Reveal URLs — Manual de usuario

Reveal URLs es una pequeña extensión de navegador (y complemento para Thunderbird) que te muestra adónde lleva realmente un enlace de tu correo, para que puedas detectar un enlace de phishing antes de hacer clic en él.

Este manual explica cómo instalar Reveal URLs y cómo usarlo. Para saber cómo se tratan tus datos, consulta la política de privacidad; para una descripción técnica de cómo está construida la extensión, consulta la descripción de la arquitectura.

¿Has encontrado un error, un enlace marcado erróneamente (o que se haya pasado por alto), o un host de webmail que debería ser compatible? Comunícalo en el gestor de incidencias de Codeberg.

Contenido

• Qué hace y por qué
• Navegadores compatibles y el cliente de correo
• Instalación
• Cómo usarlo
• Privacidad
• Resolución de problemas
• Licencia y código fuente

Qué hace y por qué

Un correo de phishing oculta un destino hostil tras un texto de enlace de apariencia fiable. El texto puede decir paypal.com, mientras que el enlace en realidad apunta a paypa1.com o a algún otro host similar. El texto visible puede mentir; el verdadero destino no puede.

Reveal URLs lee cada enlace del mensaje que estás leyendo y te muestra su verdadero destino. Cuando el host nombrado en el texto del enlace no coincide con el host al que el enlace realmente apunta, Reveal URLs lo marca, de modo que la discrepancia resulta evidente antes de que hagas clic.

Todo sucede en tu propio dispositivo. Reveal URLs no envía nada ni a nosotros ni a ningún tercero — no hay servidor, ni analíticas, ni seguimiento. Consulta la política de privacidad para todos los detalles.

Navegadores compatibles y el cliente de correo

Reveal URLs funciona en:

• Google Chrome
• Microsoft Edge
• Opera
• Mozilla Firefox
• Mozilla Thunderbird (el cliente de correo de escritorio)

Todavía no se ofrece una compilación para Safari; está prevista para una fase posterior.

En los destinos de navegador, Reveal URLs anota los enlaces de tu webmail. En Thunderbird anota los enlaces del correo que estás leyendo directamente en el cliente de correo.

Instalación

Desde la tienda de tu navegador o cliente de correo (recomendado)

Una vez publicada, instala Reveal URLs desde la tienda de tu navegador o cliente de correo. La publicación está pendiente, así que estas fichas son la vía de distribución prevista y todavía no enlaces activos:

• Chrome — la Chrome Web Store
• Edge — Microsoft Edge Add-ons
• Opera — el sitio de complementos de Opera
• Firefox — Firefox Add-ons (AMO)
• Thunderbird — Thunderbird Add-ons (ATN)

Cargar una compilación tú mismo (desarrolladores y pruebas tempranas)

Si has compilado Reveal URLs desde el código fuente, puedes cargar la compilación descomprimida directamente. Cada destino se compila con un comando make y se produce bajo dist/<target>/:

make build-chrome        # produces dist/chrome
make build-edge          # produces dist/edge
make build-opera         # produces dist/opera
make build-firefox       # produces dist/firefox
make build-thunderbird   # produces dist/thunderbird

A continuación, carga la carpeta resultante:

• Chrome — abre chrome://extensions, activa el Modo de desarrollador, haz clic en Cargar descomprimida y selecciona dist/chrome.
• Edge — abre edge://extensions, activa el Modo de desarrollador, haz clic en Cargar descomprimida y selecciona dist/edge.
• Opera — abre opera://extensions, activa el Modo de desarrollador, haz clic en Cargar descomprimida y selecciona dist/opera.
• Firefox — abre about:debugging, elige Este Firefox, haz clic en Cargar complemento temporal y selecciona cualquier archivo dentro de dist/firefox (por ejemplo su manifest.json). Un complemento temporal se elimina cuando Firefox se reinicia.
• Thunderbird — instala el complemento temporal desde dist/thunderbird de la misma manera (mediante Herramientas → Herramientas de desarrollador → Depurar complementos → Cargar complemento temporal).

La página de ajustes se abre automáticamente la primera vez que se instala la extensión.

