Reveal URLs — Manuale utente

Reveal URLs è una piccola estensione per browser (e un add-on per Thunderbird) che ti mostra dove un link nella tua e-mail va davvero, così puoi riconoscere un link di phishing prima di cliccarci sopra.

Questo manuale spiega come installare Reveal URLs e come usarlo. Per sapere come vengono trattati i tuoi dati, consulta l'informativa sulla privacy; per una panoramica tecnica di come è costruita l'estensione, consulta la panoramica dell'architettura.

Hai trovato un bug, un link contrassegnato erroneamente (o ignorato), o un host di webmail che dovrebbe essere supportato? Segnalalo sull' issue tracker di Codeberg.

Cosa fa e perché

Un'e-mail di phishing nasconde una destinazione ostile dietro un testo del link dall'aspetto affidabile. A volte è un host simile: il testo riporta paypal.com mentre il link punta a paypa1.com. Spesso è più sottile e passa attraverso un tracker o un redirector, così il punto in cui arrivi non somiglia per nulla al marchio indicato nel testo.

Un'e-mail di phishing che impersona Poste Italiane sostiene che un pacco sia trattenuto finché non vengono pagati dazi doganali non saldati e spinge al pagamento tramite un pulsante «Vai al pagamento». Reveal URLs mostra che il pulsante non punta a Poste Italiane ma a parcel-pay.custom.co.xa, un sito non collegato, rivelando così che il messaggio è una truffa. — Reveal URLs smaschera il pulsante «Vai al pagamento»: punta a `parcel-pay.custom.co.xa`, non a Poste Italiane.

Nota: Questa schermata mostra un'e-mail di phishing fraudolenta che si spaccia per Poste Italiane. Poste Italiane non è affiliata a Reveal URLs e non lo sostiene.

Reveal URLs legge ogni link nel messaggio che stai leggendo e ti mostra l'URL a cui punta davvero. Quando l'host indicato nel testo del link non corrisponde a quell'host, Reveal URLs lo contrassegna, così la discrepanza è evidente prima che tu clicchi.

Nell'estensione per browser e nell'add-on per Thunderbird, tutto avviene sul tuo dispositivo, senza trasmettere nulla. In ogni sua forma, Reveal URLs non invia alcuno dei tuoi dati e-mail a noi né a terze parti — non c'è alcuna analisi e nessun tracciamento. (Le forme differiscono per dove vengono eseguite e per come viene servito il codice del riquadro di Outlook; consulta la sezione Privacy e l'informativa sulla privacy per tutti i dettagli.)

Browser supportati e il client di posta

Reveal URLs funziona su:

Google Chrome
Microsoft Edge
Opera
Mozilla Firefox
Mozilla Thunderbird (il client di posta desktop)

Una build per Safari non è ancora disponibile; è pianificata per una fase successiva.

Sui target browser, Reveal URLs annota i link nella tua webmail. In Thunderbird annota i link nell'e-mail che stai leggendo direttamente nel client di posta.

Installazione

Dallo store del tuo browser o client di posta (consigliato)

Installa Reveal URLs dallo store del tuo browser o client di posta. Le schede di Chrome, Edge, Firefox e Thunderbird sono attive; Opera funziona con la build di Chrome, e una scheda dedicata a Opera è ancora in arrivo:

Chrome — Chrome Web Store
Edge — Microsoft Edge Add-ons
Opera — installa la versione Chrome dal Chrome Web Store; una scheda dedicata a Opera è in arrivo
Firefox — Firefox Add-ons (AMO)
Thunderbird — Thunderbird Add-ons (ATN)

Caricare una build da solo (sviluppatori e test iniziali)

Se hai compilato Reveal URLs dal codice sorgente, puoi caricare direttamente la build decompressa. Ogni target viene compilato con un comando make e prodotto sotto dist/<target>/:

make build-chrome        # produces dist/chrome
make build-edge          # produces dist/edge
make build-opera         # produces dist/opera
make build-firefox       # produces dist/firefox
make build-thunderbird   # produces dist/thunderbird

Poi carica la cartella risultante:

Chrome — apri chrome://extensions, attiva la Modalità sviluppatore, clicca su Carica estensione non pacchettizzata e seleziona dist/chrome.
Edge — apri edge://extensions, attiva la Modalità sviluppatore, clicca su Carica estensione non pacchettizzata e seleziona dist/edge.
Opera — apri opera://extensions, attiva la Modalità sviluppatore, clicca su Carica estensione non pacchettizzata e seleziona dist/opera.
Firefox — apri about:debugging, scegli Questo Firefox, clicca su Carica add-on temporaneo e seleziona un qualsiasi file all'interno di dist/firefox (per esempio il suo manifest.json). Un add-on temporaneo viene rimosso al riavvio di Firefox.
Thunderbird — installa l'add-on temporaneo da dist/thunderbird allo stesso modo (tramite Strumenti → Strumenti per sviluppatori → Debug degli add-on → Carica add-on temporaneo).

