Safari is supported through its macOS Xcode container and App Store route. Built-in providers use static scripts and Safari requests no all-sites access. A user-added site needs a runtime optional permission, then Safari injects content.js after navigation only for a granted, enabled, non-builtin rule; sub-frames run only when All frames is enabled. Safari settings are device-local and do not roam.

Reveal URLs — Manuale utente

Reveal URLs è una piccola estensione per browser (e un add-on per Thunderbird) che ti mostra dove un link nella tua e-mail va davvero, così puoi riconoscere un link di phishing prima di cliccarci sopra.

Questo manuale spiega come installare Reveal URLs e come usarlo. Per le domande comuni, consulta le FAQ; per sapere come vengono trattati i tuoi dati, consulta l'informativa sulla privacy; per una panoramica tecnica, consulta la panoramica dell'architettura.

Hai trovato un bug, un link contrassegnato erroneamente (o ignorato), o un host di webmail che dovrebbe essere supportato? Segnalalo sull' issue tracker di Codeberg.

Cosa fa e perché

Un'e-mail di phishing nasconde una destinazione ostile dietro un testo del link dall'aspetto affidabile. A volte è un host simile: il testo riporta paypal.com mentre il link punta a paypa1.com. Spesso è più sottile e passa attraverso un tracker o un redirector, così il punto in cui arrivi non somiglia per nulla al marchio indicato nel testo.

Un'e-mail di phishing che impersona un servizio postale sostiene che un pacco sia trattenuto finché non vengono pagati dazi doganali non saldati e spinge al pagamento tramite un pulsante «Vai al pagamento». Reveal URLs mostra che il pulsante non punta a quel servizio postale ma a parcel-pay.custom.co.xa, un sito non collegato, rivelando così che il messaggio è una truffa. — Reveal URLs smaschera il pulsante «Vai al pagamento»: punta a `parcel-pay.custom.co.xa`, non al servizio postale che imita.

Nota: Questa schermata mostra un'e-mail di phishing fraudolenta che si spaccia per un servizio postale. Il servizio imitato non è affiliato a Reveal URLs e non lo sostiene.

Reveal URLs legge ogni link nel messaggio che stai leggendo e ti mostra l'URL a cui punta davvero. Nell'estensione del browser e in Thunderbird contrassegna link web, e-mail, telefonici e di altro tipo ingannevoli, così la differenza è evidente prima che tu clicchi.

Reveal URLs rivela e segnala; non verifica. Non segue i reindirizzamenti: un link che passa attraverso un tracker o un reindirizzatore viene mostrato come l'URL del reindirizzatore che indica effettivamente; Reveal URLs non può sapere dove il reindirizzamento finirà. Un link senza avviso non ha fatto rilevare alcuna discrepanza applicabile, non confermato come sicuro, quindi leggi l'URL rivelato prima di fidarti di un link, anche quando non è segnalato nulla. Per tenerlo a mente, l'URL rivelato di un link non segnalato è mostrato in un colore ambra «da rivedere» anziché in un verde rassicurante.

Nota: gli indirizzi e-mail, gli URL e i nomi in questa schermata sono stati mascherati con asterischi per tutela della privacy.

Nell'estensione per browser e nell'add-on per Thunderbird, tutto avviene sul tuo dispositivo, senza trasmettere nulla. In ogni sua forma, Reveal URLs non invia alcuno dei tuoi dati e-mail a noi né a terze parti — non c'è alcuna analisi e nessun tracciamento. (Le forme differiscono per dove vengono eseguite e per come viene servito il codice del riquadro di Outlook; consulta la sezione Privacy e l'informativa sulla privacy per tutti i dettagli.)

Browser supportati e app di posta

Reveal URLs funziona su:

Browser web:

Brave
Google Chrome
Microsoft Edge
Mozilla Firefox
Opera
Safari

Applicazioni di posta:

Gmail
Outlook
Mozilla Thunderbird (il client di posta desktop)

Sui target browser, Reveal URLs annota i link nella tua webmail. In Thunderbird annota i link nell'e-mail che stai leggendo direttamente nel client di posta.

