Reveal URLs — Användarhandbok

Reveal URLs är ett litet webbläsartillägg (och Thunderbird-tillägg) som visar dig vart en länk i din e-post egentligen leder, så att du kan upptäcka en nätfiskelänk innan du klickar på den.

Den här handboken förklarar hur du installerar Reveal URLs och hur du använder det. För hur dina uppgifter hanteras, se sekretesspolicyn; för en teknisk översikt över hur tillägget är byggt, se arkitekturöversikten.

Har du hittat ett fel, en länk som flaggades felaktigt (eller missades), eller en webbmailvärd som borde stödjas? Rapportera det på Codeberg-ärendehanteringen.

Vad det gör och varför

Ett nätfiske-e-postmeddelande döljer en fientlig destination bakom förtroendeingivande länktext. Ibland är det en liknande värd: texten visar paypal.com medan länken pekar på paypa1.com. Ofta är det mer subtilt och går via en spårare eller en omdirigering, så att platsen du hamnar på inte alls liknar varumärket som nämns i texten.

Ett nätfiskemejl som utger sig för att komma från PostNord Sverige hävdar att ett paket hålls kvar tills obetalda tullavgifter har betalats och uppmanar till betalning via knappen „Gå till betalning“. Reveal URLs visar att knappen inte pekar på PostNord Sverige utan på parcel-pay.custom.co.xa, en orelaterad webbplats, och avslöjar därmed meddelandet som en bluff. — Reveal URLs avslöjar knappen „Gå till betalning“: den pekar på `parcel-pay.custom.co.xa`, inte på PostNord Sverige.

Obs: Den här skärmbilden visar ett bedrägligt nätfiskemejl som utger sig för att vara PostNord Sverige. PostNord Sverige är inte kopplat till Reveal URLs och stöder det inte.

Reveal URLs läser varje länk i meddelandet du läser och visar dig URL:en som den faktiskt pekar mot. När värden som anges i länktexten inte stämmer överens med den värden, flaggar Reveal URLs det, så att avvikelsen är uppenbar innan du klickar.

I webbläsartillägget och Thunderbird-tillägget sker allt på din egen enhet, utan att någonting överförs. I alla sina former skickar Reveal URLs ingen av dina e-postuppgifter till oss eller till någon tredje part — det finns ingen analys och ingen spårning. (Formerna skiljer sig åt i var de körs och hur koden för Outlook-fönstret levereras; se avsnittet Sekretess och sekretesspolicyn för alla detaljer.)

Webbläsare och e-postklient som stöds

Reveal URLs körs på:

Google Chrome
Microsoft Edge
Opera
Mozilla Firefox
Mozilla Thunderbird (skrivbords-e-postklienten)

En Safari-build levereras ännu inte; den är planerad för en senare fas.

På webbläsarmålen annoterar Reveal URLs länkar i din webbmail. I Thunderbird annoterar det länkarna i e-postmeddelandet du läser direkt i e-postklienten.

Installera

Från din webbläsares eller e-postklients butik (rekommenderas)

Installera Reveal URLs från butiken för din webbläsare eller e-postklient. Listningarna för Chrome, Edge, Firefox och Thunderbird är aktiva; Opera kör Chrome-bygget, och en egen Opera-listning är fortfarande på väg:

Chrome — Chrome Web Store
Edge — Microsoft Edge Add-ons
Opera — installera Chrome-versionen från Chrome Web Store; en egen Opera-listning kommer snart
Firefox — Firefox Add-ons (AMO)
Thunderbird — Thunderbird Add-ons (ATN)

Ladda en build själv (utvecklare och tidig testning)

Om du har byggt Reveal URLs från källkoden kan du ladda den uppackade builden direkt. Varje mål byggs med ett make-kommando och produceras under dist/<target>/:

make build-chrome        # produces dist/chrome
make build-edge          # produces dist/edge
make build-opera         # produces dist/opera
make build-firefox       # produces dist/firefox
make build-thunderbird   # produces dist/thunderbird

Ladda sedan den resulterande mappen:

Chrome — öppna chrome://extensions, slå på Utvecklarläge, klicka på Läs in okomprimerat och välj dist/chrome.
Edge — öppna edge://extensions, slå på Utvecklarläge, klicka på Läs in okomprimerat och välj dist/edge.
Opera — öppna opera://extensions, slå på Utvecklarläge, klicka på Läs in okomprimerat och välj dist/opera.
Firefox — öppna about:debugging, välj Denna Firefox, klicka på Läs in tillfälligt tillägg och välj valfri fil i dist/firefox (till exempel dess manifest.json). Ett tillfälligt tillägg tas bort när Firefox startas om.
Thunderbird — installera det tillfälliga tillägget från dist/thunderbird på samma sätt (via Verktyg → Utvecklarverktyg → Felsök tillägg → Läs in tillfälligt tillägg).

