Scomponi un link in protocollo, host, porta, percorso, query e frammento, come fa il browser.
Decodificatore di link incapsulati
Funziona in localeNuovo
Lo strumento è in inglese; questa pagina ne fornisce una spiegazione nella tua lingua.
Usa Decodificatore di link incapsulati
Cosa fa
Incolla uno o più link riscritti, o un intero messaggio, per vedere ogni strato di incapsulamento, la destinazione finale in forma defanged e i segnali di allarme come un nome utente prima di @, un host IP o il punycode.
Funziona interamente nel browser: nulla di ciò che inserisci viene caricato online.
Come utilizzare Decodificatore di link incapsulati
- Incolla il link o il messaggio. Incolla un link incapsulato per riga, oppure un'intera e-mail, un messaggio di chat o un sorgente HTML. Sono accettati link in forma defanged come hxxps://example[.]com, fino a 500 link e 1 MB di testo.
- Decodifica. Premi Unwrap o Ctrl+Invio. Anche incollare nella casella avvia l'elaborazione. Nulla viene inviato altrove.
- Leggi gli strati. Ogni risultato elenca i wrapper in ordine, con il parametro che conteneva l'indirizzo successivo, ad esempio Google redirect, q.
- Controlla la destinazione. Il riquadro Destination mostra l'indirizzo finale in forma defanged, quindi non cliccabile. Copy raw ti dà l'indirizzo funzionante per note o segnalazioni.
- Leggi gli avvisi. Prima vengono gli avvisi rossi, poi quelli gialli. Se non ce ne sono, ricorda che lo strumento legge solo l'indirizzo, non la reputazione del sito.
- Passa ad altri strumenti. Usa Send to… per aprire la destinazione in URL Parser o Homoglyph Checker, oppure Copy all destinations quando il messaggio conteneva più link.
Esempio
Safe Links attorno a URL Defense
https://nam12.safelinks.protection.outlook.com/?url=https%3A%2F%2Furldefense.com%2Fv3%2F__https%3A%2F%2Flogin.example.com%40198.51.100.7%2Fverify*id%3D1__%3BPw!!AbCdEf!GhIjKl%24&data=05%7C02%7C%7Cc0ffee%7C0&reserved=01 link: 1 unwrapped, 1 with warnings.
Result 2 layers
Microsoft Defender Safe Links url
→ hxxps://urldefense[.]com/v3/__https://login[.]example[.]com[@]198[.]51[.]100[.]7/verify*id=1__;Pw!!AbCdEf!GhIjKl$
Proofpoint URL Defense path __…__ with 1 replaced character(s)
→ hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1
Destination
hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1
Copy raw
The URL has a user-info part before "@" ("login[.]example[.]com"). Browsers ignore it and go to 198[.]51[.]100[.]7.
The host is a bare IP address (198[.]51[.]100[.]7) instead of a domain name.Due strati: Microsoft Defender Safe Links, poi Proofpoint URL Defense v3, che ripristina il ? nascosto dietro *. La destinazione hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1 viene segnalata: il testo prima di @ è solo un nome utente e l'host reale è l'IP 198.51.100.7.
