Reveal URLs — Korisničko uputstvo

Reveal URLs je mala ekstenzija za pregledač i dodatak za Thunderbird koji vam pokazuje kuda link u vašoj e-pošti stvarno vodi, tako da phishing link možete da prepoznate pre nego što kliknete.

Ovo uputstvo objašnjava kako da instalirate Reveal URLs i kako da ga koristite. Za način obrade vaših podataka pogledajte politiku privatnosti. Za tehnički pregled načina na koji je ekstenzija sastavljena pogledajte pregled arhitekture.

Ako ste pronašli grešku, pogrešno označen link ili webmail host koji bi trebalo da bude podržan, prijavite to na Codeberg issue tracker.

Šta radi i zašto

Phishing poruka krije neprijateljsko odredište iza teksta linka koji izgleda pouzdano. Nekada je to host koji samo liči na pravi: tekst kaže paypal.com, a link zapravo vodi na paypa1.com. Često je trik suptilniji i vodi preko tracker-a ili redirector-a, pa mesto na koje stignete nema skoro nikakve veze sa brendom pomenutim u tekstu.

Phishing имејл који се представља као Пошта Србије тврди да је пошиљка задржана док се не плате неплаћене царинске дажбине и подстиче на плаћање преко дугмета „Иди на плаћање“. Reveal URLs показује да дугме не води на Пошту Србије, већ на parcel-pay.custom.co.xa, неповезани сајт, чиме поруку разоткрива као превару. — Reveal URLs разоткрива дугме „Иди на плаћање“: води на `parcel-pay.custom.co.xa`, а не на Пошту Србије.

Напомена: Овај снимак екрана приказује лажни фишинг имејл који се представља као Пошта Србије. Пошта Србије није повезана са Reveal URLs и не подржава га.

Reveal URLs pročita svaki link u poruci koju gledate i pokaže URL na koji on vodi. Kada se host naveden u tekstu linka ne podudara sa hostom na koji link zaista vodi, Reveal URLs to označi, tako da je nepodudaranje jasno vidljivo pre klika.

U ekstenziji za pregledač i dodatku za Thunderbird sve se odvija na vašem uređaju i ništa se ne šalje dalje. Nijedan oblik Reveal URLs ne šalje vaše podatke iz e-pošte nama niti trećim stranama: nema analytics i nema tracking. Različiti oblici razlikuju se samo po tome gde se izvršavaju i kako se isporučuje kod za Outlook panel. Više detalja nalazi se u odeljku Privatnost i u politici privatnosti.

Podržani pregledači i klijent e-pošte

Reveal URLs radi u sledećem:

Google Chrome
Microsoft Edge
Opera
Mozilla Firefox
Mozilla Thunderbird (desktop klijent e-pošte)

Safari verzija još nije objavljena. Planirana je za kasniju fazu.

U pregledačima Reveal URLs označava linkove u vašem webmailu. U Thunderbirdu označava linkove direktno u poruci e-pošte koju čitate u samom klijentu.

Instalacija

Iz prodavnice vašeg pregledača ili klijenta e-pošte (preporučeno)

Instalirajte Reveal URLs iz prodavnice za vaš pregledač ili klijent e-pošte. Objave za Chrome, Edge, Firefox i Thunderbird već su dostupne. Opera koristi Chrome build, a zaseban Opera listing još je u pripremi:

Chrome — the Chrome Web Store
Edge — Microsoft Edge Add-ons
Opera — instalirajte Chrome verziju iz the Chrome Web Store. Zaseban Opera listing stiže uskoro
Firefox — Firefox Add-ons (AMO)
Thunderbird — Thunderbird Add-ons (ATN)

Ručno učitavanje build-a (razvoj i rano testiranje)

Ako ste Reveal URLs izgradili iz izvornog koda, možete direktno da učitate raspakovani build. Svaki target se gradi komandom make i nastaje u direktorijumu dist/<target>/:

make build-chrome        # produces dist/chrome
make build-edge          # produces dist/edge
make build-opera         # produces dist/opera
make build-firefox       # produces dist/firefox
make build-thunderbird   # produces dist/thunderbird

Zatim učitajte odgovarajući direktorijum:

Chrome — otvorite chrome://extensions, uključite Developer mode, kliknite Load unpacked i izaberite dist/chrome.
Edge — otvorite edge://extensions, uključite Developer mode, kliknite Load unpacked i izaberite dist/edge.
Opera — otvorite opera://extensions, uključite Developer mode, kliknite Load unpacked i izaberite dist/opera.
Firefox — otvorite about:debugging, izaberite This Firefox, kliknite Load Temporary Add-on i izaberite bilo koju datoteku unutar direktorijuma dist/firefox, na primer manifest.json. Privremeni dodatak uklanja se kada se Firefox ponovo pokrene.
Thunderbird — instalirajte privremeni dodatak iz dist/thunderbird na isti način preko Tools → Developer Tools → Debug Add-ons → Load Temporary Add-on.

