Divide un enlace en protocolo, host, puerto, ruta, consulta y fragmento, como lo hace el navegador.
Desenvolvedor de enlaces
Se ejecuta localmenteNueva
La herramienta en sí está en inglés; en esta página se explica en tu idioma.
Utiliza Desenvolvedor de enlaces
Para qué sirve
Pega uno o varios enlaces reescritos, o un mensaje completo, para ver cada capa de envoltura, el destino final en forma neutralizada y señales de alerta como un nombre de usuario antes de @, un host IP o punycode.
Funciona íntegramente en tu navegador: no se sube nada de lo que introduzcas.
Cómo utilizar Desenvolvedor de enlaces
- Pega el enlace o el mensaje. Pega un enlace envuelto por línea, o un correo, un mensaje de chat o un código HTML completos. Se aceptan enlaces neutralizados como hxxps://example[.]com, hasta 500 enlaces y 1 MB de texto.
- Desenvuelve. Pulsa Unwrap (Desenvolver) o Ctrl+Intro. Pegar en el recuadro también inicia el proceso. No se envía nada a ningún sitio.
- Lee las capas. Cada resultado lista los envoltorios en orden, con el parámetro que contenía la siguiente dirección, por ejemplo Google redirect, q.
- Comprueba el destino. El recuadro Destination (Destino) muestra la dirección final neutralizada, para que no se pueda pulsar. Copy raw (Copiar sin neutralizar) te da la dirección funcional para notas o una denuncia.
- Lee los avisos. Primero aparecen los avisos rojos y después los amarillos. Si no hay ninguno, recuerda que la herramienta solo lee la dirección, no la reputación del sitio.
- Pásalo a otra herramienta. Usa Send to… (Enviar a…) para abrir el destino en URL Parser o Homoglyph Checker, o Copy all destinations (Copiar todos los destinos) cuando el mensaje tenía varios enlaces.
Ejemplo
Safe Links alrededor de URL Defense
https://nam12.safelinks.protection.outlook.com/?url=https%3A%2F%2Furldefense.com%2Fv3%2F__https%3A%2F%2Flogin.example.com%40198.51.100.7%2Fverify*id%3D1__%3BPw!!AbCdEf!GhIjKl%24&data=05%7C02%7C%7Cc0ffee%7C0&reserved=01 link: 1 unwrapped, 1 with warnings.
Result 2 layers
Microsoft Defender Safe Links url
→ hxxps://urldefense[.]com/v3/__https://login[.]example[.]com[@]198[.]51[.]100[.]7/verify*id=1__;Pw!!AbCdEf!GhIjKl$
Proofpoint URL Defense path __…__ with 1 replaced character(s)
→ hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1
Destination
hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1
Copy raw
The URL has a user-info part before "@" ("login[.]example[.]com"). Browsers ignore it and go to 198[.]51[.]100[.]7.
The host is a bare IP address (198[.]51[.]100[.]7) instead of a domain name.Dos capas: Microsoft Defender Safe Links y después Proofpoint URL Defense v3, que restaura el ? oculto tras *. Se señala el destino hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1: el texto antes de @ es solo un nombre de usuario y el host real es la IP 198.51.100.7.