Inställningssidan öppnas automatiskt första gången tillägget installeras.

Använda det

Direkt ur lådan annoterar Reveal URLs länkarna i meddelanden hos de inbyggda leverantörerna — ingen konfiguration krävs:

Gmail (mail.google.com)
Outlook Live (outlook.live.com)
Outlook på webben / Microsoft 365 (outlook.office.com)
Proton Mail (mail.proton.me)

Annoteringen är avgränsad till meddelandetexten, så appens egen chrome — dess sidofält, skrivfönster och verktygsfält — lämnas orörd. I Thunderbird täcks hela det renderade e-postmeddelandet.

De två avslöjningslägena

Du väljer hur den verkliga URL:en visas, under Avslöja URL:en på inställningssidan:

Inline — den verkliga URL:en visas på en egen rad, precis ovanför länktexten. Detta är standard.
I länkens verktygstips (titel) — den verkliga URL:en placeras i länkens verktygstips, så att den visas när du för pekaren över länken.

Markering av avvikelser

När värden som anges i en länks synliga text inte stämmer överens med värden som länken faktiskt pekar mot, flaggar Reveal URLs det som en avvikelse. Jämförelsen görs på det registrerbara domännamnet, så ett ärligt underdomän som mail.example.com för example.com flaggas inte, medan en snarlik som paypa1.com för paypal.com gör det.

I läget inline visas en avvikelse i din valda avvikelsefärg och i fetstil.
I läget verktygstips (titel) läggs en särskiljande ⚠ URL-avvikelse-bricka till bredvid länken.

Två relaterade inställningar styr detta:

Markera avvikande länkar slår på eller av avvikelsemarkeringen.
Annotera endast avvikande länkar lämnar ärliga länkar helt orörda, så att endast de misstänkta avslöjas.

Verktygsfältsknappen

I Chrome, Edge, Opera, Firefox och Thunderbird är Reveal URLs-ikonen i verktygsfältet en snabb på/av-knapp — klicka på den för att växla annoteringen. När tillägget är avstängt visas en OFF-märkning på ikonen, och dess verktygstips talar om för dig om ett klick kommer att slå på eller av det. I webbläsarna träder ändringen i kraft i alla öppna flikar samtidigt; i Thunderbird gäller den för nästa meddelande du öppnar.

(I Thunderbird visar knappen bara sin ikon, så den håller sig kompakt i det enhetliga verktygsfältet. Du kan också slå Reveal URLs på och av med knappen Aktivera på inställningssidan.)

Inställningssidan

Inställningssidan innehåller alla alternativ. Öppna den från din webbläsares tilläggssida (till exempel Detaljer → Tilläggsalternativ), eller så öppnas den automatiskt vid första installationen.

Aktivera Reveal URLs — huvudströmbrytaren, allra överst på sidan. Den träder i kraft omedelbart, utan att resten av formuläret behöver sparas.
Visningsspråk — välj språket som inställningssidan visas på. Som standard följer det din webbläsares språk, med engelska som reservalternativ; välj ett annat från listan för att åsidosätta det. Ditt val träder i kraft direkt, kommer ihåg till nästa gång och lagras endast på den här enheten (det ändrar aldrig resten av dina inställningar).
Avslöja URL:en — välj läget inline eller verktygstips (titel) (se ovan).
Markera avvikande länkar — slå på eller av avvikelsemarkeringen.
Avvikelsefärg — CSS-färgen som används för en flaggad länk (till exempel red, #cc0000 eller rgb(200, 0, 0)). Standard är rött.
Matchfärg — färgen på den avslöjade URL:en på ärliga (icke-avvikande) länkar (till exempel black eller #1a1a1a). Standard är en neutral mycket mörk grå (#1a1a1a), vald så att färgen inte antyder att länken har kontrollerats.
Annotera endast avvikande länkar — lämna ärliga länkar orörda.
Ignorera dessa värdar — en lista med värdnamn som ska hoppas över helt, ett per rad. Underdomäner till en listad värd hoppas också över.
Maximal visad URL-längd — långa URL:er kapas bortom detta antal tecken, samtidigt som värden hålls synlig. Tillåtet intervall: 20 till 2000.
Teckenstorlek / -vikt för avslöjad URL och Teckenstorlek / -vikt för varningsbricka — valfria typografiåsidosättanden; lämna tomt för att behålla standardvärdena.