Stranica podešavanja automatski se otvara pri prvoj instalaciji ekstenzije.

Korišćenje

Odmah po instalaciji Reveal URLs označava linkove u porukama ugrađenih servisa bez dodatnog podešavanja:

Gmail (mail.google.com)
Outlook Live (outlook.live.com)
Outlook on the web / Microsoft 365 (outlook.office.com)
Proton Mail (mail.proton.me)

Označavanje je ograničeno na telo poruke, pa sopstveni chrome aplikacije, kao što su bočna traka, prozor za pisanje i alatne trake, ostaje netaknut. U Thunderbirdu je obuhvaćena cela rendered email poruka.

Dva načina otkrivanja

Na stranici podešavanja, pod Reveal the URL, birate kako će se prikazivati stvarni URL:

Inline — stvarni URL prikazuje se u sopstvenom redu, odmah iznad teksta linka. Ovo je podrazumevana opcija.
In the link's tooltip (title) — stvarni URL upisuje se u tooltip linka, pa ga vidite kada zadržite pokazivač iznad linka.

Isticanje nepodudaranja

Kada se host naveden u vidljivom tekstu linka ne slaže sa hostom na koji link zaista vodi, Reveal URLs to označi kao nepodudaranje. Poređenje se radi na registrable domeni, pa pošteni sub-domain kao mail.example.com za example.com nije označen, dok look-alike host kao paypa1.com za paypal.com jeste.

U inline režimu nepodudaranje se prikazuje bojom koju odaberete za mismatch i podebljanim tekstom.
U režimu tooltip (title) uz link se dodaje jasna oznaka ⚠ URL mismatch.

To kontrolišu dva povezana podešavanja:

Highlight mismatching links uključuje ili isključuje isticanje nepodudaranja.
Only annotate mismatching links ostavlja poštene linkove potpuno netaknutim, tako da se otkrivaju samo sumnjivi.

Dugme alatne trake

U Chromeu, Edgeu, Operi, Firefoxu i Thunderbirdu ikona Reveal URLs na traci sa alatkama je brzi prekidač za uključivanje i isključivanje — kliknite je da biste prebacili anotaciju. Kada je ekstenzija isključena, na ikoni se pojavljuje oznaka OFF, a njen opis vam govori da li će je klik uključiti ili isključiti. U pregledačima promena stupa na snagu u svim otvorenim karticama odjednom; u Thunderbirdu se primenjuje na sledeću poruku koju otvorite.

(U Thunderbirdu dugme prikazuje samo svoju ikonu, pa ostaje kompaktno u objedinjenoj traci sa alatkama. Reveal URLs možete da uključujete i isključujete i prekidačem Enable na stranici podešavanja.)

Stranica podešavanja

Na stranici podešavanja nalaze se sve opcije. Otvorite je sa stranice ekstenzija u vašem pregledaču, na primer preko Details → Extension options, ili će se sama otvoriti pri prvoj instalaciji.

Enable Reveal URLs — glavni prekidač za uključivanje i isključivanje na samom vrhu stranice. Deluje odmah, bez potrebe da sačuvate ostatak forme.
Display language — izaberite jezik na kome će biti prikazana stranica podešavanja. Podrazumevano prati jezik vašeg pregledača i vraća se na engleski ako vaš jezik nije podržan. To možete promeniti izborom drugog jezika sa liste. Vaš izbor deluje odmah, pamti se i čuva samo na ovom uređaju.
Reveal the URL — izaberite inline ili tooltip (title) režim, kao što je opisano iznad.
Highlight mismatching links — uključite ili isključite isticanje nepodudaranja.
Mismatch colour — CSS boja za označeni link, na primer red, #cc0000 ili rgb(200, 0, 0). Podrazumevana vrednost je crvena.
Match colour — boja otkrivenog URL-a za poštene linkove bez nepodudaranja, na primer black ili #1a1a1a. Podrazumevano je to neutralna vrlo tamnosiva (#1a1a1a).
Only annotate mismatching links — ostavite poštene linkove netaknutim.
Ignore these hosts — lista hostname-ova koje treba potpuno preskočiti, po jedan u svakom redu. Preskaču se i sub-domaini navedenog hosta.
Maximum displayed URL length — dugi URL-ovi skraćuju se posle ovog broja znakova, pri čemu host ostaje vidljiv. Dozvoljeni raspon je od 20 do 2000.
Revealed URL font size / weight i Warning badge font size / weight — opciona tipografska podešavanja. Ostavite prazno ako želite da zadržite podrazumevane vrednosti.

