Reveal URLs

Reveal URLs — Manual do utilizador

O Reveal URLs é uma pequena extensão de navegador (e add-on do Thunderbird) que lhe mostra para onde uma ligação no seu e-mail realmente vai, para que possa detetar um link de phishing antes de clicar nele.

Este manual explica como instalar o Reveal URLs e como o utilizar. Para saber como os seus dados são tratados, consulte a política de privacidade; para uma descrição técnica de como a extensão é construída, consulte a descrição da arquitetura.

Encontrou um erro, uma ligação que foi assinalada erradamente (ou não detetada), ou um anfitrião de webmail que devia ser suportado? Comunique-o no rastreador de problemas do Codeberg.

Índice

O que faz e porquê

Um e-mail de phishing esconde um destino hostil atrás de um texto de ligação de aparência fidedigna. Por vezes é um anfitrião semelhante: o texto diz paypal.com enquanto a ligação aponta para paypa1.com. Muitas vezes é mais subtil, encaminhando através de um rastreador ou redirecionador, pelo que o sítio onde acaba não tem nada a ver com a marca indicada no texto.

Um e-mail de phishing que se faz passar pelos CTT afirma que uma encomenda está retida até serem pagas taxas aduaneiras em atraso e incentiva o pagamento através de um botão «Ir para o pagamento». O Reveal URLs mostra que o botão não aponta para os CTT, mas para parcel-pay.custom.co.xa, um sítio sem relação, revelando assim a mensagem como fraude.
O Reveal URLs desmascara o botão «Ir para o pagamento»: aponta para parcel-pay.custom.co.xa, não para os CTT.

Nota: Esta captura de ecrã mostra um e-mail de phishing fraudulento que se faz passar pelos CTT. Os CTT não são afiliados à Reveal URLs nem a apoiam.

O Reveal URLs lê cada ligação na mensagem que está a ler e mostra-lhe o URL para onde aponta. Quando o anfitrião indicado no texto da ligação não corresponde ao anfitrião para onde a ligação realmente aponta, o Reveal URLs assinala-o, para que a discrepância seja óbvia antes de clicar.

Uma mensagem do Gmail com o Reveal URLs ativo: uma ligação enganosa é assinalada a vermelho com o URL de rastreio para onde aponta revelado acima do texto da ligação, enquanto o URL de uma ligação honesta é revelado sem aviso.

Na extensão de navegador e no add-on do Thunderbird, tudo acontece no seu próprio dispositivo, sem transmitir nada. Em todas as formas, o Reveal URLs não envia nenhum dos seus dados de e-mail para nós nem para terceiros — não há analytics nem rastreio. (As formas diferem no sítio onde são executadas e em como o código do painel do Outlook é servido; consulte a secção Privacidade e a política de privacidade para todos os detalhes.)

O Reveal URLs é executado em:

Ainda não existe uma versão para Safari; está planeada para uma fase posterior.

Nos alvos de navegador, o Reveal URLs anota as ligações no seu webmail. No Thunderbird anota as ligações no e-mail que está a ler diretamente no cliente de e-mail.

Instalação

A partir da loja do seu navegador ou cliente de e-mail (recomendado)

Instale o Reveal URLs a partir da loja do seu navegador ou cliente de e-mail. As listagens do Chrome, Edge, Firefox e Thunderbird estão ativas; o Opera executa a versão do Chrome, e uma listagem dedicada do Opera ainda está a caminho:

Carregar você mesmo uma compilação (programadores e testes iniciais)

Se compilou o Reveal URLs a partir do código-fonte, pode carregar a compilação descompactada diretamente. Cada alvo é compilado com um comando make e produzido em dist/<target>/:

make build-chrome        # produces dist/chrome
make build-edge          # produces dist/edge
make build-opera         # produces dist/opera
make build-firefox       # produces dist/firefox
make build-thunderbird   # produces dist/thunderbird

Depois, carregue a pasta resultante:

A página de definições abre automaticamente na primeira vez que a extensão é instalada.

Utilização

De origem, o Reveal URLs anota as ligações nas mensagens dos fornecedores incorporados — sem necessidade de configuração:

A anotação é limitada ao corpo da mensagem, pelo que a interface própria da aplicação — a sua barra lateral, janela de composição e barras de ferramentas — fica intacta. No Thunderbird, todo o e-mail renderizado é abrangido.

O Reveal URLs a anotar uma mensagem do Gmail: o URL de cada ligação é mostrado na sua própria linha acima do texto da ligação, com uma ligação de rastreio não correspondente assinalada a vermelho e uma ligação honesta revelada sem aviso.

Os dois modos de revelação

Escolhe como o URL real é mostrado, em Revelar o URL na página de definições:

Realce de não correspondências

Quando o anfitrião indicado no texto visível de uma ligação não corresponde ao anfitrião para onde a ligação realmente aponta, o Reveal URLs assinala-a como não correspondência. A comparação é feita no domínio registável, pelo que um subdomínio honesto como mail.example.com para example.com não é assinalado, enquanto um semelhante como paypa1.com para paypal.com é.

Duas definições relacionadas controlam isto:

A página de definições: o seletor de modo 'Revelar o URL', o interruptor 'Realçar ligações não correspondentes' e os campos de cor de não correspondência e de correspondência.

O botão da barra de ferramentas

No Chrome, Edge, Opera, Firefox e Thunderbird, o ícone do Reveal URLs na barra de ferramentas é um interruptor rápido de ligar/desligar — clique nele para alternar a anotação. Quando a extensão está desligada, aparece um emblema OFF no ícone, e a respetiva dica informa se o clique a ligará ou desligará. Nos navegadores, a alteração produz efeito em todos os separadores abertos ao mesmo tempo; no Thunderbird, aplica-se à próxima mensagem que abrir.

