Щоб побачити, куди веде коротке посилання, не завантажуючи його, запитайте заголовки - і зупиніться на цьому:
curl -sI https://s.elido.me/ab12cd
Перший рядок відповіді - це статус, а Location: - справжнє призначення. Нічого зі сторінки призначення не завантажується, жоден скрипт не запускається, і ви бачите домен, перш ніж щось вирішувати.
Одна річ, яку варто прояснити одразу: це не анонімно. Зрезолвити коротке посилання означає попросити скорочувач зробити це за вас, а скорочувач фіксує цей запит так само, як і будь-який інший. Попередній перегляд показує, куди ви йдете; він не приховує того, що ви туди зазирнули.
Якщо ви по інший бік цього процесу - створюєте посилання, а не перевіряєте їх - чи безпечні скорочувачі URL розглядає, чому цей формат узагалі викликає підозру.
Читання заголовків
Корисні прапорці:
curl -sI https://s.elido.me/ab12cd # first hop only
curl -sIL https://s.elido.me/ab12cd | grep -Ei '^HTTP|^location' # the whole chain
-I надсилає HEAD-запит, -s вимикає індикатор прогресу, -L дозволяє переходити за редиректами. Без -L ви бачите один стрибок, що є безпечнішим варіантом за замовчуванням: прочитайте його, вирішіть, а тоді переходьте.
Ланцюжки мають більше значення, ніж очікують люди. Посилання, яке починається на репутаційному домені, може пройти ще через два, перш ніж досягти мети, і лише останній - те місце, куди ви насправді потрапляєте. Семантика кодів стану описана в RFC 9110, якщо вам потрібна різниця між постійним і тимчасовим редиректом, яка також визначає, чи закешує браузер відповідь.
У Windows без curl Invoke-WebRequest -Method Head -MaximumRedirection 0 виводить той самий заголовок, а покроковий розбір для PowerShell розглядає особливості синтаксису.
Інші три методи і чого вони коштують
Попередній перегляд від провайдера. Кілька скорочувачів історично підтримували суфікс, + або ~ після коду, який показує інформаційну сторінку замість редиректу. Там, де він є, це найчистіший варіант, бо провайдер відповідає на запитання про своє власне посилання. Там, де його немає, суфікс - це просто частина слага, якого не існує, і ви отримуєте 404, що теж непоганий спосіб про це дізнатися.
Сайти-розгортачі. Вставляєте посилання - і сайт завантажує його за вас. Зручно, і варто розуміти чому: тепер сайт знає, яке посилання вам надіслали, куди воно веде і те, що ви поставилися до нього обережно. Для маркетингового посилання це не має значення. А для посилання, шлях якого містить токен запрошення, ідентифікатор документа або референсний номер, ви щойно передали третій стороні те, що мало лишатися приватним.
Перевірка репутації. Інструмент перевірки статусу сайту від Google Safe Browsing показує, чи має домен відомий поганий запис. Корисно, але читайте відповідь правильно: він повідомляє про відсутність відомої проблеми, а не про наявність безпеки. Нові фішингові домени лишаються чистими, доки хтось на них не поскаржиться.
Чого розгортання не може вам сказати
Домен призначення - це лише один сигнал, і його легко зробити таким, що виглядає правильно. Домени-двійники, легітимний сайт зі зламаною сторінкою на ньому та редирект, який поводиться інакше для IP-адреси дата-центру, ніж для телефону, - усе це успішно проходить перевірку вище.
Три звички дають більше, ніж будь-який інструмент:
- Звіряйте призначення з тим, що стверджував відправник. СМС нібито від кур'єрської служби, яке резолвиться в домен, зареєстрований минулого тижня, - це вже відповідь.
- Будьте обережнішими з посиланнями, які прийшли несподівано, хоч би куди вони вели.
