Comment voir où mène une URL courte avant de cliquer

Pour voir où mène un lien court sans le charger, demandez les en-têtes et arrêtez-vous là :

curl -sI https://s.elido.me/ab12cd

La première ligne de la réponse est le statut, et Location: est la vraie destination. Aucune partie de la page de destination n'est téléchargée, aucun script ne s'exécute, et vous voyez le domaine avant de décider quoi que ce soit.

Il y a une chose à clarifier dès le départ : ce n'est pas anonyme. Résoudre un lien court signifie demander au raccourcisseur de le résoudre, et le raccourcisseur enregistre cette requête de la même façon qu'il enregistre n'importe quelle autre. La prévisualisation vous montre où vous allez ; elle ne cache pas que vous avez regardé.

Si vous êtes de l'autre côté, en train de créer des liens plutôt que de les vérifier, les raccourcisseurs d'URL sont-ils sûrs explique pourquoi ce format suscite la méfiance en premier lieu.

Lire les en-têtes

Les options utiles :

curl -sI  https://s.elido.me/ab12cd                 # first hop only
curl -sIL https://s.elido.me/ab12cd | grep -Ei '^HTTP|^location'   # the whole chain

-I envoie une requête HEAD, -s supprime l'indicateur de progression et -L suit les redirections. Sans -L vous ne voyez qu'un seul saut, ce qui est le choix par défaut le plus sûr : lisez-le, décidez, puis suivez-le.

Les chaînes comptent plus qu'on ne le pense. Un lien qui commence sur un domaine réputé peut passer par deux redirections supplémentaires avant d'atterrir, et seule la dernière est l'endroit où vous arrivez réellement. La sémantique des statuts se trouve dans la RFC 9110 si vous voulez connaître la différence entre une redirection permanente et une redirection temporaire, ce qui détermine aussi si votre navigateur mettra la réponse en cache.

Sous Windows sans curl, Invoke-WebRequest -Method Head -MaximumRedirection 0 affiche le même en-tête, et le tutoriel PowerShell couvre les particularités de syntaxe.

Les trois autres méthodes, et ce qu'elles coûtent

Aperçus du fournisseur. Plusieurs raccourcisseurs ont historiquement pris en charge un suffixe, un + ou un ~ après le code, qui affiche une page d'information au lieu de rediriger. Là où il existe, c'est l'option la plus propre, car le fournisseur répond à une question sur son propre lien. Là où il n'existe pas, le suffixe fait simplement partie d'un slug qui n'existe pas et vous obtenez une erreur 404, ce qui est une bonne façon de le découvrir.

Sites d'expansion de liens. Collez, et le site récupère le lien pour vous. Pratique, et il faut bien comprendre l'implication : le site sait désormais quel lien vous a été envoyé, la destination qu'il résout, et que vous vous en méfiiez. Pour un lien marketing, cela ne change rien. Pour un lien dont le chemin contient un jeton d'invitation, un identifiant de document, ou un numéro de référence, vous avez livré à un tiers ce qui était censé rester privé.

Vérifications de réputation. L'outil de statut de site de Google Safe Browsing vous indique si un domaine a un antécédent connu. Utile, mais il faut bien interpréter la réponse : elle signale l'absence d'un problème connu, pas la présence de sécurité. Les nouveaux domaines de phishing sont propres jusqu'à ce que quelqu'un les signale.

Ce que développer un lien ne peut pas vous dire

Le domaine de destination n'est qu'un signal parmi d'autres, et il est facile de le faire paraître légitime. Les domaines imitateurs, un site légitime avec une page compromise, et une redirection qui se comporte différemment pour une IP de centre de données que pour un téléphone survivent tous à la vérification ci-dessus.

Trois habitudes valent mieux que n'importe quel outil :

Comparez la destination à ce qu'affirmait l'expéditeur. Un SMS de livraison qui aboutit à un domaine enregistré la semaine dernière trouve sa réponse.
Soyez plus prudent avec les liens arrivés de façon inattendue, quelle que soit leur destination.
Traitez un QR code comme un lien court que vous ne pouvez pas du tout lire, car c'est exactement ce qu'il est. Les QR codes sont-ils sûrs couvre la version "scannez d'abord, regardez ensuite" de ce problème.