Osim glavnog prekidača Enable i kontrola Active sites, koje se primenjuju odmah, promene se čuvaju dugmetom Save settings.

Aktivni sajtovi — dodavanje sopstvenog webmaila

Odeljak Active sites pri vrhu stranice podešavanja navodi stranice na kojima Reveal URLs radi i container koji sadrži telo svake poruke.

Svaki red prikazuje:

match pattern sajta, na primer https://mail.example.com/*
prekidač Enabled
message-body selector, odnosno CSS selector za container koji Reveal URLs označava i koji možete da uredite
prekidač Sub-frames, za sajtove čije se telo poruke prikazuje unutar iframe
dugme Remove, samo za sajtove koje ste sami dodali

Ugrađeni servisi, kao što su Gmail, Outlook i Proton, mogu da se isključe ili preusmere, ali ne mogu da se uklone.

Da biste dodali sopstveni webmail sajt:

U odeljku Add site unesite Match URL — match pattern kao što je https://mail.example.com/*.
Unesite Message-body selector — CSS selector za container koji sadrži telo poruke, na primer .message-body.
Ako se telo poruke prikazuje unutar podokvira, označite Also run inside sub-frames.
Kliknite Add site. Vaš pregledač tražiće dozvolu za pristup tom sajtu. Dodelite je. Sajt se dodaje tek kada je dozvola potvrđena.

Promene ovde deluju odmah. Uklanjanje sajta koji ste dodali takođe opoziva njegovu dozvolu, pa Reveal URLs prestaje da pristupa tom sajtu.

Thunderbird (i drugi klijenti e-pošte). Thunderbird već prikazuje svaku poruku koju čitate, bez obzira na provajdera, pa mu ne treba lista po hostu. Zato se odeljak Active sites ne prikazuje na Thunderbird stranici podešavanja. Tamo su prikazani samo glavni prekidač, jezik prikaza, način otkrivanja, boje, fontovi i lista ignorisanja. Svaka konfiguracija aktivnih sajtova koju ste možda postavili u pregledaču ostaje netaknuta. Čuvanje podešavanja u Thunderbirdu nikada je ne briše.

Outlook i Gmail dodaci

Pored ekstenzije za pregledač i dodatka za Thunderbird, Reveal URLs dostupan je i kao native dodatak za dve aplikacije za poštu do kojih ekstenzija za pregledač ne može da dođe: Outlook add-in i Gmail add-on. Oba koriste istu detekciju linkova kao i ekstenzija, pa otkrivaju iste URL-ove i označavaju iste look-alike hostove.

Jedina razlika je u tome kako prikazuju nalaze. Ekstenzija za pregledač označava linkove na samom mestu, bojeći URL iznad ili pored svakog linka. Outlook i Gmail okviri ne dozvoljavaju dodatku da menja prikazanu poruku, pa zato svaki dodatak umesto toga prikazuje bočni panel (Outlook) ili karticu (Gmail) sa listom pronađenih linkova. Za svaki link prikazani su vidljivi tekst, odredišni URL i registrable host, a nepodudaranje se označava kada vidljivi tekst navodi drugu registrable domenu od one na koju link zaista vodi.

Outlook add-in — task pane koji čita poruku koju ste otvorili i analizira je na vašem uređaju. Nikakvi podaci iz e-pošte ili poruke ne šalju se nikuda. Kod task pane-a, odnosno HTML, JavaScript, CSS i ikone, učitava se sa https://www.reveal-urls.eu preko HTTPS, kao i kada otvorite bilo koju drugu web stranicu. Pokriva Outlook on the web, Windows, Mac, iOS, Android i Outlook.com.
Gmail add-on — kartica u Gmail bočnoj traci. Otvorite poruku, a zatim kliknite ikonu Reveal URLs u desnoj bočnoj traci da vidite njene linkove. Gmail ne otvara karticu sam, ali ako panel ostavite otvorenim, osvežavaće se dok prelazite između poruka. URL svakog linka prikazuje se neutralnom tamnosivom bojom za pošteni link, a crveno za look-alike. Pokriva Gmail na webu, Androidu i iOS-u. Za razliku od drugih oblika, Gmail add-on radi na Google serverima, jer tako rade Gmail dodaci. Poruka koju otvorite tamo se pročita i proveri svaki put kada je otvorite, i ne zadržava se. Pogledajte politiku privatnosti za detalje o tome čemu svaki oblik pristupa i šta skladišti.