La pagina delle impostazioni si apre automaticamente la prima volta che l'estensione viene installata.

Come usarlo

Pronto all'uso, Reveal URLs annota i link nei messaggi presso i provider integrati — nessuna configurazione necessaria:

Gmail (mail.google.com)
Outlook Live (outlook.live.com)
Outlook sul web / Microsoft 365 (outlook.office.com)
Proton Mail (mail.proton.me)

L'annotazione è limitata al corpo del messaggio, così l'interfaccia propria dell'app — la sua barra laterale, la finestra di composizione e le barre degli strumenti — resta intatta. In Thunderbird viene coperta l'intera e-mail visualizzata.

Le due modalità di rivelazione

Scegli come viene mostrato l'URL reale, sotto Rivela l'URL nella pagina delle impostazioni:

In linea — l'URL reale è mostrato su una riga propria, appena sopra il testo del link. Questa è l'impostazione predefinita.
Nel tooltip (titolo) del link — l'URL reale è collocato nel tooltip del link, così appare quando passi il puntatore sopra il link.

Evidenziazione delle discrepanze

Quando l'host indicato nel testo visibile di un link non corrisponde all'host a cui il link punta davvero, Reveal URLs lo contrassegna come una discrepanza. Il confronto avviene sul dominio registrabile, quindi un sottodominio onesto come mail.example.com per example.com non viene contrassegnato, mentre un host simile come paypa1.com per paypal.com sì.

In modalità in linea una discrepanza è mostrata nel colore di discrepanza che hai scelto e in grassetto.
In modalità tooltip (titolo) viene aggiunto accanto al link un distintivo badge ⚠ Discrepanza URL.

Due impostazioni correlate controllano questo comportamento:

Evidenzia i link non corrispondenti attiva o disattiva l'enfasi sulla discrepanza.
Annota solo i link non corrispondenti lascia i link onesti completamente intatti, così vengono rivelati solo quelli sospetti.

Il pulsante della barra degli strumenti

In Chrome, Edge, Opera, Firefox e Thunderbird, l'icona di Reveal URLs nella barra degli strumenti è un rapido interruttore on/off: fai clic su di essa per attivare o disattivare l'annotazione. Quando l'estensione è disattivata, sull'icona compare un badge OFF, e la sua descrizione comando ti dice se un clic la attiverà o la disattiverà. Nei browser la modifica ha effetto in tutte le schede aperte contemporaneamente; in Thunderbird si applica al messaggio successivo che apri.

(In Thunderbird il pulsante mostra solo la propria icona, così resta compatto nella barra degli strumenti unificata. Puoi anche attivare e disattivare Reveal URLs con l'interruttore Abilita nella pagina delle impostazioni.)

La pagina delle impostazioni

La pagina delle impostazioni contiene ogni opzione. Aprila dalla pagina delle estensioni del tuo browser (per esempio Dettagli → Opzioni dell'estensione), oppure si apre automaticamente alla prima installazione.

Abilita Reveal URLs — l'interruttore principale acceso/spento, in cima alla pagina. Ha effetto immediato, senza bisogno di salvare il resto del modulo.
Lingua di visualizzazione — scegli la lingua in cui viene mostrata la pagina delle impostazioni. Per impostazione predefinita segue la lingua del tuo browser, con l'inglese come ripiego; scegline un'altra dall'elenco per sovrascriverla. La tua scelta ha effetto subito, viene ricordata per la volta successiva ed è memorizzata solo su questo dispositivo (non modifica mai il resto delle tue impostazioni).
Rivela l'URL — scegli la modalità in linea o tooltip (titolo) (vedi sopra).
Evidenzia i link non corrispondenti — attiva o disattiva l'enfasi sulla discrepanza.
Colore di discrepanza — il colore CSS usato per un link contrassegnato (per esempio red, #cc0000 o rgb(200, 0, 0)). Il valore predefinito è il rosso.
Colore di corrispondenza — il colore dell'URL rivelato sui link onesti (senza discrepanza) (per esempio black o #1a1a1a). Il valore predefinito è un grigio molto scuro e neutro (#1a1a1a), scelto affinché il colore non implichi che il link sia stato verificato.
Annota solo i link non corrispondenti — lascia i link onesti intatti.
Ignora questi host — un elenco di nomi host da saltare completamente, uno per riga. Anche i sottodomini di un host elencato vengono saltati.
Lunghezza massima dell'URL visualizzato — gli URL lunghi vengono troncati oltre questo numero di caratteri, mantenendo l'host visibile. Intervallo consentito: da 20 a
Dimensione / spessore del carattere dell'URL rivelato e Dimensione / spessore del carattere del badge di avviso — sovrascritture tipografiche facoltative; lascia vuoto per mantenere i valori predefiniti.