- Ставтеся до QR-коду як до короткого посилання, яке ви взагалі не можете прочитати, бо це саме те, чим він і є. Чи безпечні QR-коди розглядає версію цієї проблеми, де спершу сканують, а дивляться вже потім.
Якщо ви створюєте посилання
Усе описане вище - причина, чому домен, на якому ви публікуєте посилання, важить більше, ніж слаг. Отримувач, який перевіряє посилання з go.yourbrand.com, дізнається, хто його надіслав, лише за доменом; посилання на спільному публічному скорочувачі не каже нічого і виглядає так само, як усі інші.
Це той самий аргумент про репутацію, який визначає, чи посилання блокуються в Slack і Teams і чи вони переживають фільтри пошти. Саме тому серйозні скорочувачі сканують призначення в момент створення посилання та повторно пізніше, адже чиста URL-адреса може стати шкідливою вже після того, як посилання створено: чекліст безпеки скорочувача URL - повна версія цього.
Публікація на домені, який люди впізнають, - це налаштування на п'ять хвилин. Створіть посилання на безкоштовному плані і спрямуйте на нього власний домен - і перевірка безпеки в кожного отримувача відповість на вашу користь.
Читайте серію ключових матеріалів
Цей матеріал належить до навчального кластера. Як працюють скорочувачі URL пояснює редирект, який ви щойно прочитали, чи безпечні скорочувачі URL розглядає питання довіри, а типи редиректів розглядає, що означає кожен код стану в цьому заголовку.
Ще в блозі
Поширені запитання
Як побачити, куди веде коротке посилання, не відкриваючи його?
Надішліть HEAD-запит і прочитайте заголовок Location: curl -sI https://s.elido.me/ab12cd виводить рядок статусу та призначення без завантаження сторінки. Скорочувач все одно фіксує, що хтось про це запитав, тож це спосіб побачити призначення, а не спосіб бути невидимим.
Чи можна переглянути коротке посилання в браузері?
Деякі провайдери підтримують суфікс попереднього перегляду, історично це + або ~ після коду, який показує інформаційну сторінку замість редиректу. Це працює, лише якщо провайдер це реалізував, тож суфікс, який просто редиректить, варто сприймати як ознаку того, що цей провайдер не підтримує попередній перегляд.
Чи безпечно користуватися сайтами-розгортачами URL-адрес?
Вони працюють, і вони бачать усе, що ви вставляєте. Сайт дізнається, яке посилання вам надіслали, і зазвичай завантажує його зі своїх власних серверів, а це означає, що він також фіксує призначення. Для звичайного маркетингового посилання це не має значення; для посилання, яке містить токен або ідентифікатор у шляху, це витік.
Чи вважається перегляд короткого посилання кліком?
Зазвичай так. HEAD-запит або запит розгортача досягає редиректу і фіксується так само, як і будь-який інший перехід, тож аналітика може показати додатковий клік із незвичного місця. Немає способу зрезолвити коротке посилання, не звернувшись до скорочувача, а саме звернення і фіксується.
Як зрозуміти, чи небезпечне призначення?
Розгортання показує, куди ви йдете, а не чи це безпечно. Перевірте домен через сервіс репутації, наприклад Google Safe Browsing, і насторожуйтеся, якщо є розбіжність між тим, що стверджує відправник, і справжнім доменом. Чистий результат перевірки репутації - не доказ безпеки, а лише відсутність відомого поганого запису.
Що робити, якщо коротке посилання веде на інше коротке посилання?
Ланцюжки редиректів - звичайна річ, і кожен стрибок потрібно прочитати, бо ланцюжок, який починається на репутаційному домені, може закінчитися будь-де. Пройдіть увесь ланцюжок за допомогою curl -sIL і прочитайте кожен заголовок Location, а не лише перший.
Спробуйте Elido
Вставте URL - отримайте коротке посилання
Без реєстрації. Посилання живе 30 днів. Зареєструйтесь, щоб зберегти назавжди.
Безкоштовно, без реєстрації · 2 на день