Reveal URLs — Manual de usuario

Reveal URLs é unha pequena extensión para o navegador e un complemento para Thunderbird que che mostra cara a onde vai realmente unha ligazón do teu correo electrónico, para que poidas detectar unha ligazón de phishing antes de premer nela.

Este manual explica como instalar Reveal URLs e como usalo. Para saber como se tratan os teus datos, consulta a política de privacidade. Para unha visión técnica de como está construída a extensión, consulta a descrición da arquitectura.

Se atopaches un erro, unha ligazón marcada de maneira incorrecta ou un host de webmail que debería ser compatible, comunícao no Codeberg issue tracker.

Contido

• Que fai e por que
• Navegadores compatibles e o cliente de correo
• Instalación
• Uso
• Complementos de Outlook e Gmail
• Idiomas
• Privacidade
• Resolución de problemas
• Licenza e código fonte

Que fai e por que

Unha mensaxe de phishing agocha un destino hostil detrás dun texto de ligazón que parece fiable. Ás veces é un host que só se asemella ao real: o texto di paypal.com, pero a ligazón vai realmente a paypa1.com. Moitas veces o truco é máis sutil e pasa por un tracker ou un redirector, de maneira que o lugar ao que chegas non ten case nada que ver coa marca mencionada no texto.

Nota: Esta captura de pantalla mostra un correo de phishing fraudulento que suplanta Correos. Correos non está afiliada a Reveal URLs nin o avala.

Reveal URLs le cada ligazón da mensaxe que estás vendo e móstrache o URL ao que apunta. Cando o host indicado no texto da ligazón non coincide co host ao que a ligazón leva de verdade, Reveal URLs márcao para que a discrepancia quede clara antes de premer.

Na extensión do navegador e no complemento para Thunderbird, todo acontece no teu propio dispositivo e non se envía nada a ningures. Ningunha forma de Reveal URLs envía os teus datos de correo electrónico nin a nós nin a terceiros: non hai analytics nin hai tracking. As distintas formas diferéncianse unicamente polo lugar onde se executan e por como se serve o código do panel de Outlook. Atoparás máis detalles na sección Privacidade e na política de privacidade.

Navegadores compatibles e o cliente de correo

Reveal URLs funciona en:

• Google Chrome
• Microsoft Edge
• Opera
• Mozilla Firefox
• Mozilla Thunderbird (o cliente de correo de escritorio)

A versión para Safari aínda non foi publicada. Está prevista para unha fase posterior.

Nos navegadores, Reveal URLs anota as ligazóns do teu webmail. En Thunderbird anota as ligazóns directamente na mensaxe de correo que estás a ler dentro do propio cliente.

Instalación

Desde a tenda do teu navegador ou cliente de correo (recomendado)

Instala Reveal URLs desde a tenda do teu navegador ou cliente de correo. As publicacións de Chrome, Edge, Firefox e Thunderbird xa están dispoñibles. Opera usa o build de Chrome, e unha ficha específica para Opera aínda está en preparación:

• Chrome — the Chrome Web Store
• Edge — Microsoft Edge Add-ons
• Opera — instala a versión de Chrome desde the Chrome Web Store. Unha ficha específica para Opera chegará axiña
• Firefox — Firefox Add-ons (AMO)
• Thunderbird — Thunderbird Add-ons (ATN)

Cargar ti mesmo un build (desenvolvemento e probas temperás)

Se construíches Reveal URLs a partir do código fonte, podes cargar o build descomprimido directamente. Cada target constrúese cunha orde make e xérase no directorio dist/<target>/:

make build-chrome        # produces dist/chrome
make build-edge          # produces dist/edge
make build-opera         # produces dist/opera
make build-firefox       # produces dist/firefox
make build-thunderbird   # produces dist/thunderbird

Despois carga o directorio correspondente:

• Chrome — abre chrome://extensions, activa Developer mode, fai clic en Load unpacked e selecciona dist/chrome.
• Edge — abre edge://extensions, activa Developer mode, fai clic en Load unpacked e selecciona dist/edge.
• Opera — abre opera://extensions, activa Developer mode, fai clic en Load unpacked e selecciona dist/opera.
• Firefox — abre about:debugging, escolle This Firefox, fai clic en Load Temporary Add-on e selecciona calquera ficheiro dentro do directorio dist/firefox, por exemplo manifest.json. O complemento temporal elimínase cando Firefox se reinicia.
• Thunderbird — instala o complemento temporal desde dist/thunderbird do mesmo xeito a través de Tools → Developer Tools → Debug Add-ons → Load Temporary Add-on.

