Come vedere dove va un URL breve prima di cliccare

Per vedere dove va uno short link senza caricarlo, chiedi gli header e fermati lì:

curl -sI https://s.elido.me/ab12cd

La prima riga della risposta è lo stato, e Location: è la destinazione reale. Nulla della pagina di destinazione viene scaricato, nessuno script viene eseguito, e vedi il dominio prima di decidere qualunque cosa.

Una cosa va chiarita subito: questo non è anonimo. Risolvere uno short link significa chiedere allo shortener di risolverlo, e lo shortener registra quella richiesta allo stesso modo in cui registra qualsiasi altra. L'anteprima ti mostra dove stai andando; non nasconde il fatto che hai guardato.

Se sei dall'altra parte, e crei link invece di controllarli, gli URL shortener sono sicuri spiega perché questo formato attira sospetti fin dall'inizio.

Leggere gli header

I flag utili:

curl -sI  https://s.elido.me/ab12cd                 # first hop only
curl -sIL https://s.elido.me/ab12cd | grep -Ei '^HTTP|^location'   # the whole chain

-I invia una richiesta HEAD, -s silenzia la barra di progresso, -L segue i redirect. Senza -L vedi un solo salto, che è l'impostazione predefinita più sicura: leggilo, decidi, poi segui.

Le catene contano più di quanto la gente si aspetti. Un link che inizia su un dominio affidabile può passare per altri due prima di atterrare, e solo l'ultimo è dove finisci davvero. La semantica degli stati è in RFC 9110 se vuoi la differenza tra un redirect permanente e uno temporaneo, che decide anche se il browser metterà in cache la risposta.

Su Windows senza curl, Invoke-WebRequest -Method Head -MaximumRedirection 0 stampa lo stesso header, e la guida PowerShell copre le stranezze di sintassi.

Gli altri tre metodi, e cosa costano

Anteprime del provider. Diversi shortener hanno storicamente supportato un suffisso, un + o una ~ dopo il codice, che mostra una pagina informativa invece di reindirizzare. Dove esiste, è l'opzione più pulita, perché è il provider stesso a rispondere a una domanda sul proprio link. Dove non esiste, il suffisso è semplicemente parte di uno slug che non esiste e ottieni un 404, il che è un buon modo per scoprirlo.

Siti di espansione. Incolli, e il sito recupera il link al posto tuo. Comodo, e utile da capire: il sito ora sa quale link ti è stato inviato, la destinazione a cui punta, e che sei stato cauto al riguardo. Per un link di marketing non è nulla. Per un link il cui percorso contiene un token di invito, un id di un documento, o un numero di riferimento, hai consegnato a terzi proprio la cosa che doveva restare privata.

Controlli di reputazione. Lo strumento di stato dei siti di Google Safe Browsing ti dice se un dominio ha precedenti negativi conosciuti. Utile, ma leggi la risposta correttamente: riporta l'assenza di un problema noto, non la presenza di sicurezza. I nuovi domini di phishing sono puliti finché qualcuno non li segnala.

Cosa non può dirti l'espansione

Il dominio di destinazione è un solo segnale ed è facile farlo sembrare a posto. I domini simili (lookalike), un sito legittimo con una pagina compromessa, e un redirect che si comporta diversamente per un IP da datacenter rispetto a un telefono sopravvivono tutti al controllo qui sopra.

Tre abitudini fanno più di qualsiasi strumento:

Confronta la destinazione con quello che ha dichiarato il mittente. Un sms da corriere che si risolve in un dominio registrato la settimana scorsa ha già la sua risposta.
Fai più attenzione ai link arrivati inaspettatamente, qualunque cosa risolvano.
Tratta un codice QR come uno short link che non puoi leggere affatto, perché è esattamente quello che è. I codici QR sono sicuri copre la versione scansiona-prima-guarda-dopo di questo problema.

Se sei tu a creare i link

Tutto quanto sopra spiega perché il dominio su cui pubblichi conta più dello slug. Un destinatario che controlla un link da go.yourbrand.com capisce chi lo ha inviato solo dal dominio; un link su uno shortener pubblico condiviso non gli dice nulla e sembra uguale a tutti gli altri.

È lo stesso argomento di reputazione che decide se i link vengono bloccati su Slack e Teams e se sopravvivono ai filtri email. È anche il motivo per cui gli shortener seri scansionano le destinazioni al momento della creazione e le riscansionano più tardi, dato che un URL pulito può diventare malevolo dopo che il link è stato creato: la checklist di sicurezza degli URL shortener è la versione completa.

Pubblicare su un dominio che le persone riconoscono richiede cinque minuti di configurazione. Crea un link sul piano gratuito e punta il tuo dominio su di esso, e il controllo di sicurezza di ogni destinatario risponderà a tuo favore.

Leggi la serie cornerstone

Si inserisce nel cluster tutorials. Come funzionano gli URL shortener spiega il redirect che stai leggendo, gli URL shortener sono sicuri copre la questione della fiducia, e i tipi di redirect copre cosa significa ciascun codice di stato in quell'header.

Domande frequenti

Come vedo dove va un URL breve senza aprirlo?

Invia una richiesta HEAD e leggi l'header Location: curl -sI https://s.elido.me/ab12cd stampa la riga di stato e la destinazione senza scaricare la pagina. Lo shortener registra comunque che qualcosa ha chiesto, quindi questo è un modo per vedere la destinazione, non un modo per essere invisibili.

Posso vedere l'anteprima di uno short link nel browser?

Alcuni provider supportano un suffisso di anteprima, storicamente un + o una ~ dopo il codice, che mostra una pagina informativa invece di reindirizzare. Funziona solo dove il provider lo implementa, quindi considera un suffisso che si limita a reindirizzare come un segno che questo provider non supporta l'anteprima.

I siti di espansione URL sono sicuri da usare?

Funzionano, e vedono tutto quello che incolli. Il sito viene a sapere quale link ti è stato inviato e di solito lo recupera dai propri server, il che significa che registra anche la destinazione. Per un normale link di marketing questo è irrilevante; per un link che contiene un token o un identificatore nel percorso, è una fuga di dati.

L'anteprima di uno short link conta come un click?

Di solito sì. Una richiesta HEAD o il recupero di un expander raggiunge il redirect e viene registrato come qualsiasi altro accesso, quindi le analytics possono mostrare un click in più da una posizione insolita. Non c'è modo di risolvere uno short link senza chiedere allo shortener, ed è la richiesta stessa a essere registrata.

Come posso capire se la destinazione è pericolosa?

Espandere ti dice dove stai andando, non se è sicuro. Controlla il dominio con un servizio di reputazione come Google Safe Browsing, e diffida di una discrepanza tra ciò che dichiara il mittente e il dominio reale. Un risultato di reputazione pulito non è una prova di sicurezza, solo l'assenza di un precedente negativo conosciuto.

Cosa succede se lo short link punta a un altro short link?

Le catene di redirect sono comuni e ogni salto va letto, perché una catena che inizia su un dominio affidabile può finire ovunque. Segui l'intera catena con curl -sIL e leggi ogni header Location, non solo il primo.

Prova Elido

Incolla un URL, ottieni un link breve

Senza registrazione. Il link vive 30 giorni. Iscriviti per conservarlo.

Gratis, nessuna registrazione richiesta · 2 al giorno