Um link curto esconde para onde vai. É esse o objetivo — e é exatamente por isso que o phishing os adora. Quando alguém lhe manda example.link/x7g2, a única coisa que normalmente usaria para julgar um link, o domínio, desapareceu.

Então: os links curtos são seguros? A resposta honesta é que o risco não está no link. Está no destino. Um link curto é um redirecionamento, e um redirecionamento vale exatamente a confiança que merece a coisa que está no fim dele. O que se segue é como ver essa coisa antes de se comprometer.

Pré-visualize sem visitar

A verificação mais simples é olhar antes de saltar. Muitos encurtadores oferecem uma pré-visualização que mostra o destino sem o levar lá. No urlik.xyz, os links criados em modo de pré-visualização mostram o título, a descrição e o servidor do destino numa página intermédia, para que decida com o domínio à frente dos olhos e não depois de já lá ter aterrado.

Existem também serviços externos que expandem um link curto e revelam o URL final. As duas abordagens respondem à mesma pergunta: afinal, para onde é que isto vai?

Leia o destino como um profissional

Assim que consegue ver o URL final, leia-o como deve ser — porque é aqui que a maior parte do phishing morre:

  • Leia o domínio da direita para a esquerda. O domínio verdadeiro é o pedaço mesmo antes da primeira barra sozinha. Em paypal.com.secure-login.xyz/account, o domínio é secure-login.xyz, não é o PayPal. Tudo o que está à esquerda é decoração.
  • Procure sósias.rnicrosoft.com, paypa1.com, arnazon.com. As marcas a sério não fazem isto a si próprias.
  • Desconfie da urgência. «A sua conta será encerrada dentro de 24 horas» não é uma política de TI, é uma técnica. A urgência existe para o impedir de ler o domínio.
  • O HTTPS não é uma nota de segurança. Um cadeado quer dizer que a ligação está cifrada, não que o site é honesto. Os sites de phishing também têm certificados — são grátis.
  • Nunca introduza credenciais a partir de um link. Se uma mensagem diz que o banco precisa de si, feche-a e escreva você mesmo o endereço do banco. Só este hábito derrota quase todo o phishing de credenciais, sem exigir perícia nenhuma.

Julgue o remetente, não só o link

O contexto faz quase todo o trabalho. Um link curto de um colega numa conversa que já estava a decorrer é uma coisa; um link curto num SMS de um número desconhecido, sobre uma encomenda que não fez, é outra. Não solicitado + curto + urgente é a forma de praticamente todas as tentativas de phishing.

Repare também em quem não usa links curtos. O seu banco não precisa de poupar caracteres. As instituições a sério apontam para o domínio delas.

O que um encurtador decente faz do lado dele

Os serviços responsáveis não se limitam a distribuir redirecionamentos e a cruzar os dedos:

  • Filtragem. Os destinos são confrontados com listas de malware e de phishing, e os que já são conhecidos como maus são recusados logo na criação.
  • Modo de pré-visualização. Uma página intermédia que mostra o destino antes de continuar.
  • Denúncia. Uma forma de qualquer pessoa sinalizar um link para que seja bloqueado. O urlik tem um link de denúncia em cada página de pré-visualização.
  • Bloqueio. A capacidade de matar um link ativo assim que se confirma que é malicioso — e é por isso que o tratamento de abusos importa mais do que qualquer lista de funcionalidades.

O urlik faz as quatro coisas. Mas nenhuma filtragem apanha tudo — um domínio de phishing acabadinho de criar é desconhecido de todas as listas nas primeiras horas de vida. Trate a filtragem como uma rede, não como uma garantia.

Se é você quem envia os links

Os links curtos são olhados de lado por causa dos burlões, e essa desconfiança cai-lhe em cima. Pode devolver quase toda:

  • Use um alias legível./spring-sale diz ao leitor do que se trata. /a8f2k1 não diz nada e cheira a coisa gerada por uma máquina.
  • Use um domínio seu. Um link curto com marca leva o seu nome no domínio, o que devolve o sinal de confiança que um encurtador genérico rouba — é a melhor correção disponível, de longe. Veja links curtos com marca.
  • Diga para onde vai. «Preços completos no nosso site: urlik.xyz/pricing» ganha a um link atirado à toa.
  • Não encadeie encurtadores. Cada salto extra acrescenta latência e parece branqueamento.
  • Ponha palavra-passe ou validade quando fizer sentido. Um link que só funciona para o destinatário certo, ou só até sexta-feira, limita o que vale uma fuga. Para material mesmo sensível, um envio cifrado de uso único ganha a qualquer link deixado à solta.

Os links curtos prejudicam o SEO ou a entrega de e-mail?

Duas preocupações práticas que merecem resposta. No SEO, um encurtador que faz um redirecionamento como deve ser passa autoridade ao destino, por isso links curtos em publicações sociais não são problema de ranking — só não os use na navegação interna do seu site, onde um link direto é simplesmente o correto. No e-mail, os encurtadores de boa reputação não fazem mal, mas um encurtador cujo domínio está atolado em spam pode arrastar a sua mensagem para o lixo. Um domínio seu evita isso por completo.

Em resumo

Os links curtos são uma ferramenta. São seguros quando consegue ver para onde vão e confia em quem os enviou, e perigosos quando não consegue nem confia. Pré-visualize antes de clicar, leia o domínio da direita para a esquerda, nunca escreva uma palavra-passe numa página a que um link o levou — e, se é você o remetente, ponha a sua marca nos links para que ninguém tenha de acreditar em si por fé. Se isto tudo é novo para si, comece por o que é, afinal, um encurtador de URL.