Om te zien waar een korte link naartoe gaat zonder hem te laden, vraag je de headers op en stop je daar:
curl -sI https://s.elido.me/ab12cd
De eerste regel van de response is de status, en Location: is de echte bestemming. Er wordt niets van de bestemmingspagina gedownload, er draaien geen scripts, en je ziet het domein voordat je iets beslist.
Eén ding om vooraf duidelijk te maken: dit is niet anoniem. Een korte link herleiden betekent dat je de shortener vraagt om hem te herleiden, en de shortener registreert dat verzoek op dezelfde manier als elk ander. Previewen laat je zien waar je naartoe gaat; het verbergt niet dat je hebt gekeken.
Als je aan de andere kant staat, links maakt in plaats van ze te controleren, dan legt zijn URL-shorteners veilig uit waarom dit formaat sowieso achterdocht oproept.
De headers lezen
De nuttige flags:
curl -sI https://s.elido.me/ab12cd # first hop only
curl -sIL https://s.elido.me/ab12cd | grep -Ei '^HTTP|^location' # the whole chain
-I stuurt een HEAD-verzoek, -s onderdrukt de voortgangsindicator, -L volgt redirects. Zonder -L zie je één hop, wat de veiligere standaard is: lees hem, beslis, en volg dan pas.
Ketens zijn belangrijker dan mensen verwachten. Een link die begint op een betrouwbaar domein kan nog twee keer doorschakelen voordat hij landt, en alleen de laatste is waar je daadwerkelijk terechtkomt. De statussemantiek staat in RFC 9110 als je het verschil wilt weten tussen een permanente en een tijdelijke redirect, wat ook bepaalt of je browser het antwoord cachet.
Op Windows zonder curl toont Invoke-WebRequest -Method Head -MaximumRedirection 0 dezelfde header, en de PowerShell-walkthrough behandelt de eigenaardigheden van de syntax.
De andere drie methoden en wat ze kosten
Previews van de provider. Verschillende shorteners ondersteunden van oudsher een suffix, een + of een ~ na de code, die een informatiepagina toont in plaats van door te sturen. Waar dit bestaat, is het de schoonste optie, omdat de provider een vraag beantwoordt over zijn eigen link. Waar dit niet bestaat, is het suffix gewoon onderdeel van een slug die niet bestaat en krijg je een 404, wat een prima manier is om daarachter te komen.
Expanderwebsites. Plak de link, en de site haalt hem voor je op. Handig, en de moeite van het begrijpen waard: de site weet nu welke link je is gestuurd, waar hij naartoe leidt, en dat je er voorzichtig mee was. Voor een marketinglink is dat niets. Voor een link waarvan het pad een uitnodigingstoken, een document-id, of een referentienummer bevat, heb je een derde partij precies dat gegeven wat privé had moeten blijven.
Reputatiechecks. De sitestatustool van Google Safe Browsing vertelt je of een domein een bekend slecht record heeft. Nuttig, maar lees het antwoord goed: het meldt de afwezigheid van een bekend probleem, niet de aanwezigheid van veiligheid. Nieuwe phishingdomeinen zijn schoon totdat iemand ze rapporteert.
Wat natrekken je niet vertelt
Het bestemmingsdomein is één signaal, en het is makkelijk om dat er kloppend uit te laten zien. Lookalike-domeinen, een legitieme site met een gecompromitteerde pagina erop, en een redirect die zich anders gedraagt voor een datacenter-IP dan voor een telefoon, overleven allemaal de controle hierboven.
Drie gewoontes doen meer dan welke tool dan ook:
- Vergelijk de bestemming met wat de afzender beweerde. Een bezorgsms die uitkomt op een domein dat vorige week is geregistreerd, is daarmee beantwoord.
- Wees voorzichtiger met links die onverwacht binnenkomen, ongeacht waar ze naartoe blijken te leiden.