A parte l'interruttore principale Abilita e i controlli dei Siti attivi (che si applicano immediatamente), le modifiche vengono salvate con il pulsante Salva impostazioni.

Siti attivi — aggiungere la tua webmail

La sezione Siti attivi, in cima alla pagina delle impostazioni, elenca le pagine su cui Reveal URLs funziona e il contenitore che racchiude ciascun corpo del messaggio.

Ogni riga mostra:

lo schema di corrispondenza del sito (per esempio https://mail.example.com/*);
un interruttore Abilitato;
il selettore del corpo del messaggio (il selettore CSS per il contenitore che Reveal URLs annota), che puoi modificare;
un interruttore Sotto-frame, per i siti il cui corpo del messaggio è visualizzato all'interno di un iframe;
un pulsante Rimuovi (solo per i tuoi siti).

I provider integrati (Gmail, Outlook e Proton) possono essere disattivati e ri-mirati, ma non possono essere rimossi.

Per aggiungere il tuo sito di webmail:

Sotto Aggiungi sito, inserisci un URL di corrispondenza — uno schema di corrispondenza come https://mail.example.com/*.
Inserisci un Selettore del corpo del messaggio — un selettore CSS per il contenitore che racchiude il corpo del messaggio, per esempio .message-body.
Se il corpo del messaggio è visualizzato all'interno di un sotto-frame, seleziona Esegui anche all'interno dei sotto-frame.
Clicca su Aggiungi sito. Il tuo browser ti chiederà il permesso di accedere a quel sito; concedilo. Il sito viene aggiunto solo una volta che concedi il permesso.

Le modifiche qui si applicano immediatamente. La rimozione di un sito che hai aggiunto revoca anche il suo permesso, così Reveal URLs smette di accedervi.

Thunderbird (e altri client di posta). Thunderbird mostra già ogni messaggio che leggi, qualunque sia il provider, quindi non ha bisogno di un elenco per host. La sezione Siti attivi non viene perciò mostrata nella pagina delle impostazioni di Thunderbird — vi compaiono solo l'interruttore principale, la lingua di visualizzazione, la modalità di rivelazione, i colori, i caratteri e l'elenco degli host da ignorare. Qualsiasi configurazione dei siti attivi che potresti aver impostato in un browser viene preservata intatta: il salvataggio delle impostazioni di Thunderbird non la cancella mai.

Gli add-on per Outlook e Gmail

Accanto all'estensione per browser e all'add-on per Thunderbird, Reveal URLs è disponibile come add-on nativo per due app di posta che un'estensione per browser non può raggiungere: un add-in per Outlook e un add-on per Gmail. Entrambi usano lo stesso rilevamento dei link dell'estensione, quindi rivelano gli stessi URL e contrassegnano gli stessi host simili.

L'unica differenza è come mostrano i loro risultati. L'estensione per browser annota i link sul posto — colorando l'URL sopra o accanto a ciascun link. I framework di Outlook e Gmail non consentono a un add-on di modificare il messaggio visualizzato, quindi ciascun add-on mostra invece un riquadro laterale (Outlook) o una scheda (Gmail) che elenca i link trovati. Per ciascun link mostra il testo visibile, l'URL di destinazione e l'host registrabile, e contrassegna una discrepanza quando il testo visibile indica un dominio registrabile diverso da quello a cui il link punta davvero.

Add-in per Outlook — un riquadro attività che legge il messaggio che hai aperto e lo analizza sul tuo dispositivo; nessun dato di e-mail o di messaggio viene inviato da nessuna parte. Il codice del suo riquadro attività (HTML, JavaScript, CSS e icone) viene caricato da https://www.reveal-urls.eu tramite HTTPS, come avviene quando apri una qualsiasi pagina web. Raggiunge Outlook sul web, Windows, Mac, iOS e Android, e Outlook.com.
Add-on per Gmail — una scheda nella barra laterale di Gmail. Apri un messaggio, poi clicca sull'icona di Reveal URLs nella barra laterale di destra per vederne i link: Gmail non apre la scheda da solo, ma se lasci il riquadro aperto, si aggiorna man mano che ti sposti tra i messaggi. L'URL di ciascun link è mostrata in un grigio scuro neutro per un link onesto e in rosso per un host simile. Raggiunge Gmail sul web, Android e iOS. A differenza delle altre forme, l'add-on per Gmail gira sui server di Google (è così che funzionano gli add-on per Gmail): il messaggio che apri viene letto e controllato lì, ogni volta che lo apri, e non viene conservato. Consulta l'informativa sulla privacy per ciò a cui ciascuna forma accede e ciò che memorizza.