Installazione

Dallo store del tuo browser o client di posta (consigliato)

Installa Reveal URLs dallo store del browser o client di posta. Tutte le schede sono ora disponibili; Opera utilizza la build di Chrome.

Browser web:

Brave — installa la versione Chrome dal Chrome Web Store
Chrome — Chrome Web Store
Edge — Microsoft Edge Add-ons
Firefox — Firefox Add-ons (AMO)
Opera — installa la versione Chrome dal Chrome Web Store
Safari — App Store

Applicazioni di posta:

Gmail — Google Workspace Marketplace
Outlook — Microsoft Marketplace
Thunderbird — Thunderbird Add-ons (ATN)

Caricare una build da solo (sviluppatori e test iniziali)

Se hai compilato Reveal URLs dal codice sorgente, puoi caricare direttamente la build decompressa. Ogni target viene compilato con un comando make e prodotto sotto dist/<target>/:

make build-chrome        # genera dist/chrome
make build-edge          # genera dist/edge
make build-firefox       # genera dist/firefox
make build-gmail         # genera dist/gmail
make build-opera         # genera dist/opera
make build-outlook       # genera dist/outlook
make build-safari        # genera dist/safari
make build-thunderbird   # genera dist/thunderbird

Poi carica la cartella risultante:

Chrome — apri chrome://extensions, attiva la Modalità sviluppatore, clicca su Carica estensione non pacchettizzata e seleziona dist/chrome.
Edge — apri edge://extensions, attiva la Modalità sviluppatore, clicca su Carica estensione non pacchettizzata e seleziona dist/edge.
Firefox — apri about:debugging, scegli Questo Firefox, clicca su Carica add-on temporaneo e seleziona un qualsiasi file all'interno di dist/firefox (per esempio il suo manifest.json). Un add-on temporaneo viene rimosso al riavvio di Firefox.
Opera — apri opera://extensions, attiva la Modalità sviluppatore, clicca su Carica estensione non pacchettizzata e seleziona dist/opera.
Thunderbird — installa l'add-on temporaneo da dist/thunderbird allo stesso modo (tramite Strumenti → Strumenti per sviluppatori → Debug degli add-on → Carica add-on temporaneo).

L'estensione Safari, il componente aggiuntivo Outlook e il componente aggiuntivo Gmail non vengono caricati come estensioni del browser decompresse. Compilali come sopra, quindi:

make deploy-gmail        # distribuisce il componente aggiuntivo Gmail su Apps Script
make safari-xcode        # compila il progetto Xcode di Safari, poi eseguilo
                         # dal menu Develop di Safari (macOS)
                         # Outlook: carica lateralmente dist/outlook

La pagina delle impostazioni si apre automaticamente la prima volta che l'estensione viene installata.

Come usarlo

Pronto all'uso, Reveal URLs annota i link nei messaggi presso i provider integrati — nessuna configurazione necessaria:

FastMail (app.fastmail.com)
Gmail (mail.google.com)
Outlook Live (outlook.live.com)
Outlook sul web / Microsoft 365 (outlook.office.com)
Proton Mail (mail.proton.me)
Tuta (app.tuta.com, mail.tutanota.com)
Yahoo Mail (mail.yahoo.com)
Zoho Mail (mail.zoho.com.au, mail.zoho.com.cn, mail.zoho.com, mail.zoho.eu, mail.zoho.in, mail.zoho.jp, mail.zoho.sa, mail.zohocloud.ca)

L'annotazione è limitata al corpo del messaggio, così l'interfaccia propria dell'app — la sua barra laterale, la finestra di composizione e le barre degli strumenti — resta intatta. In Thunderbird viene coperta l'intera e-mail visualizzata.

Nota: gli indirizzi e-mail, gli URL e i nomi in questa schermata sono stati mascherati con asterischi per tutela della privacy.

Come viene mostrato l'URL reale

L'URL reale di ogni link viene mostrato su una riga propria, appena sopra il testo del link. Viene anche inserito nel tooltip (titolo) del link, così l'URL completo è sempre disponibile quando passi il puntatore sul link.