- Behandel een QR-code als een korte link die je helemaal niet kunt lezen, want dat is precies wat het is. Zijn QR-codes veilig behandelt de scan-eerst-kijk-later-versie van dit probleem.
Als je de links maakt
Alles hierboven is de reden waarom het domein waarop je publiceert belangrijker is dan de slug. Een ontvanger die een link van go.yourbrand.com controleert, leert alleen al aan het domein wie hem heeft gestuurd; een link op een gedeelde publieke shortener vertelt niets en ziet eruit als al het andere.
Dat is hetzelfde reputatie-argument dat bepaalt of links geblokkeerd worden in Slack en Teams en of ze e-mailfilters overleven. Het is ook de reden waarom serieuze shorteners bestemmingen scannen bij het aanmaken en later opnieuw scannen, omdat een schone URL kwaadaardig kan worden nadat de link is gemaakt: de beveiligingschecklist voor URL-shorteners is de volledige versie.
Publiceren op een domein dat mensen herkennen is in vijf minuten geregeld. Maak een link aan op het gratis plan en wijs je eigen domein ernaar toe, en de veiligheidscontrole van elke ontvanger valt in jouw voordeel uit.
Lees de cornerstone-serie
Dit artikel valt onder de tutorials-cluster. Hoe URL-shorteners werken legt de redirect uit die je aan het lezen bent, zijn URL-shorteners veilig behandelt de vertrouwensvraag, en soorten redirects behandelt wat elke statuscode in die header betekent.
Gerelateerd op de blog
Veelgestelde vragen
Hoe zie ik waar een korte URL naartoe gaat zonder hem te openen?
Stuur een HEAD-verzoek en lees de Location header: curl -sI https://s.elido.me/ab12cd toont de statusregel en de bestemming zonder de pagina te downloaden. De shortener registreert nog steeds dat er iets is opgevraagd, dus dit is een manier om de bestemming te zien, niet om onzichtbaar te zijn.
Kan ik een korte link in een browser previewen?
Sommige providers ondersteunen een preview-suffix, van oudsher een + of een ~ na de code, die een informatiepagina toont in plaats van door te sturen. Dit werkt alleen als de provider het ondersteunt, dus als een suffix gewoon doorstuurt, is dat een teken dat deze provider geen preview biedt.
Zijn URL-expanderwebsites veilig om te gebruiken?
Ze werken, en ze zien alles wat je plakt. De site komt te weten welke link je hebt ontvangen en haalt hem meestal op via zijn eigen servers, wat betekent dat hij ook de bestemming logt. Voor een gewone marketinglink is dat onbelangrijk; voor een link met een token of een identifier in het pad is het een lek.
Telt het previewen van een korte link als een klik?
Meestal wel. Een HEAD-verzoek of het ophalen van de link door een expander bereikt de redirect en wordt geregistreerd als elke andere hit, dus analytics kan een extra klik tonen vanaf een ongebruikelijke locatie. Er is geen manier om een korte link te herleiden zonder de shortener iets te vragen, en dat vragen is wat wordt gelogd.
Hoe kan ik zien of de bestemming gevaarlijk is?
Het natrekken van de link vertelt je waar je naartoe gaat, niet of het veilig is. Controleer het domein bij een reputatiedienst zoals Google Safe Browsing, en wees achterdochtig bij een mismatch tussen wat de afzender beweert en het echte domein. Een schoon reputatieresultaat is geen bewijs van veiligheid, alleen de afwezigheid van een bekend slecht record.
Wat als de korte link naar een andere korte link wijst?
Redirectketens komen vaak voor en elke hop moet gelezen worden, omdat een keten die begint op een betrouwbaar domein overal kan eindigen. Volg de hele keten met curl -sIL en lees elke Location header, in plaats van alleen de eerste.
Probeer Elido
Plak een URL, krijg een werkende korte link
Geen aanmelding nodig. Link blijft 30 dagen actief. Meld je aan om hem voor altijd te bewaren.
Gratis, geen aanmelding nodig · 2 per dag