Förutom huvudbrytaren Aktivera och kontrollerna för Aktiva webbplatser (som tillämpas omedelbart) sparas ändringar med knappen Spara inställningar.

Aktiva webbplatser — lägga till din egen webbmail

Avsnittet Aktiva webbplatser, överst på inställningssidan, listar sidorna som Reveal URLs körs på och behållaren som rymmer varje meddelandetext.

Varje rad visar:

webbplatsens matchningsmönster (till exempel https://mail.example.com/*);
en växel Aktiverad;
meddelandetext-väljaren (CSS-väljaren för behållaren som Reveal URLs annoterar), som du kan redigera;
en växel Underramar, för webbplatser vars meddelandetext renderas inuti en iframe;
en knapp Ta bort (endast för dina egna webbplatser).

De inbyggda leverantörerna (Gmail, Outlook och Proton) kan stängas av och rikta om, men de kan inte tas bort.

För att lägga till din egen webbmailsida:

Under Lägg till webbplats, ange en Matchnings-URL — ett matchningsmönster som https://mail.example.com/*.
Ange en Meddelandetext-väljare — en CSS-väljare för behållaren som rymmer meddelandetexten, till exempel .message-body.
Om meddelandetexten renderas inuti en underram, kryssa i Kör även inuti underramar.
Klicka på Lägg till webbplats. Din webbläsare kommer att be om tillstånd att få åtkomst till den webbplatsen; bevilja det. Webbplatsen läggs till först när du beviljar tillståndet.

Ändringar här tillämpas omedelbart. Att ta bort en webbplats du har lagt till återkallar också dess tillstånd, så att Reveal URLs slutar få åtkomst till den.

Thunderbird (och andra e-postklienter). Thunderbird visar redan varje meddelande du läser, oavsett leverantör, så det har inget behov av en lista per värd. Avsnittet Aktiva webbplatser visas därför inte på Thunderbirds inställningssida — endast huvudbrytaren, visningsspråket, avslöjningsläget, färgerna, teckensnitten och ignoreringslistan visas. Eventuell konfiguration av aktiva webbplatser som du har ställt in i en webbläsare bevaras orörd: att spara Thunderbird-inställningarna rensar den aldrig.

Outlook- och Gmail-tilläggen

Vid sidan av webbläsartillägget och Thunderbird-tillägget kommer Reveal URLs som ett inbyggt tillägg för två e-postappar som ett webbläsartillägg inte kan nå: ett Outlook-tillägg och ett Gmail-tillägg. Båda använder samma länkdetektering som tillägget, så de avslöjar samma URL:er och flaggar samma snarlika värdar.

Den enda skillnaden är hur de visar sina fynd. Webbläsartillägget annoterar länkarna på plats — det färglägger URL:en ovanför eller bredvid varje länk. Outlooks och Gmails ramverk tillåter inte att ett tillägg ändrar det renderade meddelandet, så istället visar varje tillägg en sidopanel (Outlook) eller ett kort (Gmail) som listar länkarna det hittade. För varje länk visar det den synliga texten, destinations-URL:en och den registrerbara värden, och det flaggar en avvikelse när den synliga texten anger ett annat registrerbart domännamn än det länken faktiskt pekar mot.

Outlook-tillägget — ett uppgiftsfönster som läser meddelandet du har öppet och analyserar det på din egen enhet; ingen e-post- eller meddelandedata skickas någonstans. Dess uppgiftsfönsterkod (HTML, JavaScript, CSS och ikoner) laddas från https://www.reveal-urls.eu över HTTPS, som när du öppnar vilken webbsida som helst. Det når Outlook på webben, Windows, Mac, iOS och Android, samt Outlook.com.
Gmail-tillägget — ett kort i Gmails sidofält. Öppna ett meddelande och klicka sedan på Reveal URLs-ikonen i sidofältet till höger för att se dess länkar: Gmail öppnar inte kortet av sig självt, men om du lämnar panelen öppen uppdateras den när du växlar mellan meddelanden. Varje länks URL visas i en neutral mörk grå för en ärlig länk och i rött för en snarlik. Det når Gmail på webben, Android och iOS. Till skillnad från de andra formerna körs Gmail-tillägget på Googles servrar (det är så Gmail-tillägg fungerar): meddelandet du öppnar läses och kontrolleras där, varje gång du öppnar det, och behålls inte. Se sekretesspolicyn för vad varje form får åtkomst till och lagrar.