Evidenziazione delle discrepanze

Per i link web, Reveal URLs confronta l'URL o il nome host nel testo visibile di un link con l'URL a cui punta. Il confronto avviene sul dominio registrabile, quindi un sottodominio senza discrepanze come mail.example.com per example.com non viene contrassegnato, mentre un host simile come paypa1.com per paypal.com sì. L'estensione del browser e Thunderbird controllano anche i link e-mail, telefonici e opachi; i link javascript:, data: e vbscript: vengono sempre contrassegnati.

Il controllo considera solo l'URL indicato dal link stesso; i reindirizzamenti non vengono mai seguiti, quindi un link tramite un tracker o un reindirizzatore viene confrontato con il suo URL, non con la pagina che raggiunge alla fine.

Una discrepanza viene mostrata nel colore di discrepanza scelto e in grassetto.

Due impostazioni correlate controllano questo comportamento:

Evidenzia i link non corrispondenti attiva o disattiva l'enfasi sulla discrepanza.
Mostra in linea solo i link non corrispondenti nasconde la rivelazione visibile in linea dei link senza discrepanze, ma inserisce comunque il loro URL di destinazione nell’attributo title del link, così appare al passaggio del mouse.

Il pulsante della barra degli strumenti

In Chrome, Edge, Opera, Firefox e Thunderbird, l'icona di Reveal URLs nella barra degli strumenti è un rapido interruttore on/off: fai clic su di essa per attivare o disattivare l'annotazione. Quando l'estensione è disattivata, sull'icona compare un badge OFF, e la sua descrizione comando ti dice se un clic la attiverà o la disattiverà. Nei browser la modifica ha effetto in tutte le schede aperte contemporaneamente; in Thunderbird si applica al messaggio successivo che apri.

Mentre Reveal URLs è attivato, l'icona della barra degli strumenti del browser indica anche, per scheda, ciò che ha trovato nella pagina corrente. Se la pagina contiene collegamenti non corrispondenti (simili), l'icona mostra tale conteggio su un badge rosso; se la pagina contiene collegamenti ma nessuno è discordante, mostra il numero totale di collegamenti analizzati su un badge grigio; una pagina senza collegamenti analizzabili (e qualsiasi pagina su cui l'estensione non agisce) non mostra alcun conteggio. Ogni scheda mantiene il proprio badge, quindi cambiare scheda aggiorna il numero, e lasciare la pagina o chiudere la scheda lo cancella. (I conteggi superiori a 99 vengono mostrati come 99+.)

Il badge nei suoi tre stati (lo disegna il browser, quindi la posizione esatta varia leggermente a seconda del browser): un conteggio rosso delle discordanze, un conteggio grigio dei collegamenti analizzati e il badge OFF mentre l'estensione è disattivata; anche il suo logo è grigio chiaro attenuato. In una pagina in cui l'estensione abilitata non è attiva non c'è alcun badge; l'assenza del badge OFF distingue quello stesso logo attenuato dallo stato disattivato.

Queste illustrazioni non mostrano ogni caso senza badge; una pagina attiva senza collegamenti analizzabili conserva l'icona di colore normale.

(In Thunderbird il pulsante mostra solo la propria icona, così resta compatto nella barra degli strumenti unificata. Puoi anche attivare e disattivare Reveal URLs con l'interruttore Abilita nella pagina delle impostazioni.)

La pagina delle impostazioni

La pagina delle impostazioni contiene ogni opzione. Aprila dalla pagina delle estensioni del tuo browser (per esempio Dettagli → Opzioni dell'estensione), oppure si apre automaticamente alla prima installazione.