Cómo usarlo

Sin necesidad de configuración, Reveal URLs anota los enlaces de los mensajes en los proveedores integrados — no hace falta ninguna configuración:

• Gmail (mail.google.com)
• Outlook Live (outlook.live.com)
• Outlook en la web / Microsoft 365 (outlook.office.com)
• Proton Mail (mail.proton.me)

La anotación se limita al cuerpo del mensaje, de modo que la interfaz propia de la app — su barra lateral, ventana de redacción y barras de herramientas — queda intacta. En Thunderbird se cubre el correo renderizado por completo.

Los dos modos de revelado

Eliges cómo se muestra la URL real, bajo Revelar la URL en la página de ajustes:

• En línea — la URL real se muestra en su propia línea, justo encima del texto del enlace. Este es el modo predeterminado.
• En la información sobre herramientas (título) del enlace — la URL real se coloca en la información sobre herramientas del enlace, de modo que aparece cuando pasas el cursor sobre el enlace.

Resaltado de discrepancias

Cuando el host nombrado en el texto visible de un enlace no coincide con el host al que el enlace realmente apunta, Reveal URLs lo marca como una discrepancia. La comparación se hace sobre el dominio registrable, de modo que un subdominio honesto como mail.example.com para example.com no se marca, mientras que uno similar como paypa1.com para paypal.com sí.

• En el modo en línea, una discrepancia se muestra en el color de discrepancia que hayas elegido y en negrita.
• En el modo información sobre herramientas (título), se añade una insignia distintiva ⚠ Discrepancia de URL junto al enlace.

Dos ajustes relacionados controlan esto:

• Resaltar enlaces no coincidentes activa o desactiva el énfasis de discrepancia.
• Anotar solo enlaces no coincidentes deja los enlaces honestos completamente intactos, de modo que solo se revelan los sospechosos.

El botón de la barra de herramientas

En Chrome, Edge, Opera y Firefox, el icono de Reveal URLs en la barra de herramientas es un rápido interruptor de activación/desactivación — haz clic en él para alternar la anotación. Cuando la extensión está desactivada, aparece una insignia OFF en el icono, y su información sobre herramientas te indica si hacer clic la activará o la desactivará. El cambio surte efecto en todas las pestañas abiertas a la vez.

(Thunderbird no tiene este botón de la barra de herramientas; usa en su lugar el interruptor Activar en la página de ajustes.)

La página de ajustes

La página de ajustes contiene todas las opciones. Ábrela desde la página de extensiones de tu navegador (por ejemplo Detalles → Opciones de la extensión), o se abre automáticamente en la primera instalación.

• Activar Reveal URLs — el interruptor principal de activación/desactivación, en la parte superior de la página. Surte efecto de inmediato, sin necesidad de guardar el resto del formulario.
• Idioma de visualización — elige el idioma en el que se muestra la página de ajustes. De manera predeterminada sigue el idioma de tu navegador, recurriendo al inglés; elige otro de la lista para anularlo. Tu elección surte efecto al instante, se recuerda para la próxima vez y se almacena solo en este dispositivo (nunca cambia el resto de tus ajustes).
• Revelar la URL — elige el modo en línea o información sobre herramientas (título) (ver arriba).
• Resaltar enlaces no coincidentes — activa o desactiva el énfasis de discrepancia.
• Color de discrepancia — el color CSS usado para un enlace marcado (por ejemplo red, #cc0000 o rgb(200, 0, 0)). El predeterminado es rojo.
• Color de coincidencia — el color de la URL revelada en enlaces honestos (sin discrepancia) (por ejemplo green o #0a0). El predeterminado es verde.
• Anotar solo enlaces no coincidentes — deja los enlaces honestos intactos.
• Ignorar estos hosts — una lista de nombres de host que omitir por completo, uno por línea. Los subdominios de un host listado también se omiten.
• Longitud máxima de URL mostrada — las URL largas se truncan más allá de este número de caracteres, manteniendo el host visible. Rango permitido: de 20 a 2000.
• Tamaño / grosor de fuente de la URL revelada y Tamaño / grosor de fuente de la insignia de advertencia — anulaciones tipográficas opcionales; déjalas en blanco para mantener los valores predeterminados.

Aparte del interruptor principal Activar y de los controles de Sitios activos (que se aplican de inmediato), los cambios se guardan con el botón Guardar ajustes.

