Links, HTML e anexos
Como o FOLD exibe e-mails HTML, bloqueia conteúdo de rastreamento, verifica links antes de abri-los e marca os anexos salvos.
E-mails HTML podem trazer scripts, pixels de rastreamento e links disfarçados. O FOLD trata toda mensagem como não confiável.
Como o HTML é exibido
Antes da exibição, o FOLD limpa o HTML e mantém apenas elementos e atributos conhecidos e inofensivos. O resultado aparece em uma visualização web restrita:
- O JavaScript da mensagem nunca é executado.
- Uma política de segurança de conteúdo bloqueia todo recurso externo: imagens, folhas de estilo, fontes, frames e envios de formulários.
- As pré-visualizações de links ao manter pressionado ou com clique firme ficam desativadas, porque carregariam a página em segundo plano.
- Mídias não são reproduzidas automaticamente.
- Nada persiste: nem cookies, nem cache, nem armazenamento local.
As imagens incorporadas na própria mensagem são exibidas.
Imagens externas
As imagens externas são bloqueadas por padrão, porque carregá-las revela ao remetente se e quando você abriu a mensagem. Uma barra informa que imagens externas foram bloqueadas; no Mac, ela também mostra quantas.
- Carregar imagens as carrega somente para esta mensagem. Nesse caso, apenas imagens são permitidas; todas as outras restrições continuam valendo.
- No Mac, o FOLD pergunta em seguida Carregar sempre as imagens deste remetente? Escolha Carregar automaticamente ou Só desta vez. Para remetentes nessa lista, aparece o aviso Imagens carregadas automaticamente, com Desativar para desfazer.
Links
Clicar em um link abre Abrir link? com o endereço real e completo, para que o texto de um link não possa esconder para onde ele leva. O FOLD verifica o endereço no dispositivo e aponta o que parece suspeito:
- uma conexão não criptografada (http),
- um endereço IP em vez de um domínio,
- credenciais no endereço,
- um domínio com caracteres especiais que podem imitar outro,
- um número incomum de subdomínios.
Abrir no navegador passa o link para o seu navegador padrão; Copiar endereço o copia. Links para javascript:, data:, file: ou vbscript: nunca são abertos. Links para endereços de e-mail abrem a janela de composição do próprio FOLD.
O FOLD também pode comparar links com uma lista de bloqueio guardada no dispositivo, sem nenhuma requisição de rede. Ele ainda não traz nem baixa uma lista desse tipo, então hoje os avisos vêm das verificações acima.
No Mac, você pode desativar a confirmação em Ajustes (⌘,) > Segurança > Proteção de links; os tipos de link perigosos continuam bloqueados. No iPhone e no iPad, a confirmação está sempre ativada.
Anexos
No Mac, os anexos que você salva são marcados como baixados da internet. O Gatekeeper do macOS então verifica os apps e scripts entre eles antes que sejam executados pela primeira vez.