Abilita Reveal URLs — l'interruttore principale acceso/spento, in cima alla pagina. Ha effetto immediato, senza bisogno di salvare il resto del modulo.
Lingua di visualizzazione — scegli la lingua in cui viene mostrata la pagina delle impostazioni. Per impostazione predefinita segue la lingua del tuo browser, con l'inglese come ripiego; scegline un'altra dall'elenco per sovrascriverla. La tua scelta ha effetto subito, viene ricordata per la volta successiva ed è memorizzata solo su questo dispositivo (non modifica mai il resto delle tue impostazioni).
Evidenzia i link non corrispondenti — attiva o disattiva l'enfasi sulla discrepanza.
Colore di discrepanza — il colore CSS usato per un link contrassegnato (per esempio red, #cc0000 o rgb(200, 0, 0)). Il valore predefinito è il rosso.
Colore senza discrepanze — il colore dell'URL rivelato sui link senza discrepanze (per esempio black o #b45309). Il valore predefinito è una tonalità ambra di cautela (#b45309), scelta affinché un link senza avviso non appaia verificato come sicuro.
Mostra in linea solo i link non corrispondenti — nascondi la rivelazione visibile in linea dei link senza discrepanze; il loro URL di destinazione rimane nell’attributo title del link e appare al passaggio del mouse.
Ignora questi host — un elenco di nomi host da saltare completamente, uno per riga. Anche i sottodomini di un host elencato vengono saltati.
Lunghezza massima dell'URL visualizzato — gli URL lunghi vengono troncati oltre questo numero di caratteri, mantenendo l'host visibile. Intervallo consentito: da 20 a
Dimensione / spessore del carattere dell'URL rivelato — sovrascritture tipografiche facoltative; lascia vuoto per mantenere i valori predefiniti.

A parte l'interruttore principale Abilita e i controlli dei Siti attivi (che si applicano immediatamente), le modifiche vengono salvate con il pulsante Salva impostazioni.

Siti attivi — aggiungere la tua webmail

La sezione Siti attivi, in cima alla pagina delle impostazioni, elenca le pagine su cui Reveal URLs funziona. Ora mantiene un'altezza fissa: scegli un sito dal menu a discesa e modifica solo le impostazioni di quel sito nel pannello sottostante.

Il menu a discesa mostra una voce per ogni regola di sito:

le regole integrate usano nomi amichevoli come Gmail, Proton Mail e Outlook (Live);
quando più regole condividono lo stesso nome, il menu a discesa aggiunge l'host tra parentesi, per esempio Tuta (app.tuta.com) e Zoho Mail (mail.zoho.eu);
una regola aggiunta dall'utente usa il suo Name facoltativo, oppure il suo match URL quando il nome viene lasciato vuoto.

L'editor del sito selezionato mostra:

la Match URL del sito come identificatore di sola lettura;
il Name modificabile del sito;
un interruttore Enabled;
il Message-body selector (il selettore CSS per il contenitore che Reveal URLs annota), che puoi modificare;
un interruttore Sotto-frame, per i siti il cui corpo del messaggio è visualizzato all'interno di un iframe;
un pulsante Remove (solo per i tuoi siti).

I provider integrati (FastMail, Gmail, Outlook Live, Outlook 365, Proton, Tuta, Yahoo e Zoho) possono essere disattivati e ri-mirati, ma non possono essere rimossi. I loro nomi possono anche essere rinominati qui; cancellare il nome di un provider integrato ripristina il suo nome descrittivo predefinito.

Per aggiungere il tuo sito di webmail:

Sotto Aggiungi sito, inserisci un URL di corrispondenza — uno schema di corrispondenza come https://mail.example.com/*.
Inserisci facoltativamente un Name per il menu a discesa. Lascialo vuoto per usare il match URL.
Inserisci un Message-body selector — un selettore CSS per il contenitore che racchiude il corpo del messaggio, per esempio .message-body.
Se il corpo del messaggio è visualizzato all'interno di un sotto-frame, seleziona Also run inside sub-frames.
Clicca su Add site. Il tuo browser ti chiederà il permesso di accedere a quel sito; concedilo. Il sito viene aggiunto solo una volta che concedi il permesso.

Le modifiche qui si applicano immediatamente. La rimozione di un sito che hai aggiunto revoca anche il suo permesso, così Reveal URLs smette di accedervi. Per cambiare il match URL di un sito, rimuovilo e aggiungilo di nuovo: il match resta di sola lettura perché è l'identità della regola.