Båda tilläggen kommer att distribueras via sina appbutiker — Outlook-tillägget via Microsoft AppSource, Gmail-tillägget via Google Workspace Marketplace. Publiceringen är pågående; direkta installationslänkar läggs till här när varje listning är aktiv.

Språk

Reveal URLs finns på engelska och många andra språk.

Inställningssidan följer automatiskt din webbläsares språk, med engelska som reservalternativ när ditt språk inte är ett av ovanstående. Du kan åsidosätta det när som helst med växlaren Visningsspråk nära toppen av sidan; ditt val kommer ihåg på den enheten (se Inställningssidan).
Den här webbplatsen (startsidan och dessa dokumentationssidor) detekterar också din webbläsares språk och erbjuder en språkväljare i sidhuvudet. Handboks- och sekretessidorna finns översatta; där en sida ännu inte har någon översättning visas den på engelska.

Den icke-engelska texten är maskinöversatt och väntar på mänsklig granskning, så en fras kan ibland läsas klumpigt; betydelsen är avsedd att matcha det engelska originalet. Om du upptäcker en felöversättning, öppna gärna ett ärende på Codeberg-ärendehanteringen.

Sekretess

Reveal URLs skickar ingen av dina e-post- eller meddelandeuppgifter till oss eller till någon tredje part, i någon av sina former — det finns ingen analys och ingen spårning. Hur och var arbetet sker beror på formen:

Webbläsartillägget och Thunderbird-tillägget arbetar helt och hållet på din egen enhet och överför ingenting: de läser länktexten, URL:erna och sidans färger medan sidan renderas, utan att någonsin lagra eller skicka dem.
Outlook-tillägget analyserar det öppna meddelandet på din egen enhet och skickar ingen e-post- eller meddelandedata någonstans; dess uppgiftsfönsterkod (HTML, JavaScript, CSS och ikoner) laddas från https://www.reveal-urls.eu över HTTPS, som när du öppnar vilken webbsida som helst.
Gmail-tillägget körs på Googles egna servrar (det är så Gmail-tillägg fungerar): det öppna meddelandet läses och kontrolleras där, varje gång du öppnar det, och behålls inte.

Det enda som lagras är dina egna inställningar (såsom på/av, avslöjningsläge, färger, teckenstorlekar, din ignoreringslista och eventuella webbplatser du har lagt till), som hålls i din webbläsares, Outlooks eller Googles lagring per användare och aldrig skickas till oss.

Se sekretesspolicyn för alla detaljer.

Felsökning

En länk avslöjas inte.

Kontrollera att Reveal URLs är påslaget — verktygsfältsikonen får inte visa OFF-brickan, och brytaren Aktivera Reveal URLs på inställningssidan måste vara på.
Kontrollera att webbplatsen täcks. Inbyggda leverantörer (Gmail, Outlook, Proton) fungerar direkt ur lådan; all annan webbmail måste läggas till under Aktiva webbplatser med sin matchnings-URL och meddelandetext-väljare.
Kontrollera meddelandetext-väljaren. Om den inte stämmer överens med behållaren som rymmer meddelandetexten kommer länkar inuti den behållaren inte att avslöjas.
Observera att länkar till interna ankare, och länkar som använder andra scheman än http/https (såsom mailto:), medvetet hoppas över — liksom värdar på din lista Ignorera dessa värdar.

En inbyggd leverantör slutade fungera efter en omdesign.

Webbmailleverantörer ändrar sin sidkod då och då. Om en inbyggd leverantörs väljare inte längre stämmer efter en sådan ändring kan du korrigera det själv: redigera i Aktiva webbplatser den leverantörens meddelandetext-väljare till den nya behållaren.

Verktygstips-URL:en visas inte.

I läget verktygstips (titel) placeras den verkliga URL:en i länkens verktygstips, så att den endast visas när du för pekaren över länken. Om du hellre vill se URL:en utan att föra pekaren, växla Avslöja URL:en till läget inline.

Licens och källkod

Reveal URLs är fri programvara, licensierad under GNU Affero General Public License v3.0 (AGPL-3.0-only).

Källkod: https://codeberg.org/Magentron/reveal-urls
Teknisk översikt: Arkitektur
Vidare läsning om länknätfiske: Email link phishing: your app should always show the URL