Sitios activos — añadir tu propio webmail

La sección Sitios activos, en la parte superior de la página de ajustes, enumera las páginas en las que Reveal URLs funciona y el contenedor que aloja el cuerpo de cada mensaje.

Cada fila muestra:

• el patrón de coincidencia del sitio (por ejemplo https://mail.example.com/*);
• un interruptor Activado;
• el selector del cuerpo del mensaje (el selector CSS para el contenedor que Reveal URLs anota), que puedes editar;
• un interruptor Subframes, para sitios cuyo cuerpo de mensaje se renderiza dentro de un iframe;
• un botón Eliminar (solo para tus propios sitios).

Los proveedores integrados (Gmail, Outlook y Proton) se pueden desactivar y volver a apuntar, pero no se pueden eliminar.

Para añadir tu propio sitio de webmail:

1. Bajo Añadir sitio, introduce una URL de coincidencia — un patrón de coincidencia como https://mail.example.com/*.
2. Introduce un Selector del cuerpo del mensaje — un selector CSS para el contenedor que aloja el cuerpo del mensaje, por ejemplo .message-body.
3. Si el cuerpo del mensaje se renderiza dentro de un subframe, marca Ejecutar también dentro de subframes.
4. Haz clic en Añadir sitio. Tu navegador pedirá permiso para acceder a ese sitio; concédelo. El sitio solo se añade una vez que concedes el permiso.

Los cambios aquí se aplican de inmediato. Eliminar un sitio que añadiste también revoca su permiso, de modo que Reveal URLs deja de acceder a él.

Privacidad

Reveal URLs funciona enteramente en tu propio dispositivo. Para revelar y comprobar enlaces lee — solo dentro de la página que estás viendo — el texto visible y el destino de los enlaces del mensaje que estás leyendo, además de los colores de la página (para que la URL revelada siga siendo legible). Esto se lee a medida que la página se renderiza; nunca se almacena ni se transmite.

Lo único que almacena son tus propios ajustes (como activado/desactivado, modo de revelado, colores, tamaños de fuente, tu lista de ignorados y cualquier sitio que hayas añadido). Estos se guardan en el almacenamiento de extensiones de tu navegador. Si la sincronización de tu navegador está activada, tus ajustes pueden sincronizarse entre tus dispositivos con sesión iniciada, gestionado por tu proveedor de navegador — nunca enviados a nosotros. Reveal URLs no transmite nada.

Consulta la política de privacidad para todos los detalles.

Resolución de problemas

Un enlace no se está revelando.

• Comprueba que Reveal URLs esté activado — el icono de la barra de herramientas no debe mostrar la insignia OFF, y el interruptor Activar Reveal URLs en la página de ajustes debe estar activado.
• Comprueba que el sitio esté cubierto. Los proveedores integrados (Gmail, Outlook, Proton) funcionan sin configuración; cualquier otro webmail debe añadirse bajo Sitios activos con su URL de coincidencia y su selector del cuerpo del mensaje.
• Comprueba el selector del cuerpo del mensaje. Si no coincide con el contenedor que aloja el cuerpo del mensaje, los enlaces dentro de ese contenedor no se revelarán.
• Ten en cuenta que los enlaces a anclas dentro de la página, y los enlaces que usan esquemas distintos de http/https (como mailto:), se omiten deliberadamente — al igual que los hosts de tu lista Ignorar estos hosts.

Un proveedor integrado dejó de funcionar tras un rediseño.

Los proveedores de webmail cambian el marcado de sus páginas de vez en cuando. Si el selector de un proveedor integrado ya no coincide tras un cambio así, puedes corregirlo tú mismo: en Sitios activos, edita el selector del cuerpo del mensaje de ese proveedor al nuevo contenedor.

La URL de la información sobre herramientas no se muestra.

En el modo información sobre herramientas (título), la URL real se coloca en la información sobre herramientas del enlace, de modo que solo aparece cuando pasas el cursor sobre el enlace. Si prefieres ver la URL sin pasar el cursor, cambia Revelar la URL al modo en línea.

Licencia y código fuente

Reveal URLs es software libre, con licencia bajo la GNU Affero General Public License v3.0 (AGPL-3.0-only).

• Código fuente: https://codeberg.org/Magentron/reveal-urls
• Descripción técnica: Arquitectura
• Lectura adicional sobre el phishing de enlaces: Email link phishing: your app should always show the URL