A páxina de configuración ábrese automaticamente a primeira vez que se instala a extensión.

Uso

Nada máis instalalo, Reveal URLs anota as ligazóns das mensaxes dos servizos integrados sen necesidade de configuración adicional:

• Gmail (mail.google.com)
• Outlook Live (outlook.live.com)
• Outlook on the web / Microsoft 365 (outlook.office.com)
• Proton Mail (mail.proton.me)

A anotación queda limitada ao corpo da mensaxe, de maneira que o chrome propio da aplicación, como a barra lateral, a xanela de redacción e as barras de ferramentas, permanece intacto. En Thunderbird queda cuberto todo o rendered email.

Os dous modos de revelación

Na páxina de configuración, en Reveal the URL, escolles como se debe mostrar o URL real:

• Inline — o URL real móstrase na súa propia liña, xusto enriba do texto da ligazón. Esta é a opción predeterminada.
• In the link's tooltip (title) — o URL real escríbese no tooltip da ligazón, de maneira que o ves ao deixar o cursor enriba.

Realce das discrepancias

Cando o host indicado no texto visible dunha ligazón non coincide co host ao que realmente leva a ligazón, Reveal URLs márcao como discrepancia. A comparación faise sobre o dominio registrable, polo que un sub-domain lexítimo como mail.example.com para example.com non se marca, mentres que un host look-alike como paypa1.com para paypal.com si se marca.

• No modo inline, a discrepancia móstrase coa cor de mismatch que escollas e en negra.
• No modo tooltip (title), engádese a marca clara ⚠ URL mismatch xunto á ligazón.

Dúas opcións relacionadas controlan isto:

• Highlight mismatching links activa ou desactiva o realce das discrepancias.
• Only annotate mismatching links deixa as ligazóns lexítimas completamente intactas, de maneira que só se revelan as sospeitosas.

O botón da barra de ferramentas

En Chrome, Edge, Opera, Firefox e Thunderbird, a icona de Reveal URLs na barra de ferramentas é un interruptor rápido de acendido/apagado: fai clic nela para alternar a anotación. Cando a extensión está desactivada, aparece un distintivo OFF na icona, e a súa información sobre ferramentas indícache se ao facer clic se activará ou se desactivará. Nos navegadores, o cambio ten efecto en todas as lapelas abertas á vez; en Thunderbird aplícase á seguinte mensaxe que abras.

(En Thunderbird o botón só mostra a súa icona, polo que se mantén compacto na barra de ferramentas unificada. Tamén podes activar e desactivar Reveal URLs co interruptor Enable da páxina de configuración.)

A páxina de configuración

Na páxina de configuración están todas as opcións. Ábrea desde a páxina de extensións do teu navegador, por exemplo a través de Details → Extension options, ou abrirase soa durante a primeira instalación.

• Enable Reveal URLs — o interruptor principal para activar e desactivar na parte superior da páxina. Ten efecto inmediato, sen necesidade de gardar o resto do formulario.
• Display language — escolle o idioma no que se mostrará a páxina de configuración. Por defecto segue o idioma do teu navegador e volve ao inglés se o teu non é compatible. Podes cambialo escollendo outro idioma da lista. A túa escolla ten efecto inmediato, recórdase e gárdase só neste dispositivo.
• Reveal the URL — escolle o modo inline ou tooltip (title), como se describiu arriba.
• Highlight mismatching links — activa ou desactiva o realce das discrepancias.
• Mismatch colour — cor CSS para a ligazón marcada, por exemplo red, #cc0000 ou rgb(200, 0, 0). O valor predeterminado é o vermello.
• Match colour — cor do URL revelado para ligazóns lexítimas sen discrepancia, por exemplo black ou #1a1a1a. Por defecto é un gris moi escuro e neutro (#1a1a1a).
• Only annotate mismatching links — deixa intactas as ligazóns lexítimas.
• Ignore these hosts — lista de hostname que se deben omitir por completo, un por liña. Tamén se omiten os sub-domain do host indicado.
• Maximum displayed URL length — os URL longos recórtanse a partir deste número de caracteres, mantendo visible o host. O intervalo permitido é de 20 a 2000.
• Revealed URL font size / weight e Warning badge font size / weight — axustes tipográficos opcionais. Déixao en branco se queres manter os valores predeterminados.

