Безопасны ли короткие ссылки и как проверить перед кликом

Короткая ссылка прячет, куда она ведёт. В этом её смысл — и ровно поэтому её так любит фишинг. Когда вам присылают example.link/x7g2, единственное, по чему вы обычно судите о ссылке, — домен — просто исчезает.

Так безопасны ли короткие ссылки? Честный ответ: риск не в ссылке, а в адресе назначения. Короткая ссылка — это редирект, а редирект ровно настолько надёжен, насколько надёжно то, что стоит в его конце. Дальше — о том, как разглядеть это «то» до того, как вы во что-то ввяжетесь.

Посмотрите, не заходя

Самая простая проверка — сначала посмотреть, потом прыгать. Многие сокращатели дают предпросмотр, который показывает адрес назначения, никуда вас не отправляя. На urlik.xyz ссылки, созданные в режиме предпросмотра, показывают заголовок, описание и хост цели на промежуточной странице — и вы решаете, имея домен перед глазами, а не после того, как уже приземлились.

Есть и сторонние сервисы-«разворачиватели», которые резолвят короткую ссылку и показывают конечный URL. Оба подхода отвечают на один и тот же вопрос: куда это на самом деле ведёт?

Читайте адрес как профессионал

Когда конечный URL перед вами, прочитайте его правильно — большая часть фишинга умирает именно здесь:

• Читайте домен справа налево. Настоящий домен — это то, что стоит прямо перед первым одиночным слешем. В адресе paypal.com.secure-login.xyz/account домен — это secure-login.xyz, а никакой не PayPal. Всё, что левее, — декорация.
• Ищите подделки-двойники.rnicrosoft.com, paypa1.com, arnazon.com. Настоящие бренды с собой такого не делают.
• Не верьте спешке. «Ваш аккаунт будет закрыт через 24 часа» — это не регламент службы поддержки, это приём. Срочность существует, чтобы вы не успели прочитать домен.
• HTTPS — не знак качества. Замочек означает, что соединение зашифровано, а не что сайт честный. У фишинговых сайтов сертификаты тоже есть — они бесплатные.
• Никогда не вводите пароли по ссылке из письма. Если сообщение уверяет, что вы срочно нужны банку, закройте его и наберите адрес банка руками. Одна эта привычка обезвреживает почти весь фишинг за паролями — без всякой квалификации.

Оценивайте отправителя, а не только ссылку

Контекст делает основную работу. Короткая ссылка от коллеги в переписке, которая и так шла, — это одно. Короткая ссылка в SMS с незнакомого номера про посылку, которую вы не заказывали, — совсем другое. Незапрошенное плюс короткое плюс срочное — это форма почти каждой фишинговой попытки.

Обратите внимание и на тех, кто короткими ссылками не пользуется. Вашему банку незачем экономить символы. Настоящие организации ведут на собственный домен.

Что делает приличный сокращатель со своей стороны

Ответственные сервисы не просто раздают редиректы и надеются на лучшее:

• Проверка. Адреса назначения сверяются со списками вредоносных и фишинговых сайтов, а заведомо плохие отклоняются ещё при создании.
• Режим предпросмотра. Промежуточная страница, которая показывает цель перед переходом.
• Жалобы. Возможность любому пожаловаться на ссылку, чтобы её заблокировали. У urlik ссылка на жалобу есть на каждой странице предпросмотра.
• Блокировка. Способность погасить живую ссылку в момент, когда её вредоносность подтвердилась, — и именно поэтому работа с абьюзом важнее любого списка функций.

urlik делает все четыре вещи. Правда, никакая проверка не ловит всё: свежесозданный фишинговый домен первые несколько часов неизвестен ни одному чёрному списку. Считайте проверку сеткой, а не гарантией.

Если ссылки рассылаете вы

Короткие ссылки встречают косым взглядом из-за мошенников, и это подозрение достаётся вам по наследству. Большую его часть можно вернуть обратно:

• Используйте читаемый псевдоним./spring-sale говорит читателю, что это. /a8f2k1 не говорит ничего и выглядит сгенерированным.
• Используйте свой домен. Брендированная короткая ссылка несёт ваше имя прямо в домене и возвращает тот самый сигнал доверия, который обычный сокращатель отнимает, — это самое сильное лекарство из доступных. См. брендированные короткие ссылки.
• Говорите, куда ведёт ссылка. «Все цены у нас на сайте: urlik.xyz/pricing» лучше голой ссылки.
• Не выстраивайте сокращатели цепочкой. Каждый лишний переход добавляет задержку и выглядит как отмывание.
• Ставьте пароль или срок, когда это уместно. Ссылка, которая работает только у нужного получателя или только до пятницы, обесценивает утечку. Для по-настоящему чувствительного лучше одноразовая зашифрованная передача, чем любая ссылка, оставленная где попало.

Вредят ли короткие ссылки SEO и доставляемости писем?

Две практичные тревоги, на которые стоит ответить. По SEO: сокращатель отдаёт нормальный редирект и передаёт вес адресу назначения, так что короткие ссылки в соцсетях ранжированию не мешают — просто не используйте их для внутренней навигации по сайту, где прямая ссылка попросту корректнее. По почте: репутационные сокращатели проблемы не создают, но сокращатель, чей домен тонет в спаме, легко утащит ваше письмо в «Промоакции» или «Спам». Свой домен снимает вопрос целиком.

Коротко

Короткая ссылка — инструмент. Она безопасна, когда вы видите, куда она ведёт, и доверяете тому, кто её прислал, и опасна, когда ни того, ни другого. Смотрите предпросмотр до клика, читайте домен справа налево, никогда не вводите пароль на странице, куда вас привела ссылка. А если вы отправитель — брендируйте ссылки, чтобы никому не приходилось верить вам на слово. Если вы во всём этом новичок, начните с того, что вообще такое сокращатель ссылок.