(No Thunderbird, o botão mostra apenas o seu ícone, pelo que se mantém compacto na barra de ferramentas unificada. Também pode ligar e desligar o Reveal URLs com o interruptor Ativar na página de definições.)

A página de definições

A página de definições contém todas as opções. Abra-a a partir da página de extensões do seu navegador (por exemplo Detalhes → Opções da extensão), ou abre-se automaticamente na primeira instalação.

Além do interruptor principal Ativar e dos controlos de Sites ativos (que se aplicam de imediato), as alterações são guardadas com o botão Guardar definições.

As definições inferiores: a lista 'Ignorar estes anfitriões', o comprimento máximo do URL apresentado e os campos opcionais de tamanho e espessura de letra do URL revelado e do emblema de aviso, acima do botão 'Guardar definições'.

Sites ativos — adicionar o seu próprio webmail

A secção Sites ativos, no topo da página de definições, lista as páginas onde o Reveal URLs é executado e o contentor que contém cada corpo de mensagem.

O topo da página de definições: o interruptor principal 'Ativar o Reveal URLs' e a lista 'Sites ativos', cada fornecedor incorporado a mostrar o seu padrão de correspondência, um interruptor 'Ativado', um interruptor 'Subframes' e o seu seletor do corpo da mensagem.

Cada linha mostra:

Os fornecedores incorporados (Gmail, Outlook e Proton) podem ser desativados e redirecionados, mas não podem ser removidos.

Para adicionar o seu próprio site de webmail:

  1. Em Adicionar site, introduza um URL de correspondência — um padrão de correspondência como https://mail.example.com/*.
  2. Introduza um Seletor do corpo da mensagem — um seletor CSS para o contentor que contém o corpo da mensagem, por exemplo .message-body.
  3. Se o corpo da mensagem for renderizado dentro de um subframe, marque Executar também dentro de subframes.
  4. Clique em Adicionar site. O seu navegador irá pedir permissão para aceder a esse site; conceda-a. O site só é adicionado depois de conceder a permissão.

As alterações aqui aplicam-se imediatamente. Remover um site que adicionou também revoga a respetiva permissão, pelo que o Reveal URLs deixa de aceder a ele.

Thunderbird (e outros clientes de e-mail). O Thunderbird já mostra todas as mensagens que lê, seja qual for o fornecedor, pelo que não precisa de uma lista por anfitrião. A secção Sites ativos não é, portanto, mostrada na página de definições do Thunderbird — apenas aparecem o interruptor principal, o idioma de apresentação, o modo de revelação, as cores, os tipos de letra e a lista de ignorados. Qualquer configuração de sites ativos que possa ter definido num navegador é preservada intacta: guardar as definições do Thunderbird nunca a limpa.

Os extras do Outlook e do Gmail

Além da extensão de navegador e do add-on do Thunderbird, o Reveal URLs está disponível como um extra nativo para duas aplicações de correio que uma extensão de navegador não consegue alcançar: um suplemento do Outlook e um extra do Gmail. Ambos usam a mesma deteção de ligações que a extensão, pelo que revelam os mesmos URLs e assinalam os mesmos anfitriões semelhantes.

A única diferença é como mostram as suas conclusões. A extensão de navegador anota as ligações no lugar — colorindo o URL acima ou ao lado de cada ligação. Os frameworks do Outlook e do Gmail não permitem que um extra altere a mensagem renderizada, pelo que em vez disso cada extra mostra um painel lateral (Outlook) ou cartão (Gmail) que lista as ligações que encontrou. Para cada ligação mostra o texto visível, o URL de destino e o anfitrião registável, e assinala uma não correspondência quando o texto visível indica um domínio registável diferente daquele para onde a ligação realmente aponta.

Ambos os extras serão distribuídos através das respetivas lojas de aplicações — o suplemento do Outlook via Microsoft AppSource, o extra do Gmail via Google Workspace Marketplace. A publicação está pendente; ligações de instalação direta serão adicionadas aqui assim que cada listagem estiver ativa.

Idiomas

O Reveal URLs está disponível em inglês e em muitos outros idiomas.

O texto não inglês é traduzido automaticamente e está em espera de revisão humana, pelo que uma frase pode ocasionalmente ler-se de forma estranha; o significado pretende-se igual ao original inglês. Se detetar uma tradução incorreta, comunique um problema no rastreador de problemas do Codeberg.

Privacidade

O Reveal URLs não envia nenhum dos seus dados de e-mail ou de mensagem para nós nem para terceiros, em nenhuma das suas formas — não há analytics nem rastreio. Como e onde o trabalho acontece depende da forma:

A única coisa armazenada são as suas próprias definições (como ativado/desativado, modo de revelação, cores, tamanhos de letra, a sua lista de ignorados e quaisquer sites que tenha adicionado), guardadas no armazenamento por utilizador do seu navegador, do Outlook ou da Google, e nunca enviadas para nós.

Consulte a política de privacidade para todos os detalhes.

Resolução de problemas

Uma ligação não está a ser revelada.

Um fornecedor incorporado deixou de funcionar após um redesenho.

Os fornecedores de webmail alteram a marcação das suas páginas de vez em quando. Se o seletor de um fornecedor incorporado já não corresponder após tal alteração, pode corrigi-lo você mesmo: em Sites ativos, edite o seletor do corpo da mensagem desse fornecedor para o novo contentor.

O URL da dica não está a aparecer.

No modo dica (title) o URL real é colocado na dica da ligação, pelo que só aparece quando passa o rato sobre a ligação. Se preferir ver o URL sem passar o rato, mude Revelar o URL para o modo inline.

Licença e código-fonte

O Reveal URLs é software livre, licenciado sob a GNU Affero General Public License v3.0 (AGPL-3.0-only).