Splits een link op in protocol, host, poort, pad, query en fragment, net zoals de browser dat doet.
Link-ontpakker
Draait lokaalNieuw
De tool zelf is in het Engels; op deze pagina wordt uitgelegd hoe deze werkt in uw taal.
Gebruik Link-ontpakker
Wat het doet
Plak een of meer herschreven links, of een heel bericht, om alle omhullende lagen te zien, de uiteindelijke bestemming in onschadelijke vorm en waarschuwingssignalen zoals een gebruikersnaam vóór @, een IP-host of punycode.
Het draait volledig in je browser: er wordt niets van wat je invoert geüpload.
Hoe gebruik je Link-ontpakker
- Plak de link of het bericht. Plak één omwikkelde link per regel, of een volledige e-mail, chatbericht of HTML-broncode. Onschadelijke links, zoals hxxps://example[.]com, worden geaccepteerd; maximaal 500 links en 1 MB tekst.
- Uitpakken. Druk op ‘Unwrap’ of Ctrl+Enter. Als je de tekst in het vak plakt, wordt het programma ook gestart. Er wordt nergens iets verzonden.
- Lees de lagen. Bij elk resultaat worden de wrappers op volgorde weergegeven, samen met de parameter die het volgende adres bevatte, bijvoorbeeld Google-omleiding, q.
- Controleer de bestemming. In het veld ‘Bestemming’ wordt het definitieve adres zonder speciale tekens weergegeven, zodat je er niet op kunt klikken. Met ‘Raw kopiëren’ krijg je het onbewerkte adres, bijvoorbeeld voor aantekeningen of een rapport.
- Lees de waarschuwingen. Eerst verschijnen de rode waarschuwingen, daarna de gele. Als er geen zijn, houd er dan rekening mee dat de tool alleen het adres leest, niet de reputatie van de website.
- Vertel het verder. Gebruik ‘Verzenden naar…’ om de bestemming te openen in de URL-parser of de homoglyf-controle, of kopieer alle bestemmingen als het bericht meerdere links bevatte.
Voorbeeld
Veilige links rond URL Defense
https://nam12.safelinks.protection.outlook.com/?url=https%3A%2F%2Furldefense.com%2Fv3%2F__https%3A%2F%2Flogin.example.com%40198.51.100.7%2Fverify*id%3D1__%3BPw!!AbCdEf!GhIjKl%24&data=05%7C02%7C%7Cc0ffee%7C0&reserved=01 link: 1 unwrapped, 1 with warnings.
Result 2 layers
Microsoft Defender Safe Links url
→ hxxps://urldefense[.]com/v3/__https://login[.]example[.]com[@]198[.]51[.]100[.]7/verify*id=1__;Pw!!AbCdEf!GhIjKl$
Proofpoint URL Defense path __…__ with 1 replaced character(s)
→ hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1
Destination
hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1
Copy raw
The URL has a user-info part before "@" ("login[.]example[.]com"). Browsers ignore it and go to 198[.]51[.]100[.]7.
The host is a bare IP address (198[.]51[.]100[.]7) instead of a domain name.Twee lagen: Microsoft Defender Safe Links, gevolgd door Proofpoint URL Defense v3, dat het ? achter * weergeeft. De bestemming hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1 wordt gemarkeerd: de tekst vóór @ is slechts een gebruikersnaam en de echte host is het IP-adres 198.51.100.7.
