Einen Link in Protokoll, Host, Port, Pfad, Query und Fragment zerlegen, so wie der Browser es tut.
Link-Entpacker
Läuft lokalNeu
Das Tool selbst ist auf Englisch; auf dieser Seite wird es in Ihrer Sprache erklärt.
Link-Entpacker verwenden
Was es bewirkt
Fügen Sie einen oder mehrere umgeschriebene Links oder eine ganze Nachricht ein, um jede Hüllschicht zu sehen, das endgültige Ziel in entschärfter Form und Warnzeichen wie einen Benutzernamen vor @, einen IP-Host oder Punycode.
Es läuft vollständig in Ihrem Browser: Es werden keine Ihrer Eingaben hochgeladen.
So verwenden Sie Link-Entpacker
- Link oder Nachricht einfügen. Fügen Sie einen umhüllten Link pro Zeile oder eine ganze E-Mail, Chatnachricht oder einen HTML-Quelltext ein. Entschärfte Links wie hxxps://example[.]com werden akzeptiert, bis zu 500 Links und 1 MB Text.
- Entpacken. Drücken Sie Unwrap (Entpacken) oder Strg+Enter. Auch das Einfügen in das Feld startet den Durchlauf. Nichts wird irgendwohin gesendet.
- Schichten lesen. Jedes Ergebnis listet die Hüllen der Reihe nach auf, mit dem Parameter, der die nächste Adresse enthielt, zum Beispiel Google redirect, q.
- Ziel prüfen. Das Feld Destination zeigt die endgültige Adresse entschärft, sodass sie nicht anklickbar ist. Copy raw liefert die funktionierende Adresse für Notizen oder eine Meldung.
- Warnungen lesen. Rote Warnungen stehen zuerst, dann gelbe. Gibt es keine, denken Sie daran, dass das Tool nur die Adresse liest, nicht den Ruf der Website.
- Weitergeben. Öffnen Sie das Ziel mit Send to… in URL Parser oder Homoglyph Checker, oder verwenden Sie Copy all destinations, wenn die Nachricht mehrere Links enthielt.
Beispiel
Safe Links um URL Defense
https://nam12.safelinks.protection.outlook.com/?url=https%3A%2F%2Furldefense.com%2Fv3%2F__https%3A%2F%2Flogin.example.com%40198.51.100.7%2Fverify*id%3D1__%3BPw!!AbCdEf!GhIjKl%24&data=05%7C02%7C%7Cc0ffee%7C0&reserved=01 link: 1 unwrapped, 1 with warnings.
Result 2 layers
Microsoft Defender Safe Links url
→ hxxps://urldefense[.]com/v3/__https://login[.]example[.]com[@]198[.]51[.]100[.]7/verify*id=1__;Pw!!AbCdEf!GhIjKl$
Proofpoint URL Defense path __…__ with 1 replaced character(s)
→ hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1
Destination
hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1
Copy raw
The URL has a user-info part before "@" ("login[.]example[.]com"). Browsers ignore it and go to 198[.]51[.]100[.]7.
The host is a bare IP address (198[.]51[.]100[.]7) instead of a domain name.Zwei Schichten: Microsoft Defender Safe Links, dann Proofpoint URL Defense v3, das das hinter * versteckte ? wiederherstellt. Das Ziel hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1 wird markiert: Der Text vor @ ist nur ein Benutzername, und der echte Host ist die IP 198.51.100.7.
Was dabei geprüft wird
| Signal | Was das bedeutet |
|---|---|
| Hüllschichten | Jede bekannte Hülle und jeder Weiterleitungsparameter wird Schicht für Schicht dekodiert, bis zu 10 Schichten. Verschachtelte Schichten können in weitergeleiteten E-Mails normal sein, verbergen die Adresse aber auch vor einem flüchtigen Blick. |
| Benutzername vor @ (rot) | In https://login.example.com@198.51.100.7/ ist alles vor @ nur ein Benutzername. Der Browser geht zum Host danach, der vertraute Name ist also nur Dekoration. |
| IP-Adresse als Host | Ein reiner IPv4- oder IPv6-Host erhält eine gelbe Warnung. Ein Host, der als eine einzige Dezimal- oder Hexzahl oder in einer anderen ungewöhnlichen Form geschrieben ist, ist rot und wird mit der Adresse angezeigt, die der Browser tatsächlich öffnen würde. |
| Internationalisierter Host | Ein Host mit Nicht-ASCII-Buchstaben oder einem xn--Label wird in Unicode und Punycode angezeigt. Prüfen Sie ihn auf ähnlich aussehende Buchstaben, bevor Sie ihm vertrauen. |
| Vertrauter Name am Anfang des Hosts | Beginnt ein Host mit etwas wie example.com., ist die registrierte Domain am Ende aber eine andere, nennt das Tool die tatsächliche registrierte Domain. |
| Linktext passt nicht | Bei HTML- und Markdown-Links wird der sichtbare Text mit dem Ziel verglichen, und eine abweichende Domain ist rot. In reinem Text führt eine direkt vor dem Link genannte Domain zu einer gelben Warnung. |
| Skript-URL (rot) | Ein Ziel mit javascript:, data: oder vbscript: führt Code aus oder stellt Inhalte dar, statt eine Webseite zu öffnen. |
| Kurzlink oder nur Domain | URL-Kürzer wie bit.ly lassen sich offline nicht dekodieren, daher erhalten Sie stattdessen einen curl-Befehl. Mimecast- und manche Sophos-Links verraten nur die Zieldomain. |
| Schleifen und unvollständige Daten | Ein Link, der auf sich selbst verweist, ein nach 10 Schichten gestoppter Durchlauf oder URL-Defense-Daten, die kürzer sind als ihre Markierungen, werden gemeldet, weil das Ergebnis unvollständig sein kann. |
Weitere Beispiele
Google-Weiterleitung zu einem Lookalike-Host
https://www.google.com/url?q=https://example.com.login-check.example.net/session&sa=D&source=editors1 Schicht: Google redirect, Parameter q. Ziel hxxps://example[.]com[.]login-check[.]example[.]net/session mit einer gelben Warnung: The host starts with "example[.]com." but the registered domain is example[.]net.
