiciel libre, sous licence GNU Affero General Public License v3.0 (AGPL-3.0-only).

• Code source : https://codeberg.org/Magentron/reveal-urls
• Aperçu technique : Architecture
• Pour aller plus loin sur le hameçonnage par lien : Email link phishing: your app should always show the URL