链接预览可能在你点击之前就触发网络请求；但由谁发送请求，以及目标网站能看到哪些信息，取决于通信应用的设计。不能仅凭聊天中出现一张缩略图，就断定发送者和接收者的 IP 都已泄露。
端到端加密保护消息在对话双方之间传输的过程。获取网站标题和图片走的是另一条路径，需要单独评估。
生成预览的三种不同方式
| 方式 | 目标网站会看到什么？ | 关键问题 |
|---|---|---|
| 由设备直接获取 | 发起请求的连接的 IP，以及请求附带的信息 | 请求是在输入、发送还是接收时发出的？ |
| 通过中间服务或代理获取 | 通常看到的是中间服务的 IP，而非用户的直接 IP | 中间服务自身能看到并保留什么？ |
| 由发送者生成预览并随消息发送 | 接收者显示卡片时，可能不必连接目标网站 | 卡片内的图片在本地，还是会重新从网上获取？ |
这些方式可以组合使用。例如，Signal 在其 2019 年的技术说明中介绍了通过代理生成预览的做法。这份文档是一个设计实例；未经核实，不应将其推广到所有版本或所有应用。Signal 当前的指南介绍了关闭预览生成以及在发送前移除卡片的功能。
IP、链接标识符和个人身份并不是一回事
目标网站能看到建立网络连接的一方的 IP；这一方可能是设备、VPN 或代理。仅凭 IP 通常无法得知一个人的姓名或准确家庭住址，但结合请求时间和其他数据，它可能被用于关联事件。
带有专属标识符的链接，也可能表明该 URL 被请求过。仅凭这一观察不能证明是谁阅读了它：请求可能来自预览、安全工具、发送者、接收者，或再次收到转发链接的人。
此外，IP 地址不一定是 HTTP 内的一个字段；它属于网络通信的一部分。User-Agent 等请求头的类型和值，取决于发起请求的软件。
获取页面标题不同于完整执行页面
有些预览仅获取并处理 HTML 和图片。这不一定意味着执行 JavaScript，或在浏览器中打开页面。相反，预加载或在网页环境中显示页面，可能产生不同的行为。
因此，应分别问两个问题：“是否向网站发送请求？”以及“是否执行页面中的活动内容？”其中一个问题的答案并不能决定另一个。
敏感对话中的实用设置
- 如果不需要预览卡片，请检查应用的自动生成选项。卡片生成后再将其删除，无法撤销已经发出的请求。
- 将陌生链接，以及专属的登录、恢复或文件共享链接视为敏感数据。不要为了测试而把它们提交到公开的 URL 分析服务。
- 不要擅自删除已签名链接的参数；这可能破坏访问权限或完整性。条件允许时，应从原始来源获取页面公开、非个性化的版本。
- 不要把关闭预览等同于阻止所有网络连接。打开链接、外部图片及其他功能各有自己的路径。
- 进行组织层面的评估时，应使用自己控制的无害 URL 和测试设备，检查请求何时产生；不要把某一版本的结果推广到所有设备。
关于 Livara，可以作出什么判断？
Livara 威胁模型解释了私密内容的保护边界，以及设备和网络的局限。仅凭这类一般性说明，不能断定每个版本中的所有预览都必然直接连接，或必然经过代理。这类说法需要功能文档或针对相应版本的检查作为依据。
对于链接隐私，请求路径比预览卡片的外观更重要。
