Waarom korte links in Slack en Teams worden geblokkeerd

Korte links worden in Slack en Microsoft Teams geblokkeerd omdat een gedeeld verkortdomein een beveiligingscheck niet doorstaat, niet omdat korte links van nature onveilig zijn. De gebruikelijke boosdoener is Microsoft Defender Safe Links, een zakelijk contentfilter of de eigen linkreputatiecheck van Slack. Alle drie stellen dezelfde vraag: wat weten we over dit domein, en kunnen we zien waar het heen leidt? Een gedeelde verkorter als bit.ly antwoordt op beide punten slecht, dus de link wordt herschreven naar een waarschuwing, verliest zijn preview of wordt geblokkeerd. Zet dezelfde link op een eigen domein en de blokkades verdwijnen.

Dit is hetzelfde reputatieverhaal dat bepaalt of een korte link de bezorgbaarheid van e-mail schaadt, maar dan toegepast op teamchat in plaats van de inbox. Het past in het plaatje van linkbeheer: het domein waarop je links staan is een beveiligingssignaal, en jij kiest of dat signaal van een vreemde is of van jezelf.

Wat de link werkelijk blokkeert

Drie mechanismen verklaren bijna elke geblokkeerde korte link in teamchat. Het is nuttig ze uit elkaar te houden, want de oplossing is dezelfde maar het symptoom verschilt. Weet je nog niet zeker of je met een blokkade te maken hebt, diagnosticeer de link dan eerst: een domeinblokkade en een gewone 404 zien er in een chatclient hetzelfde uit en hebben niets met elkaar te maken.

Microsoft Defender Safe Links. In organisaties op Microsoft 365 halen Teams (en Outlook) URL's door Safe Links, een check op het moment van klikken die de bestemming op het moment van de klik vergelijkt met de dreigingsdata van Microsoft. Wantrouwt het een URL, dan stuurt het de klik naar een waarschuwingspagina in plaats van naar de bestemming. Een verkortdomein met een gemengde reputatie is een logisch doelwit.

URL-reputatie in Slack. Slack probeert een link om te zetten in een preview met titel en afbeelding, en daarbij hoort een controle van de URL. Een link op een domein met een slechte gezamenlijke reputatie kan zijn preview kwijtraken of gemarkeerd worden, en dat leest voor ontvangers als "deze link is verdacht."

Zakelijke netwerkfilters. Veel bedrijven draaien een webfilter of beveiligde gateway die bekende publieke verkortdomeinen in zijn geheel blokkeert, zodat het bericht aankomt maar de link op dat netwerk simpelweg niet opent.

Waarom gedeelde verkortdomeinen de check laten afgaan

Elk van die checks beoordeelt in feite het domein, en een gedeelde verkorter is het slechtst denkbare domein om op beoordeeld te worden.

• Gebundelde reputatie. Miljoenen afzenders gebruiken hetzelfde verkortdomein, dus de beveiligingsscore is een gemiddelde dat malware-operators en phishingcampagnes bevat. Jij erft dat gemiddelde, en een nette afzender op een domein met een slechte gezamenlijke score wordt nog steeds gepakt.
• Een verborgen bestemming. Een verkorter maskeert de echte URL achter een redirect. Dat is precies de techniek waarmee aanvallers een kwaadaardige link vermommen, dus een beveiligingsfilter behandelt een ondoorzichtige redirect op een onbekend domein als een risico op zich.

Let op wat het probleem niet is: de lengte van de link, of het feit dat je klikken bijhoudt. Een korte, getrackte link op een schoon domein komt er zonder moeite doorheen. Het probleem is specifiek de gedeelde, ondoorzichtige variant, en dat is hetzelfde onderscheid als waarom verkorte links elders als spam worden gemarkeerd.

De oplossing: een eigen domein dat je beheert

Het hele probleem is dat het domein niet van jou is. Maak het dus van jou. Een branded korte link draait op een domein dat alleen jij gebruikt, zoals go.jouwmerk.com, waardoor de reputatie alleen jouw gedrag weerspiegelt. Een Safe Links-check, een Slack-preview en een zakelijk filter beoordelen go.jouwmerk.com allemaal op zijn eigen geschiedenis, niet op de gebundelde score van een publieke verkorter. Is je gebruik schoon, dan komt de link erdoor en zien ontvangers een domein dat zichtbaar van jou is in plaats van een anonieme redirect. Eén platform accepteert dat antwoord niet: links plaatsen op Reddit legt uit waarom zelfs een nieuw branded kortdomein daar wordt gefilterd.

Je houdt alles wat de korte link nuttig maakte, de klikregistratie, de campagnetags en de mogelijkheid om een link na verzending om te zetten, en je leent er geen reputatie van een vreemde meer voor. Stel één keer een branded linkdomein in en elke link die je daarna in een kanaal plaatst, draagt jouw naam door het filter.

Word je nog steeds geblokkeerd?

Een eigen domein lost de reputatieoorzaak op, maar een paar werkgewoonten houden het schoon:

1. Houd de redirect bij één stap naar een eerlijke bestemming. Ketens van redirects zien er ontwijkend uit en wekken dezelfde achterdocht weer op.
2. Warm één branded domein op en blijf het gebruiken in plaats van domeinen te roteren, zodat de reputatie tijd heeft om te groeien.
3. Blokkeert een specifiek zakelijk netwerk de link nog steeds, dan kan een beheerder je branded domein toevoegen aan de Safe Links-allowlist van de organisatie. Omdat het domein van jou is, is dat verzoek makkelijk te onderbouwen en blijft het opgelost.

Stuur je veel naar interne kanalen, dan kan de Slack-bot voor het verkorten van links branded links inline aanmaken, zodat het hele team op het domein blijft dat erdoor komt. Een gedeelde verkorter op de allowlist zetten moet daarentegen voor elke werkruimte die je aanraakt opnieuw gebeuren en herstelt nooit de onderliggende score.

Lees de cornerstone-reeks

Dit hoort bij het engineeringcluster. De basis is wat linkbeheer is; de dichtstbijzijnde verwant is schaden korte links de bezorgbaarheid van e-mail, dezelfde reputatiemechaniek maar dan in de inbox.

Gerelateerd op de blog

• Schaden korte links de bezorgbaarheid van e-mail?
• Wat is een branded link? Korte links op je eigen domein
• Branded korte links instellen op je eigen domein
• Slack-bot voor het verkorten van links en meldingen
• Korte link doet het niet? Diagnosticeer hem met één opdracht
• Links plaatsen op Reddit zonder automatisch verwijderd te worden
• Safe Links: waarom Outlook je campagne-URL's herschrijft