Si vous créez les liens

Tout ce qui précède explique pourquoi le domaine sur lequel vous publiez compte plus que le slug. Un destinataire qui vérifie un lien depuis go.yourbrand.com apprend qui l'a envoyé rien qu'au domaine ; un lien sur un raccourcisseur public partagé ne lui apprend rien et ressemble à tous les autres.

C'est le même argument de réputation qui détermine si vos liens sont bloqués dans Slack et Teams et s'ils résistent aux filtres anti-spam. C'est aussi pourquoi les raccourcisseurs sérieux analysent les destinations à la création et les réanalysent ensuite, car une URL propre peut devenir malveillante après la création du lien : la checklist de sécurité des raccourcisseurs d'URL en est la version complète.

Publier sur un domaine que les gens reconnaissent se configure en cinq minutes. Créez un lien sur le plan gratuit et pointez-y votre propre domaine, et la vérification de sécurité de chaque destinataire jouera en votre faveur.

Lire la série pilier

Cet article appartient au cluster tutoriels. Comment fonctionnent les raccourcisseurs d'URL explique la redirection que vous êtes en train de lire, les raccourcisseurs d'URL sont-ils sûrs couvre la question de confiance, et les types de redirections couvre ce que signifie chaque code de statut dans cet en-tête.

Questions fréquentes

Comment voir où mène une URL courte sans l'ouvrir ?

Envoyez une requête HEAD et lisez l'en-tête Location : curl -sI https://s.elido.me/ab12cd affiche la ligne de statut et la destination sans télécharger la page. Le raccourcisseur enregistre tout de même qu'une requête a été effectuée, donc c'est un moyen de voir la destination, pas un moyen d'être invisible.

Puis-je prévisualiser un lien court dans un navigateur ?

Certains fournisseurs prennent en charge un suffixe de prévisualisation, historiquement un + ou un ~ après le code, qui affiche une page d'information au lieu de rediriger. Cela ne fonctionne que là où le fournisseur l'a implémenté, donc considérez un suffixe qui redirige simplement comme un signe que ce fournisseur ne prend pas en charge la prévisualisation.

Les sites d'expansion de liens sont-ils sûrs à utiliser ?

Ils fonctionnent, et ils voient tout ce que vous collez. Le site apprend quel lien vous a été envoyé et le récupère généralement depuis ses propres serveurs, ce qui signifie qu'il enregistre aussi la destination. Pour un lien marketing ordinaire, cela n'a pas d'importance ; pour un lien contenant un jeton ou un identifiant dans le chemin, c'est une fuite.

La prévisualisation d'un lien court compte-t-elle comme un clic ?

En général, oui. Une requête HEAD ou une récupération par un site d'expansion atteint la redirection et est enregistrée comme n'importe quelle autre visite, donc les statistiques peuvent afficher un clic supplémentaire depuis un lieu inhabituel. Il n'existe aucun moyen de résoudre un lien court sans interroger le raccourcisseur, et c'est cette interrogation qui est enregistrée.

Comment savoir si la destination est dangereuse ?

Développer le lien vous dit où vous allez, pas si c'est sûr. Vérifiez le domaine auprès d'un service de réputation tel que Google Safe Browsing, et méfiez-vous d'un écart entre ce qu'affirme l'expéditeur et le domaine réel. Un résultat de réputation propre n'est pas une preuve de sécurité, seulement l'absence d'antécédent connu.

Que se passe-t-il si le lien court pointe vers un autre lien court ?

Les chaînes de redirection sont courantes et chaque saut doit être lu, car une chaîne qui commence sur un domaine réputé peut se terminer n'importe où. Suivez toute la chaîne avec curl -sIL et lisez chaque en-tête Location, plutôt que le premier seulement.

Essayer Elido

Collez une URL, obtenez un lien court

Sans inscription. Lien actif 30 jours. Inscrivez-vous pour le garder pour toujours.

Gratuit, sans inscription · 2 par jour