Entrambi gli add-on verranno distribuiti tramite i loro app store — l'add-in per Outlook tramite Microsoft AppSource, l'add-on per Gmail tramite il Google Workspace Marketplace. La pubblicazione è in attesa; i link di installazione diretta verranno aggiunti qui non appena ciascuna scheda sarà attiva.

Lingue

Reveal URLs è disponibile in inglese e in molte altre lingue.

La pagina delle impostazioni segue automaticamente la lingua del tuo browser, con l'inglese come ripiego quando la tua lingua non è una di quelle sopra. Puoi sovrascriverla in qualsiasi momento con il selettore Lingua di visualizzazione vicino alla parte superiore della pagina; la tua scelta viene ricordata su quel dispositivo (vedi La pagina delle impostazioni).
Questo sito web (la home page e queste pagine di documentazione) rileva anche la lingua del tuo browser e offre un selettore di lingua nell'intestazione. Il manuale e le pagine sulla privacy sono disponibili tradotti; dove una pagina non ha ancora una traduzione, viene mostrata in inglese.

Il testo non inglese è tradotto automaticamente ed è in attesa di revisione umana, quindi una frase può occasionalmente risultare poco scorrevole; il significato è inteso per corrispondere all'originale inglese. Se noti una traduzione errata, apri una segnalazione sull'issue tracker di Codeberg.

Privacy

Reveal URLs non invia alcuno dei tuoi dati di e-mail o di messaggio a noi né a terze parti, in nessuna delle sue forme — non c'è alcuna analisi e nessun tracciamento. Come e dove avviene il lavoro dipende dalla forma:

L'estensione per browser e l'add-on per Thunderbird funzionano interamente sul tuo dispositivo e non trasmettono nulla: leggono il testo dei link, gli URL e i colori della pagina mentre la pagina viene visualizzata, senza mai memorizzarli né inviarli.
L'add-in per Outlook analizza il messaggio aperto sul tuo dispositivo e non invia alcun dato di e-mail o di messaggio da nessuna parte; il codice del suo riquadro attività (HTML, JavaScript, CSS e icone) viene caricato da https://www.reveal-urls.eu tramite HTTPS, come avviene quando apri una qualsiasi pagina web.
L'add-on per Gmail gira sui server di Google (è così che funzionano gli add-on per Gmail): il messaggio aperto viene letto e controllato lì, ogni volta che lo apri, e non viene conservato.

L'unica cosa memorizzata sono le tue impostazioni (come acceso/spento, modalità di rivelazione, colori, dimensioni del carattere, il tuo elenco di host da ignorare ed eventuali siti che hai aggiunto), conservate nell'archivio per utente del tuo browser, di Outlook o di Google e mai inviate a noi.

Consulta l'informativa sulla privacy per tutti i dettagli.

Risoluzione dei problemi

Un link non viene rivelato.

Verifica che Reveal URLs sia attivo — l'icona nella barra degli strumenti non deve mostrare il badge OFF, e l'interruttore Abilita Reveal URLs nella pagina delle impostazioni deve essere attivo.
Verifica che il sito sia coperto. I provider integrati (Gmail, Outlook, Proton) funzionano da subito; qualsiasi altra webmail deve essere aggiunta sotto Siti attivi con il suo URL di corrispondenza e il selettore del corpo del messaggio.
Verifica il selettore del corpo del messaggio. Se non corrisponde al contenitore che racchiude il corpo del messaggio, i link al suo interno non verranno rivelati.
Nota che i link ad ancore interne alla pagina, e i link che usano schemi diversi da http/https (come mailto:), vengono deliberatamente saltati — così come gli host nel tuo elenco Ignora questi host.

Un provider integrato ha smesso di funzionare dopo un riprogetto.

I provider di webmail cambiano di tanto in tanto il markup delle loro pagine. Se il selettore di un provider integrato non corrisponde più dopo un cambiamento del genere, puoi correggerlo da solo: in Siti attivi, modifica il selettore del corpo del messaggio di quel provider con il nuovo contenitore.

L'URL nel tooltip non viene mostrato.

In modalità tooltip (titolo) l'URL reale è collocato nel tooltip del link, così appare solo quando passi il puntatore sopra il link. Se preferisci vedere l'URL senza passarci sopra, imposta Rivela l'URL sulla modalità in linea.

Licenza e codice sorgente

Reveal URLs è software libero, concesso in licenza secondo la GNU Affero General Public License v3.0 (AGPL-3.0-only).

Codice sorgente: https://codeberg.org/Magentron/reveal-urls
Panoramica tecnica: Architettura
Approfondimenti sul phishing tramite link: Email link phishing: your app should always show the URL