Thunderbird (e altri client di posta). Thunderbird mostra già ogni messaggio che leggi, qualunque sia il provider, quindi non ha bisogno di un elenco per host. La sezione Siti attivi non viene perciò mostrata nella pagina delle impostazioni di Thunderbird — vi compaiono solo l'interruttore principale, la lingua di visualizzazione, i colori, i caratteri e l'elenco degli host da ignorare. Qualsiasi configurazione dei siti attivi che potresti aver impostato in un browser viene preservata intatta: il salvataggio delle impostazioni di Thunderbird non la cancella mai.

Gli add-on per Outlook e Gmail

Accanto all'estensione per browser e all'add-on per Thunderbird, Reveal URLs è disponibile come add-on nativo per due app di posta che un'estensione per browser non può raggiungere: un add-in per Outlook e un add-on per Gmail. Condividono il rilevamento di URL/host http/https dell'estensione del browser, ma non analizzano i suoi schemi di link aggiuntivi.

L'unica differenza è come mostrano i loro risultati. L'estensione per browser annota i link sul posto — colorando l'URL sopra o accanto a ciascun link. I framework di Outlook e Gmail non consentono a un add-on di modificare il messaggio visualizzato, quindi ciascun add-on mostra invece un riquadro laterale (Outlook) o una scheda (Gmail) che elenca i link trovati. Per ciascun link http/https mostra il testo visibile e l'URL di destinazione, e contrassegna una discrepanza solo quando il testo visibile indica un URL o un host il cui dominio registrabile non corrisponde a quello della destinazione.

Add-in per Outlook — un riquadro attività che legge il messaggio che hai aperto e lo analizza sul tuo dispositivo; nessun dato di e-mail o di messaggio viene inviato da nessuna parte. Il codice del suo riquadro attività (HTML, JavaScript, CSS e icone) viene caricato da https://www.reveal-urls.eu tramite HTTPS, come avviene quando apri una qualsiasi pagina web. Raggiunge Outlook sul web, Windows, Mac, iOS e Android, e Outlook.com.
Add-on per Gmail — una scheda nella barra laterale di Gmail. Apri un messaggio, poi clicca sull'icona di Reveal URLs nella barra laterale di destra per vederne i link: Gmail non apre la scheda da solo, ma se lasci il riquadro aperto, si aggiorna man mano che ti sposti tra i messaggi. Un link simile viene contrassegnato in rosso con un'icona di avviso; l'URL di un link senza discrepanze viene mostrata nel colore del testo predefinito della scheda, che segue il tema chiaro o scuro di Gmail. Raggiunge Gmail sul web, Android e iOS. A differenza delle altre forme, l'add-on per Gmail gira sui server di Google (è così che funzionano gli add-on per Gmail): il messaggio che apri viene letto e controllato lì, ogni volta che lo apri, e non viene conservato. Consulta l'informativa sulla privacy per ciò a cui ciascuna forma accede e ciò che memorizza.

Il componente aggiuntivo Gmail è ora disponibile su Google Workspace Marketplace.

Lingue

Reveal URLs è disponibile in inglese e in molte altre lingue.

La pagina delle impostazioni segue automaticamente la lingua del tuo browser, con l'inglese come ripiego quando la tua lingua non è una di quelle sopra. Puoi sovrascriverla in qualsiasi momento con il selettore Lingua di visualizzazione vicino alla parte superiore della pagina; la tua scelta viene ricordata su quel dispositivo (vedi La pagina delle impostazioni).
Questo sito web (la home page e queste pagine di documentazione) rileva anche la lingua del tuo browser e offre un selettore di lingua nell'intestazione. Il manuale e le pagine sulla privacy sono disponibili tradotti; dove una pagina non ha ancora una traduzione, viene mostrata in inglese.

Il testo non inglese è tradotto automaticamente ed è in attesa di revisione umana, quindi una frase può occasionalmente risultare poco scorrevole; il significato è inteso per corrispondere all'originale inglese. Se noti una traduzione errata, apri una segnalazione sull'issue tracker di Codeberg.