Excepto o interruptor principal Enable e os controis de Active sites, que se aplican de inmediato, os cambios gárdanse co botón Save settings.

Sitios activos — engadir o teu propio webmail

A sección Active sites na parte superior da páxina de configuración lista as páxinas onde Reveal URLs funciona e o container que contén o corpo de cada mensaxe.

Cada fila mostra:

• o match pattern do sitio, por exemplo https://mail.example.com/*
• un interruptor Enabled
• o message-body selector, é dicir, o CSS selector do container que Reveal URLs anota e que podes editar
• un interruptor Sub-frames, para os sitios onde o corpo da mensaxe se mostra dentro dun iframe
• un botón Remove, só para os sitios que ti mesmo engadiches

Os servizos integrados, como Gmail, Outlook e Proton, pódense desactivar ou redirixir, pero non se poden eliminar.

Para engadir o teu propio sitio de webmail:

1. Na sección Add site, introduce Match URL — un match pattern como https://mail.example.com/*.
2. Introduce Message-body selector — un CSS selector para o container que contén o corpo da mensaxe, por exemplo .message-body.
3. Se o corpo da mensaxe se mostra dentro dun subframe, marca Also run inside sub-frames.
4. Preme Add site. O teu navegador pedirache permiso para acceder a ese sitio. Concédeo. O sitio engádese só cando o permiso queda confirmado.

Os cambios aquí aplícanse de inmediato. Eliminar un sitio que engadiches tamén revoga o seu permiso, polo que Reveal URLs deixa de acceder a el.

Thunderbird (e outros clientes de correo). Thunderbird xa amosa cada mensaxe que les, sexa cal sexa o provedor, polo que non necesita unha lista por host. Por iso a sección Active sites non se mostra na páxina de configuración de Thunderbird. Alí só aparecen o interruptor principal, o idioma de visualización, o modo de revelación, as cores, as fontes e a lista de ignorados. Calquera configuración de sitios activos que estableceses nun navegador consérvase intacta. Gardar a configuración de Thunderbird non a borra nunca.

Complementos de Outlook e Gmail

Ademais da extensión do navegador e do complemento para Thunderbird, Reveal URLs tamén está dispoñible como native complemento para dúas aplicacións de correo ás que unha extensión do navegador non pode chegar: Outlook add-in e Gmail add-on. Ambos usan a mesma detección de ligazóns ca a extensión, polo que revelan os mesmos URL e marcan os mesmos host look-alike.

A única diferenza é como mostran os achados. A extensión do navegador anota as ligazóns no propio lugar, coloreando o URL enriba ou ao lado de cada ligazón. Os frameworks de Outlook e Gmail non permiten que un complemento modifique a mensaxe renderizada, polo que cada complemento mostra no seu lugar un panel lateral (Outlook) ou unha tarxeta (Gmail) coa lista das ligazóns atopadas. Para cada ligazón móstranse o texto visible, o URL de destino e o host registrable, e márcase unha discrepancia cando o texto visible indica un dominio registrable diferente do que ten de verdade a ligazón.

• Outlook add-in — task pane que le a mensaxe que tes aberta e a analiza no teu dispositivo. Non se envía a ningures ningún dato do correo nin da mensaxe. O código do task pane, é dicir HTML, JavaScript, CSS e iconas, cárgase desde https://www.reveal-urls.eu a través de HTTPS, como ocorre ao abrir calquera páxina web. Dá cobertura a Outlook on the web, Windows, Mac, iOS, Android e Outlook.com.
• Gmail add-on — tarxeta na barra lateral de Gmail. Abre unha mensaxe e, despois, fai clic na icona de Reveal URLs da barra lateral dereita para ver as súas ligazóns. Gmail non abre a tarxeta por si só, pero se deixas o panel aberto irá actualizándose mentres te moves entre mensaxes. O URL de cada ligazón móstrase en gris escuro neutro para as ligazóns lexítimas e en vermello para as look-alike. Dá cobertura a Gmail na web, Android e iOS. A diferenza das demais formas, o Gmail add-on execútase nos servidores de Google, porque así funcionan os complementos de Gmail. A mensaxe que abres lese e compróbase alí cada vez que a abres, e non se retén. Consulta a política de privacidade para ver a que accede e que almacena cada forma.