Wat er wordt gecontroleerd
| Signaal | Wat dit betekent |
|---|---|
| Omhullingslagen | Elke bekende wrapper- of omleidingsparameter wordt laag voor laag gedecodeerd, tot maximaal 10 lagen. Geneste lagen komen vaak voor in doorgestuurde e-mails, maar ze verbergen het adres ook bij een vluchtige blik. |
| Gebruikersnaam vóór @ (rood) | In https://login.example.com@198.51.100.7/ is alles vóór @ slechts een gebruikersnaam. De browser gaat naar de host die erachter staat, dus de herkenbare naam is slechts versiering. |
| IP-adres als host | Een host met alleen het IPv4- of IPv6-adres krijgt een gele waarschuwing. Een host die als één decimaal of hexadecimaal getal is weergegeven, of in een andere ongebruikelijke vorm, wordt rood weergegeven en er wordt het adres bij vermeld dat de browser daadwerkelijk zou openen. |
| Geïnternationaliseerde host | Een hostnaam met niet-ASCII-tekens of een xn---label wordt weergegeven in Unicode en Punycode. Controleer of er geen tekens bij zitten die op elkaar lijken, voordat je erop vertrouwt. |
| Een bekende naam aan het begin van de presentatie | Als een host begint met bijvoorbeeld example.com, maar het geregistreerde domein aan het einde afwijkt, geeft de tool het daadwerkelijk geregistreerde domein weer. |
| De linktekst komt niet overeen | Bij links in HTML en Markdown wordt de zichtbare tekst vergeleken met de bestemming, en wordt een afwijkend domein rood weergegeven. In platte tekst leidt een domein dat vlak voor de link wordt genoemd tot een gele waarschuwing. |
| Script-URL (rood) | Een bestemming met javascript:, data: of vbscript: voert code uit of geeft inhoud weer in plaats van een webpagina te openen. |
| Korte link of alleen het domein | URL-verkorters zoals bit.ly kunnen offline niet worden gedecodeerd, dus krijg je in plaats daarvan een curl-commando. Mimecast en sommige Sophos-links geven alleen het doeldomein weer. |
| Lussen en onvolledige gegevens | Een link die naar zichzelf verwijst, een doorloop die na 10 lagen is gestopt, of URL Defense-gegevens die korter zijn dan de bijbehorende markeringen, worden gemeld omdat het resultaat mogelijk onvolledig is. |
Nog meer voorbeelden
Google leidt door naar een host die er hetzelfde uitziet
https://www.google.com/url?q=https://example.com.login-check.example.net/session&sa=D&source=editors1e laag: doorverwijzing door Google, parameter q. Bestemming: hxxps://example[.]com[.]login-check[.]example[.]net/session met een gele waarschuwing: De host begint met "example[.]com", maar het geregistreerde domein is example[.]net.
Bericht waarin een andere site wordt genoemd
Sign in at example.com to keep your account: https://l.facebook.com/l.php?u=https%3A%2F%2Fsignin.example.net%2Faccount&h=AT0abc1e laag: Facebook/Meta-link-shim, parameter u. Bestemming: hxxps://signin[.]example[.]net/account. Gele waarschuwing: In de tekst vóór de link wordt example[.]com genoemd, maar de link leidt naar signin[.]example[.]net.
Decimaal IP-adres in een YouTube-omleiding
https://www.youtube.com/redirect?q=http%3A%2F%2F3221226010%2Fprize&v=abc1 laag: YouTube-omleiding, parameter q. Bestemming hxxp://3221226010/prize. Rode waarschuwing: verborgen IP-adres: de host wordt weergegeven als 3221226010, wat door browsers wordt geïnterpreteerd als 192[.]0[.]2[.]26.
Veelgestelde vragen
Welke wrappers worden er gedecodeerd?
Microsoft Defender Safe Links, Proofpoint URL Defense v1, v2 en v3, Google /url- en Ads-links, Facebook-, Instagram- en Messenger-link-shims, LinkedIn, Barracuda, Cisco Secure Email, Trend Micro, Sophos, Bing, omleidingen van Steam, Slack, YouTube en VK, plus omleidingsparameters zoals url=, u=, q=, target=, to=, dest=, redirect=, next= of link= die een URL bevatten. Geneste wrappers worden laag voor laag gedecodeerd.
Waarom worden links van t.co, lnkd.in en Mimecast niet volledig gedecodeerd?
URL-verkorters zoals t.co en lnkd.in slaan de bestemmings-URL op hun eigen servers op, waardoor de tool een `curl -sI`-commando weergeeft dat de Location-header weergeeft zonder de pagina te openen. Mimecast-links bevatten alleen het bestemmingsdomein; het volledige adres blijft bij Mimecast.
Wordt de link ergens geopend of doorgestuurd?
Nee. Het decoderen is tekstverwerking op deze pagina: er wordt geen verzoek verzonden naar de wrapper-service, de linkverkorter of de bestemming. Het curl-commando wordt alleen weergegeven zodat je het zelf kunt uitvoeren, bij voorkeur vanaf een geïsoleerde machine.
Kan ik een volledige e-mail of de HTML-broncode ervan plakken?
Ja. De tool spoort alle http-, https- en www-links in de tekst op, ook als de protocoltekens zijn verwijderd. Bij HTML-ankers en Markdown-links leest de tool ook de zichtbare linktekst en vergelijkt deze met de daadwerkelijke bestemming. De tool verwerkt maximaal 500 links en de eerste 1 MB tekst.
Waarom wordt een lang getal weergegeven als IP-adres?
Browsers accepteren een IPv4-adres dat is geschreven als één enkel decimaal of hexadecimaal getal, dus http://3221226010/ opent 192.0.2.26. Phishinglinks maken hier gebruik van om het adres te verbergen voor gebruikers en eenvoudige filters; daarom markeert de tool het in het rood.
Er werden geen waarschuwingen weergegeven. Is de bestemming veilig?
Niet per se. De tool leest alleen de structuur van het adres. Hij weet niet wie de website beheert of dat deze op een blokkeerlijst staat. Controleer de bestemming met DestroyList Check of Reputation Links voordat je de link opent.