Nachricht, die eine andere Website nennt
Sign in at example.com to keep your account: https://l.facebook.com/l.php?u=https%3A%2F%2Fsignin.example.net%2Faccount&h=AT0abc1 Schicht: Facebook / Meta link shim, Parameter u. Ziel hxxps://signin[.]example[.]net/account. Gelbe Warnung: The text before the link mentions example[.]com but the link goes to signin[.]example[.]net.
Dezimale IP in einer YouTube-Weiterleitung
https://www.youtube.com/redirect?q=http%3A%2F%2F3221226010%2Fprize&v=abc1 Schicht: YouTube redirect, Parameter q. Ziel hxxp://3221226010/prize. Rote Warnung: Obfuscated IP address: the host is written as 3221226010, which browsers read as 192[.]0[.]2[.]26.
Häufig gestellte Fragen
Welche Link-Hüllen dekodiert das Tool?
Microsoft Defender Safe Links, Proofpoint URL Defense v1, v2 und v3, Google-URL- und Anzeigen-Links, Facebook-, Instagram- und Messenger-Link-Shims, LinkedIn, Barracuda, Cisco Secure Email, Trend Micro, Sophos, Bing, Steam, Slack, YouTube und VK-Weiterleitungen sowie Weiterleitungsparameter wie url=, u=, q=, target=, to=, dest=, redirect=, next= oder link=, die eine URL enthalten. Verschachtelte Wrapper werden Schicht für Schicht dekodiert.
Warum werden t.co-, lnkd.in- und Mimecast-Links nicht vollständig dekodiert?
URL-Kürzer wie t.co und lnkd.in speichern das Ziel auf ihren eigenen Servern, daher zeigt das Tool einen Befehl curl -sI, der den Location-Header ausgibt, ohne die Seite zu öffnen. Mimecast-Links enthalten nur die Zieldomain; die vollständige Adresse bleibt bei Mimecast.
Wird der Link geöffnet oder irgendwohin gesendet?
Nein. Das Dekodieren ist Textverarbeitung auf dieser Seite: Keine Anfrage geht an den Hüllendienst, den URL-Kürzer oder das Ziel. Der curl-Befehl wird nur angezeigt, damit Sie ihn selbst ausführen, idealerweise auf einem isolierten Rechner.
Kann ich eine ganze E-Mail oder ihren HTML-Quelltext einfügen?
Ja. Das Tool findet jeden http-, https- und www-Link im Text, auch entschärfte. Bei HTML-Ankern und Markdown-Links liest es außerdem den sichtbaren Linktext und vergleicht ihn mit dem echten Ziel. Es verarbeitet bis zu 500 Links und das erste 1 MB Text.
Warum wird eine lange Zahl als IP-Adresse angezeigt?
Browser akzeptieren eine IPv4-Adresse, die als eine einzige Dezimal- oder Hexadezimalzahl geschrieben ist, daher öffnet http://3221226010/ die Adresse 192.0.2.26. Phishing-Links nutzen das, um die Adresse vor Menschen und einfachen Filtern zu verbergen; deshalb markiert das Tool sie rot.
Es wurden keine Warnungen angezeigt. Ist das Ziel sicher?
Nicht unbedingt. Das Tool liest nur die Struktur der Adresse. Es weiß nicht, wer die Website betreibt oder ob sie auf einer Blockliste steht. Prüfen Sie das Ziel mit DestroyList Check oder Reputation Links, bevor Sie es öffnen.