Qué comprueba
| Señal | Qué significa |
|---|---|
| Capas de envoltura | Cada envoltorio o parámetro de redirección conocido se decodifica capa a capa, hasta 10 capas. Las capas anidadas pueden ser normales en el correo reenviado, pero también ocultan la dirección a un vistazo rápido. |
| Nombre de usuario antes de @ (rojo) | En https://login.example.com@198.51.100.7/ todo lo que hay antes de @ es solo un nombre de usuario. El navegador va al host que sigue, así que el nombre conocido es decorativo. |
| Dirección IP como host | Un host IPv4 o IPv6 sin más recibe un aviso amarillo. Un host escrito como un solo número decimal o hexadecimal, o de otra forma poco habitual, aparece en rojo y se muestra con la dirección que el navegador abriría realmente. |
| Host internacionalizado | Un host con letras no ASCII o una etiqueta xn-- se muestra en Unicode y en punycode. Revisa si tiene letras que imitan a otras antes de confiar en él. |
| Nombre conocido al principio del host | Si un host empieza por algo como example.com. pero el dominio registrado al final es otro, la herramienta indica el dominio registrado real. |
| El texto del enlace no coincide | En los enlaces HTML y Markdown se compara el texto visible con el destino, y un dominio distinto aparece en rojo. En texto sin formato, un dominio mencionado justo antes del enlace da un aviso amarillo. |
| URL de script (rojo) | Un destino javascript:, data: o vbscript: ejecuta código o muestra contenido en lugar de abrir una página web. |
| Enlace corto o solo dominio | Los acortadores como bit.ly no se pueden decodificar sin conexión, así que recibes en su lugar un comando curl. Mimecast y algunos enlaces de Sophos solo revelan el dominio de destino. |
| Bucles y datos incompletos | Se informa de un enlace que apunta a sí mismo, de un proceso detenido tras 10 capas o de datos de URL Defense más cortos que sus marcadores, porque el resultado puede estar incompleto. |
Más ejemplos
Redirección de Google a un host que imita a otro
https://www.google.com/url?q=https://example.com.login-check.example.net/session&sa=D&source=editors1 capa: Google redirect, parámetro q. Destino hxxps://example[.]com[.]login-check[.]example[.]net/session con un aviso amarillo: The host starts with "example[.]com." but the registered domain is example[.]net.
Mensaje que nombra otro sitio
Sign in at example.com to keep your account: https://l.facebook.com/l.php?u=https%3A%2F%2Fsignin.example.net%2Faccount&h=AT0abc1 capa: Facebook / Meta link shim, parámetro u. Destino hxxps://signin[.]example[.]net/account. Aviso amarillo: The text before the link mentions example[.]com but the link goes to signin[.]example[.]net.
IP decimal dentro de una redirección de YouTube
https://www.youtube.com/redirect?q=http%3A%2F%2F3221226010%2Fprize&v=abc1 capa: YouTube redirect, parámetro q. Destino hxxp://3221226010/prize. Aviso rojo: Obfuscated IP address: the host is written as 3221226010, which browsers read as 192[.]0[.]2[.]26.
Preguntas frecuentes
¿Qué envoltorios decodifica?
Microsoft Defender Safe Links, Proofpoint URL Defense v1, v2 y v3, enlaces de Google /url y de anuncios, enlaces falsificados de Facebook, Instagram y Messenger, LinkedIn, Barracuda, Cisco Secure Email, Trend Micro, Sophos, Bing, redireccionamientos de Steam, Slack, YouTube y VK, además de parámetros de redireccionamiento como url=, u=, q=, target=, to=, dest=, redirect=, next= o link= que contienen una URL. Los envoltorios anidados se descodifican capa por capa.
¿Por qué los enlaces de t.co, lnkd.in y Mimecast no se decodifican del todo?
Los acortadores como t.co y lnkd.in guardan el destino en sus propios servidores, así que la herramienta muestra un comando curl -sI que imprime la cabecera Location sin abrir la página. Los enlaces de Mimecast solo llevan el dominio de destino; la dirección completa la conserva Mimecast.
¿Se abre el enlace o se envía a algún sitio?
No. La decodificación es procesamiento de texto en esta página: no se hace ninguna solicitud al servicio de envoltura, al acortador ni al destino. El comando curl solo se muestra para que lo ejecutes tú, idealmente desde un equipo aislado.
¿Puedo pegar un correo completo o su código HTML?
Sí. La herramienta encuentra en el texto todos los enlaces http, https y www, incluidos los neutralizados. En las etiquetas de enlace HTML y en los enlaces Markdown también lee el texto visible del enlace y lo compara con el destino real. Admite hasta 500 enlaces y el primer 1 MB de texto.
¿Por qué un número largo se muestra como dirección IP?
Los navegadores aceptan una dirección IPv4 escrita como un solo número decimal o hexadecimal, así que http://3221226010/ abre 192.0.2.26. Los enlaces de phishing lo usan para ocultar la dirección a las personas y a los filtros sencillos, por eso la herramienta lo marca en rojo.
No se mostró ningún aviso. ¿Es seguro el destino?
No necesariamente. La herramienta solo lee la estructura de la dirección. No sabe quién gestiona el sitio ni si figura en una lista de bloqueo. Comprueba el destino con DestroyList Check o Reputation Links antes de abrirlo.