Privacy

Reveal URLs non invia alcuno dei tuoi dati di e-mail o di messaggio a noi né a terze parti, in nessuna delle sue forme — non c'è alcuna analisi e nessun tracciamento. Come e dove avviene il lavoro dipende dalla forma:

L'estensione per browser e l'add-on per Thunderbird funzionano interamente sul tuo dispositivo e non trasmettono nulla: leggono il testo dei link, gli URL e i colori della pagina mentre la pagina viene visualizzata, senza mai memorizzarli né inviarli.
L'add-in per Outlook analizza il messaggio aperto sul tuo dispositivo e non invia alcun dato di e-mail o di messaggio da nessuna parte; il codice del suo riquadro attività (HTML, JavaScript, CSS e icone) viene caricato da https://www.reveal-urls.eu tramite HTTPS, come avviene quando apri una qualsiasi pagina web.
L'add-on per Gmail gira sui server di Google (è così che funzionano gli add-on per Gmail): il messaggio aperto viene letto e controllato lì, ogni volta che lo apri, e non viene conservato.

L'unica cosa memorizzata sono le tue impostazioni (come acceso/spento, modalità di rivelazione, colori, dimensioni del carattere, il tuo elenco di host da ignorare ed eventuali siti che hai aggiunto), conservate nell'archivio per utente del tuo browser, di Outlook o di Google e mai inviate a noi.

Consulta l'informativa sulla privacy per tutti i dettagli.

Risoluzione dei problemi

Un link non viene rivelato.

Verifica che Reveal URLs sia attivo — l'icona nella barra degli strumenti non deve mostrare il badge OFF, e l'interruttore Abilita Reveal URLs nella pagina delle impostazioni deve essere attivo.
Verifica che il sito sia coperto. I provider integrati (FastMail, Gmail, Outlook Live, Outlook 365, Proton, Tuta, Yahoo e Zoho) funzionano da subito; qualsiasi altra webmail deve essere aggiunta sotto Siti attivi con il suo URL di corrispondenza e il selettore del corpo del messaggio.
Verifica il selettore del corpo del messaggio. Se non corrisponde al contenitore che racchiude il corpo del messaggio, i link al suo interno non verranno rivelati.
I provider con open shadow root vengono scoperti tramite la scansione del body per batch non appena un batch del body observer viene eseguito dopo che l'host è entrato nel DOM. Un shadow root tardivo viene aggiornato nel batch successivo di mutazioni del body. L'unico caso non supportato è quando un host o uno shadow root appare e poi non si attiva mai più alcuna mutazione del body nella pagina.
L'estensione per browser e Thunderbird rivelano anche i link che usano altri schemi — mailto: (e-mail), tel:/sms: (telefono) e schemi opachi come javascript:, data:, vbscript: o blob: — e li contrassegnano quando il testo visibile indica una destinazione diversa da quella a cui il link punta davvero (per esempio un indirizzo mostrato come billing@paypal.com il cui mailto: punta a un altro dominio, oppure un link che sembra un indirizzo web ma è in realtà un link javascript:); i link javascript:, data: e vbscript: vengono sempre contrassegnati. Vengono saltati solo i link ad ancore interne alla pagina (#…) e i link vuoti o non analizzabili, così come gli host nel tuo elenco Ignora questi host. Nota che questa più ampia copertura degli schemi si applica all'annotazione in linea dell'estensione per browser; i riquadri dei risultati degli add-on nativi per Outlook e Gmail attualmente coprono solo i link http/https.

Un provider integrato ha smesso di funzionare dopo un riprogetto.

I provider di webmail cambiano di tanto in tanto il markup delle loro pagine. Se il selettore di un provider integrato non corrisponde più dopo un cambiamento del genere, puoi correggerlo da solo: in Siti attivi, modifica il selettore del corpo del messaggio di quel provider con il nuovo contenitore.

Licenza e codice sorgente

Reveal URLs è software libero, concesso in licenza secondo la GNU Affero General Public License v3.0 (AGPL-3.0-only).

Codice sorgente: https://codeberg.org/Magentron/reveal-urls
Panoramica tecnica: Architettura
Approfondimenti sul phishing tramite link: Email link phishing: your app should always show the URL

Note su Safari

Safari mostra un badge solo quando i collegamenti non corrispondono; non ha un contatore grigio di pagina sicura. Riapri le impostazioni dal menu del clic destro Reveal URLs — settings, invece di ricaricare una vecchia scheda delle impostazioni.