Cosa verifica
| Segnale | Cosa significa |
|---|---|
| Strati di wrapper | Ogni wrapper noto o parametro di reindirizzamento viene decodificato uno strato alla volta, fino a 10 strati. Gli strati annidati possono essere normali nella posta inoltrata, ma nascondono anche l'indirizzo a un'occhiata veloce. |
| Nome utente prima di @ (rosso) | In https://login.example.com@198.51.100.7/ tutto ciò che precede @ è solo un nome utente. Il browser va all'host che segue, quindi il nome familiare è solo decorazione. |
| Indirizzo IP come host | Un semplice host IPv4 o IPv6 riceve un avviso giallo. Un host scritto come un unico numero decimale o esadecimale, o in un'altra forma insolita, è rosso e viene mostrato con l'indirizzo che il browser aprirebbe davvero. |
| Host internazionalizzato | Un host con lettere non ASCII o un'etichetta xn-- viene mostrato in Unicode e in punycode. Controlla che non contenga lettere sosia prima di fidarti. |
| Nome familiare all'inizio dell'host | Se un host inizia con qualcosa come example.com. ma il dominio registrato alla fine è diverso, lo strumento indica il vero dominio registrato. |
| Il testo del link non corrisponde | Nei link HTML e Markdown il testo visibile viene confrontato con la destinazione, e un dominio diverso è rosso. Nel testo semplice, un dominio nominato subito prima del link produce un avviso giallo. |
| URL di script (rosso) | Una destinazione javascript:, data: o vbscript: esegue codice o visualizza contenuti invece di aprire una pagina web. |
| Link breve o solo dominio | Gli accorciatori come bit.ly non possono essere decodificati offline, quindi ricevi invece un comando curl. Mimecast e alcuni link Sophos rivelano solo il dominio di destinazione. |
| Cicli e dati incompleti | Un link che punta a sé stesso, un'elaborazione interrotta dopo 10 strati o dati URL Defense più corti dei loro marcatori vengono segnalati, perché il risultato potrebbe essere incompleto. |
Altri esempi
Redirect di Google verso un host sosia
https://www.google.com/url?q=https://example.com.login-check.example.net/session&sa=D&source=editors1 strato: Google redirect, parametro q. Destinazione hxxps://example[.]com[.]login-check[.]example[.]net/session con un avviso giallo: The host starts with "example[.]com." but the registered domain is example[.]net.
Messaggio che nomina un altro sito
Sign in at example.com to keep your account: https://l.facebook.com/l.php?u=https%3A%2F%2Fsignin.example.net%2Faccount&h=AT0abc1 strato: Facebook / Meta link shim, parametro u. Destinazione hxxps://signin[.]example[.]net/account. Avviso giallo: The text before the link mentions example[.]com but the link goes to signin[.]example[.]net.
IP decimale dentro un redirect di YouTube
https://www.youtube.com/redirect?q=http%3A%2F%2F3221226010%2Fprize&v=abc1 strato: YouTube redirect, parametro q. Destinazione hxxp://3221226010/prize. Avviso rosso: Obfuscated IP address: the host is written as 3221226010, which browsers read as 192[.]0[.]2[.]26.
Domande frequenti
Quali wrapper decodifica?
Microsoft Defender Safe Links, Proofpoint URL Defense v1, v2 e v3, link Google /url e Ads, shim per link di Facebook, Instagram e Messenger, LinkedIn, Barracuda, Cisco Secure Email, Trend Micro, Sophos, Bing, reindirizzamenti da Steam, Slack, YouTube e VK, oltre a parametri di reindirizzamento quali url=, u=, q=, target=, to=, dest=, redirect=, next= o link= che contengono un URL. I wrapper annidati vengono decodificati un livello alla volta.
Perché i link t.co, lnkd.in e Mimecast non vengono decodificati del tutto?
Gli accorciatori come t.co e lnkd.in conservano la destinazione sui propri server, quindi lo strumento mostra un comando curl -sI che stampa l'intestazione Location senza aprire la pagina. I link Mimecast contengono solo il dominio di destinazione; l'indirizzo completo resta presso Mimecast.
Il link viene aperto o inviato da qualche parte?
No. La decodifica è un'elaborazione di testo in questa pagina: nessuna richiesta va al servizio di wrapping, all'accorciatore o alla destinazione. Il comando curl viene solo mostrato perché tu lo esegua, preferibilmente da una macchina isolata.
Posso incollare un'intera e-mail o il suo sorgente HTML?
Sì. Lo strumento trova ogni link http, https e www nel testo, compresi quelli in forma defanged. Nei link HTML (tag a) e nei link Markdown legge anche il testo visibile del link e lo confronta con la destinazione reale. Gestisce fino a 500 link e il primo MB di testo.
Perché un numero lungo viene mostrato come indirizzo IP?
I browser accettano un indirizzo IPv4 scritto come un unico numero decimale o esadecimale, quindi http://3221226010/ apre 192.0.2.26. I link di phishing lo usano per nascondere l'indirizzo alle persone e ai filtri semplici, ed è per questo che lo strumento lo segna in rosso.
Non è stato mostrato alcun avviso. La destinazione è sicura?
Non necessariamente. Lo strumento legge solo la struttura dell'indirizzo. Non sa chi gestisce il sito né se è in una blocklist. Controlla la destinazione con DestroyList Check o Reputation Links prima di aprirla.