Ambos os complementos distribuiranse a través das súas tendas de aplicacións: o Outlook add-in por medio de Microsoft AppSource, e o Gmail add-on por medio de Google Workspace Marketplace. A publicación segue pendente. As ligazóns directas de instalación engadiranse aquí en canto cada ficha estea activa.

Idiomas

Reveal URLs está dispoñible en inglés e en moitos outros idiomas.

• A páxina de configuración segue automaticamente o idioma do teu navegador e recorre ao inglés se o teu non é compatible. Podes cambialo en calquera momento co selector Display language da parte superior da páxina. A túa escolla recórdase neste dispositivo. Consulta A páxina de configuración.
• Este sitio web, é dicir, a páxina de inicio e estas páxinas de documentación, tamén detecta o idioma do teu navegador e ofrece un selector de lingua na cabeceira. O manual e as páxinas de privacidade están traducidos. Se unha páxina aínda non ten tradución, móstrase en inglés.

O texto non inglés está machine-translated e pendente de revisión humana, así que algunha formulación pode soar rara de cando en vez. A intención é manter o mesmo significado ca no orixinal inglés. Se detectas unha tradución incorrecta, abre unha issue no Codeberg issue tracker.

Privacidade

Reveal URLs non envía ningún dos teus datos do correo electrónico ou da mensaxe nin a nós nin a terceiros, en ningunha das súas formas. Non hai analytics nin hai tracking. O lugar e a maneira en que se fai o traballo dependen da forma:

• A extensión do navegador e o complemento para Thunderbird funcionan integramente no teu dispositivo e non transmiten nada. Len o texto da ligazón, os URL e as cores da páxina durante o renderizado, sen gardar nin enviar eses datos.
• O Outlook add-in analiza a mensaxe aberta no teu dispositivo e non envía a ningures datos do correo nin da mensaxe. O seu código de task pane, é dicir HTML, JavaScript, CSS e iconas, cárgase desde https://www.reveal-urls.eu a través de HTTPS como calquera outra páxina web.
• O Gmail add-on execútase nos servidores de Google, porque así funcionan os complementos de Gmail. A mensaxe aberta lese e compróbase alí cada vez que a abres, e non se retén.

A única cousa que se almacena é a túa propia configuración, como se Reveal URLs está activado ou desactivado, o modo de revelación, as cores, os tamaños de letra, a túa lista de ignorados e todos os sitios que engadiches. Todo iso gárdase no per-user storage do teu navegador, de Outlook ou de Google, e nunca se nos envía.

Atoparás todos os detalles na política de privacidade.

Resolución de problemas

Non se revela algunha ligazón.

• Comproba que Reveal URLs estea activado. A icona da barra de ferramentas non debe mostrar a marca OFF, e o interruptor Enable Reveal URLs da páxina de configuración debe estar activado.
• Comproba que o sitio estea cuberto. Os servizos integrados Gmail, Outlook e Proton funcionan desde o primeiro momento. Calquera outro webmail debe engadirse en Active sites co seu match URL e o seu message-body selector.
• Comproba o message-body selector. Se non coincide co container que contén o corpo da mensaxe, as ligazóns dese container non se revelarán.
• Ten en conta que as ligazóns a áncoras da mesma páxina e as ligazóns que usan scheme distintos de http/https, como mailto:, se omiten expresamente. O mesmo ocorre cos host da túa lista Ignore these hosts.

Un servizo integrado deixou de funcionar despois dun redeseño.

Os servizos de webmail cambian de cando en vez o markup das súas páxinas. Se o selector dun servizo integrado deixa de coincidir tras un cambio así, podes corrixilo ti mesmo: en Active sites, edita o message-body selector dese servizo para que apunte ao novo container.

Non se mostra o URL do tooltip.

No modo tooltip (title), o URL real colócase no tooltip da ligazón, de maneira que só aparece cando deixas o cursor enriba. Se prefires ver o URL sen hover, cambia Reveal the URL ao modo inline.

Licenza e código fonte

Reveal URLs é software libre, con licenza GNU Affero General Public License v3.0 (AGPL-3.0-only).

• Código fonte: https://codeberg.org/Magentron/reveal-urls
• Descrición técnica: Architecture
• Máis lectura sobre o phishing con ligazóns: Email link phishing: your app should always show the URL