Découpez un lien en protocole, hôte, port, chemin, requête et fragment, comme le fait le navigateur.
Décodeur de liens encapsulés
Exécution localeNouveau
L'outil lui-même est en anglais ; cette page vous l'explique dans votre langue.
Utilisez Décodeur de liens encapsulés
Fonctionnalités
Collez un ou plusieurs liens réécrits, ou un message entier, pour voir chaque couche d'encapsulation, la destination finale sous forme désamorcée et les signes d'alerte comme un nom d'utilisateur avant @, un hôte IP ou du punycode.
Tout se passe entièrement dans votre navigateur : aucune des données que vous saisissez n'est transmise.
Comment utiliser Décodeur de liens encapsulés
- Collez le lien ou le message. Collez un lien encapsulé par ligne, ou un e-mail, un message de discussion ou une source HTML entiers. Les liens désamorcés comme hxxps://example[.]com sont acceptés, jusqu'à 500 liens et 1 Mo de texte.
- Décodez. Appuyez sur Unwrap (décoder) ou Ctrl+Entrée. Coller dans la zone lance aussi l'analyse. Rien n'est envoyé nulle part.
- Lisez les couches. Chaque résultat liste les encapsulations dans l'ordre, avec le paramètre qui contenait l'adresse suivante, par exemple Google redirect, q.
- Vérifiez la destination. L'encadré Destination affiche l'adresse finale désamorcée, pour qu'elle ne soit pas cliquable. Copy raw vous donne l'adresse fonctionnelle pour vos notes ou un signalement.
- Lisez les avertissements. Les avertissements rouges viennent en premier, puis les jaunes. S'il n'y en a aucun, rappelez-vous que l'outil ne lit que l'adresse, pas la réputation du site.
- Transmettez-la. Utilisez Send to… pour ouvrir la destination dans URL Parser ou Homoglyph Checker, ou Copy all destinations lorsque le message contenait plusieurs liens.
Exemple
Safe Links autour d'URL Defense
https://nam12.safelinks.protection.outlook.com/?url=https%3A%2F%2Furldefense.com%2Fv3%2F__https%3A%2F%2Flogin.example.com%40198.51.100.7%2Fverify*id%3D1__%3BPw!!AbCdEf!GhIjKl%24&data=05%7C02%7C%7Cc0ffee%7C0&reserved=01 link: 1 unwrapped, 1 with warnings.
Result 2 layers
Microsoft Defender Safe Links url
→ hxxps://urldefense[.]com/v3/__https://login[.]example[.]com[@]198[.]51[.]100[.]7/verify*id=1__;Pw!!AbCdEf!GhIjKl$
Proofpoint URL Defense path __…__ with 1 replaced character(s)
→ hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1
Destination
hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1
Copy raw
The URL has a user-info part before "@" ("login[.]example[.]com"). Browsers ignore it and go to 198[.]51[.]100[.]7.
The host is a bare IP address (198[.]51[.]100[.]7) instead of a domain name.Deux couches : Microsoft Defender Safe Links, puis Proofpoint URL Defense v3, qui restaure le ? caché derrière *. La destination hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1 est signalée : le texte avant @ n'est qu'un nom d'utilisateur et le véritable hôte est l'IP 198.51.100.7.
