HTML Email Attachment Preview

Preview HTML email attachments inline — no download required, with a per-sender allowlist for safety.

English · 한국어

---

English

A browser extension that renders HTML email attachments directly inside your mailbox — no download, no cleanup. Especially useful for Korean users who receive bank statements, credit-card bills, tax invoices, and government notices as password-protected HTML files.

Supported mail services	Gmail · Naver Mail · Daum Mail · Kakao Mail
Rendering	Inline iframe (Gmail) or new window matching the host's PDF preview (Naver / Daum / Kakao)
Security boundary	Sandboxed extension page at an opaque origin; HTML scripts cannot read the mail page, send authenticated requests, or reach extension APIs
Sender flow	Per-sender allowlist with a non-blocking banner ("Render once / Always trust / Dismiss")
Print	Print / save-as-PDF button on the new-window viewer
Extras	Auto-allow toggle to skip per-sender confirmation, dark-mode popup, 54-locale UI

Screenshots

Gmail — inline preview	Popup — trusted senders

How it works

Two-layer security:

1. Per-sender allowlist (UX layer) — the first HTML attachment from a sender shows a banner offering "Render once / Always trust / Dismiss." Trusted senders open instantly from then on.
2. Sandboxed extension page (security boundary) — every preview renders inside a page from manifest.sandbox.pages at an opaque origin. Even a malicious HTML attachment cannot read the mail page's DOM, send authenticated requests, or reach the extension's chrome.* APIs.

The popup also offers an explicit opt-in Auto-allow toggle: every detected HTML attachment renders directly, skipping the per-sender banner. The sandbox boundary still applies.

Tested with

Korean security-mail formats: XecureExpress (하나은행), vestmail (KB, 현대카드), UniSafeMail (하나카드), StatiCrypt (Toss and generic password-protected HTML).

Development

# Load unpacked: chrome://extensions → Developer mode → Load unpacked → this folder
# Build per-browser zips (WSL):
bash publish.sh
# Regenerate icons from icons/icon.svg:
npm install --no-save @resvg/resvg-js
node scripts/build-icons.mjs

Privacy

• No analytics, no tracking, no remote server.
• The trusted-senders list is stored only in chrome.storage.sync.
• HTML attachments are rendered only inside a sandboxed page on your machine — nothing is transmitted anywhere.
• Attachment downloads use the mail service's normal API from within your already-authenticated session.

License

MIT

---

한국어

이메일의 HTML 첨부파일을 다운로드 없이 메일함 안에서 바로 미리보기해 주는 브라우저 확장 프로그램입니다. 은행 명세서, 카드 청구서, 세금계산서, 정부·공공기관 공문처럼 암호화된 HTML로 자주 도착하는 문서를 매번 다운로드 → 열기 → 삭제 없이 볼 수 있게 해 줍니다.

지원 웹메일	Gmail · 네이버메일 · 다음메일 · 카카오메일
렌더링 방식	인라인 iframe (Gmail) 또는 각 서비스의 PDF 미리보기와 동일한 새 창 (네이버 / 다음 / 카카오)
보안 경계	opaque origin의 샌드박스 확장 페이지 — 이메일 스크립트가 메일 페이지 DOM을 읽거나, 인증 요청을 보내거나, 확장 API에 접근할 수 없음
발신자 흐름	발신자별 허용 목록 + 비차단 배너 ("한 번만 렌더 / 항상 허용 / 닫기")
인쇄	새 창 뷰어에 인쇄 · PDF 저장 버튼
부가	발신자 확인을 건너뛰는 자동 허용 토글, 다크 모드 팝업, 54개 언어 UI

스크린샷

Gmail — 인라인 미리보기	팝업 — 신뢰 발신자 관리

작동 방식

이중 보안 모델:

1. 발신자별 허용 목록 (UX 계층) — 처음 보는 발신자의 HTML 첨부가 도착하면 "한 번만 렌더 / 이 발신자 항상 허용 / 닫기" 배너 표시. 신뢰 발신자는 이후 자동 렌더링.
2. 샌드박스 확장 페이지 (보안 경계) — 모든 미리보기는 manifest.sandbox.pages에 등록된 페이지에서 opaque origin으로 렌더링. 악의적인 HTML 첨부라도 메일 페이지 DOM 접근, 인증 요청, chrome.* API 접근이 불가능.

팝업에서 자동 허용 토글을 켜면 발신자 확인 단계를 완전히 건너뛰고 모든 HTML 첨부를 바로 렌더링합니다 (샌드박스 경계는 그대로 유지).

테스트된 보안메일 형식

XecureExpress (하나은행), vestmail (KB, 현대카드), UniSafeMail (하나카드), StatiCrypt (토스, 범용 암호 HTML) 등 국내 주요 보안메일 형식과 호환.

개발

# 압축 해제된 확장 로드: chrome://extensions → 개발자 모드 → 이 폴더 로드
# 브라우저별 zip 빌드 (WSL):
bash publish.sh
# 아이콘 재생성 (icons/icon.svg 기준):
npm install --no-save @resvg/resvg-js
node scripts/build-icons.mjs

프라이버시

• 분석 도구, 추적, 원격 서버 없음.
• 신뢰 발신자 목록은 브라우저의 chrome.storage.sync에만 저장.
• HTML 첨부는 사용자의 브라우저 안 샌드박스 페이지에서만 렌더링. 어떤 정보도 외부로 전송하지 않음.
• 첨부 다운로드 자체는 이미 로그인된 메일 서비스의 정상 API로 수행.

라이선스

MIT