Oba dodatka distribuiraće se preko svojih prodavnica aplikacija: Outlook add-in preko Microsoft AppSource, a Gmail add-on preko Google Workspace Marketplace. Objavljivanje još traje. Direktni linkovi za instalaciju biće dodati ovde čim svaki listing postane aktivan.

Jezici

Reveal URLs dostupan je na engleskom i na mnogim drugim jezicima.

Stranica podešavanja automatski prati jezik vašeg pregledača i vraća se na engleski ako vaš jezik nije podržan. To možete u svakom trenutku da promenite pomoću birača Display language pri vrhu stranice. Vaš izbor pamti se na tom uređaju. Pogledajte Stranica podešavanja.
Ova web stranica, odnosno početna stranica i ove dokumentacione stranice, takođe prepoznaje jezik vašeg pregledača i nudi birač jezika u zaglavlju. Uputstvo i stranice privatnosti dostupni su prevedeni. Ako za neku stranicu još nema prevoda, prikazuje se engleska verzija.

Neengleski tekst je machine-translated i čeka ljudsku proveru, pa neka formulacija ponekad može da zvuči nespretno. Namera je da značenje ostane isto kao u engleskom originalu. Ako primetite pogrešan prevod, otvorite issue na Codeberg issue tracker.

Privatnost

Reveal URLs ni u jednom svom obliku ne šalje vaše podatke iz e-pošte ili poruka nama niti trećim stranama. Nema analytics i nema tracking. Gde i kako se posao obavlja zavisi od oblika:

Ekstenzija za pregledač i dodatak za Thunderbird rade potpuno na vašem uređaju i ništa ne šalju dalje. Oni čitaju tekst linka, URL-ove i boje stranice tokom renderovanja, bez skladištenja ili slanja tih podataka.
Outlook add-in analizira otvorenu poruku na vašem uređaju i ne šalje podatke iz e-pošte ili poruke nikuda. Njegov task pane kod, odnosno HTML, JavaScript, CSS i ikone, učitava se sa https://www.reveal-urls.eu preko HTTPS kao i kod svake druge web stranice.
Gmail add-on radi na Google serverima, jer tako rade Gmail dodaci. Otvorena poruka tamo se pročita i proveri svaki put kada je otvorite, i ne zadržava se.

Jedino što se skladišti jesu vaša sopstvena podešavanja, kao što su uključeno ili isključeno stanje Reveal URLs, način otkrivanja, boje, veličine fonta, vaša lista ignorisanja i svi sajtovi koje ste dodali. Ona se čuvaju u per-user storage vašeg pregledača, Outlook-a ili Google-a i nikada nam se ne šalju.

Više detalja potražite u politici privatnosti.

Rešavanje problema

Neki link se ne otkriva.

Proverite da li je Reveal URLs uključen. Ikona u alatnoj traci ne sme da prikazuje oznaku OFF, a prekidač Enable Reveal URLs na stranici podešavanja mora biti uključen.
Proverite da li je sajt pokriven. Ugrađeni servisi Gmail, Outlook i Proton rade odmah. Svaki drugi webmail mora biti dodat u Active sites sa svojim match URL-om i message-body selector-om.
Proverite message-body selector. Ako se ne podudara sa container-om koji sadrži telo poruke, linkovi unutar tog container-a neće biti otkriveni.
Imajte u vidu da se linkovi ka sidrima unutar stranice i linkovi koji koriste scheme-ove različite od http/https, kao što je mailto:, namerno preskaču. Isto važi i za hostove sa vaše liste Ignore these hosts.

Ugrađeni servis je prestao da radi posle redizajna.

Webmail servisi s vremena na vreme menjaju markup svojih stranica. Ako se selector ugrađenog servisa posle takve promene više ne podudara, možete sami da ga ispravite: u odeljku Active sites uredite message-body selector tog servisa tako da pokazuje na novi container.

Tooltip URL se ne prikazuje.

U režimu tooltip (title) stvarni URL stavlja se u tooltip linka, pa je vidljiv samo kada zadržite pokazivač iznad linka. Ako želite da vidite URL bez hover-a, prebacite Reveal the URL na inline režim.

Licenca i izvorni kod

Reveal URLs je slobodan softver, licenciran pod GNU Affero General Public License v3.0 (AGPL-3.0-only).

Izvorni kod: https://codeberg.org/Magentron/reveal-urls
Tehnički pregled: Architecture
Više o phishing linkovima: Email link phishing: your app should always show the URL