Ce qu'il vérifie
| Signal | Ce que cela signifie |
|---|---|
| Couches d'encapsulation | Chaque encapsulation ou paramètre de redirection connu est décodé une couche à la fois, jusqu'à 10 couches. Des couches imbriquées peuvent être normales dans un e-mail transféré, mais elles masquent aussi l'adresse à un coup d'œil rapide. |
| Nom d'utilisateur avant @ (rouge) | Dans https://login.example.com@198.51.100.7/, tout ce qui précède @ n'est qu'un nom d'utilisateur. Le navigateur se rend sur l'hôte qui suit : le nom familier n'est qu'un décor. |
| Adresse IP comme hôte | Un hôte IPv4 ou IPv6 nu reçoit un avertissement jaune. Un hôte écrit sous forme d'un seul nombre décimal ou hexadécimal, ou sous une autre forme inhabituelle, s'affiche en rouge avec l'adresse que le navigateur ouvrirait réellement. |
| Hôte internationalisé | Un hôte contenant des lettres non ASCII ou un label xn-- est affiché en Unicode et en punycode. Vérifiez qu'il ne contient pas de lettres sosies avant de lui faire confiance. |
| Nom familier au début de l'hôte | Si un hôte commence par quelque chose comme example.com. mais que le domaine enregistré à la fin est différent, l'outil indique le véritable domaine enregistré. |
| Texte du lien différent | Dans les liens HTML et Markdown, le texte visible est comparé à la destination, et un domaine différent s'affiche en rouge. En texte brut, un domaine cité juste avant le lien donne un avertissement jaune. |
| URL de script (rouge) | Une destination javascript:, data: ou vbscript: exécute du code ou affiche du contenu au lieu d'ouvrir une page web. |
| Lien court ou domaine seul | Les raccourcisseurs comme bit.ly ne peuvent pas être décodés hors ligne : vous obtenez une commande curl à la place. Les liens Mimecast et certains liens Sophos ne révèlent que le domaine de destination. |
| Boucles et données incomplètes | Un lien qui pointe vers lui-même, une analyse arrêtée après 10 couches ou des données URL Defense plus courtes que leurs marqueurs sont signalés, car le résultat peut être incomplet. |
D'autres exemples
Redirection Google vers un hôte sosie
https://www.google.com/url?q=https://example.com.login-check.example.net/session&sa=D&source=editors1 couche : Google redirect, paramètre q. Destination hxxps://example[.]com[.]login-check[.]example[.]net/session avec un avertissement jaune : The host starts with "example[.]com." but the registered domain is example[.]net.
Message qui cite un autre site
Sign in at example.com to keep your account: https://l.facebook.com/l.php?u=https%3A%2F%2Fsignin.example.net%2Faccount&h=AT0abc1 couche : Facebook / Meta link shim, paramètre u. Destination hxxps://signin[.]example[.]net/account. Avertissement jaune : The text before the link mentions example[.]com but the link goes to signin[.]example[.]net.
IP décimale dans une redirection YouTube
https://www.youtube.com/redirect?q=http%3A%2F%2F3221226010%2Fprize&v=abc1 couche : YouTube redirect, paramètre q. Destination hxxp://3221226010/prize. Avertissement rouge : Obfuscated IP address: the host is written as 3221226010, which browsers read as 192[.]0[.]2[.]26.
FAQ
Quelles encapsulations décode-t-il ?
Microsoft Defender Safe Links, Proofpoint URL Defense v1, v2 et v3, liens Google /url et Ads, shims de liens Facebook, Instagram et Messenger, LinkedIn, Barracuda, Cisco Secure Email, Trend Micro, Sophos, Bing, redirections vers Steam, Slack, YouTube et VK, ainsi que les paramètres de redirection tels que url=, u=, q=, target=, to=, dest=, redirect=, next= ou link= qui contiennent une URL. Les wrappers imbriqués sont décodés couche par couche.
Pourquoi les liens t.co, lnkd.in et Mimecast ne sont-ils pas entièrement décodés ?
Les raccourcisseurs comme t.co et lnkd.in stockent la destination sur leurs propres serveurs : l'outil affiche donc une commande curl -sI qui imprime l'en-tête Location sans ouvrir la page. Les liens Mimecast ne contiennent que le domaine de destination ; l'adresse complète reste chez Mimecast.
Le lien est-il ouvert ou envoyé quelque part ?
Non. Le décodage est un traitement de texte sur cette page : aucune requête ne part vers le service d'encapsulation, le raccourcisseur ou la destination. La commande curl est seulement affichée pour que vous l'exécutiez vous-même, idéalement depuis une machine isolée.
Puis-je coller un e-mail entier ou sa source HTML ?
Oui. L'outil trouve tous les liens http, https et www du texte, y compris les liens désamorcés. Dans les ancres HTML et les liens Markdown, il lit aussi le texte visible du lien et le compare à la vraie destination. Il traite jusqu'à 500 liens et le premier Mo de texte.
Pourquoi un long nombre est-il affiché comme une adresse IP ?
Les navigateurs acceptent une adresse IPv4 écrite sous forme d'un seul nombre décimal ou hexadécimal : http://3221226010/ ouvre donc 192.0.2.26. Les liens de phishing s'en servent pour cacher l'adresse aux personnes et aux filtres simples, c'est pourquoi l'outil la marque en rouge.
Aucun avertissement n'a été affiché. La destination est-elle sûre ?
Pas forcément. L'outil ne lit que la structure de l'adresse. Il ne sait pas qui gère le site ni s'il figure sur une liste de blocage. Vérifiez la destination avec DestroyList Check ou Reputation Links avant de l'ouvrir.