Divida um link em protocolo, host, porta, caminho, query e fragmento, como o navegador faz.
Decodificador de links encapsulados
Execução localNova
A ferramenta em si está em inglês; esta página explica como usá-la no seu idioma.
Use Decodificador de links encapsulados
O que ele faz
Cole um ou mais links reescritos, ou uma mensagem inteira, para ver cada camada de encapsulamento, o destino final em forma neutralizada e sinais de alerta, como um nome de usuário antes do @, um host que é um IP ou punycode.
Ele funciona inteiramente no seu navegador: nada do que você digitar é enviado.
Como usar Decodificador de links encapsulados
- Cole o link ou a mensagem. Cole um link encapsulado por linha, ou um e-mail inteiro, uma mensagem de chat ou um código-fonte HTML. Links neutralizados como hxxps://example[.]com são aceitos, até 500 links e 1 MB de texto.
- Decodifique. Clique em Unwrap (decodificar) ou pressione Ctrl+Enter. Colar na caixa também inicia a execução. Nada é enviado a lugar nenhum.
- Leia as camadas. Cada resultado lista os encapsuladores em ordem, com o parâmetro que continha o próximo endereço, por exemplo Google redirect, q.
- Confira o destino. A caixa Destination mostra o endereço final neutralizado, para que não possa ser clicado. Copy raw fornece o endereço funcional para anotações ou para uma denúncia.
- Leia os avisos. Os avisos vermelhos vêm primeiro, depois os amarelos. Se não houver nenhum, lembre-se de que a ferramenta só lê o endereço, não a reputação do site.
- Repasse. Use Send to… para abrir o destino no URL Parser ou no Homoglyph Checker, ou Copy all destinations quando a mensagem tinha vários links.
Exemplo
Safe Links envolvendo URL Defense
https://nam12.safelinks.protection.outlook.com/?url=https%3A%2F%2Furldefense.com%2Fv3%2F__https%3A%2F%2Flogin.example.com%40198.51.100.7%2Fverify*id%3D1__%3BPw!!AbCdEf!GhIjKl%24&data=05%7C02%7C%7Cc0ffee%7C0&reserved=01 link: 1 unwrapped, 1 with warnings.
Result 2 layers
Microsoft Defender Safe Links url
→ hxxps://urldefense[.]com/v3/__https://login[.]example[.]com[@]198[.]51[.]100[.]7/verify*id=1__;Pw!!AbCdEf!GhIjKl$
Proofpoint URL Defense path __…__ with 1 replaced character(s)
→ hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1
Destination
hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1
Copy raw
The URL has a user-info part before "@" ("login[.]example[.]com"). Browsers ignore it and go to 198[.]51[.]100[.]7.
The host is a bare IP address (198[.]51[.]100[.]7) instead of a domain name.Duas camadas: Microsoft Defender Safe Links e, depois, Proofpoint URL Defense v3, que restaura o ? escondido atrás do *. O destino hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1 é sinalizado: o texto antes do @ é só um nome de usuário, e o host real é o IP 198.51.100.7.
O que ele verifica
| Sinal | O que isso significa |
|---|---|
| Camadas de encapsulamento | Cada encapsulador ou parâmetro de redirecionamento conhecido é decodificado uma camada por vez, até 10 camadas. Camadas aninhadas podem ser normais em e-mails encaminhados, mas também escondem o endereço de uma olhada rápida. |
| Nome de usuário antes do @ (vermelho) | Em https://login.example.com@198.51.100.7/, tudo antes do @ é só um nome de usuário. O navegador vai para o host depois dele, então o nome conhecido é enfeite. |
| Endereço IP como host | Um host IPv4 ou IPv6 direto recebe um aviso amarelo. Um host escrito como um único número decimal ou hex, ou em outra forma incomum, aparece em vermelho e é exibido com o endereço que o navegador realmente abriria. |
| Host internacionalizado | Um host com letras fora do ASCII ou com um rótulo xn-- é exibido em Unicode e em punycode. Verifique se há letras parecidas antes de confiar nele. |
| Nome conhecido no início do host | Se um host começa com algo como example.com., mas o domínio registrado no final é outro, a ferramenta indica o domínio registrado real. |
| Texto do link não corresponde | Em links HTML e Markdown, o texto visível é comparado com o destino, e um domínio diferente aparece em vermelho. Em texto simples, um domínio citado logo antes do link gera um aviso amarelo. |
| URL de script (vermelho) | Um destino javascript:, data: ou vbscript: executa código ou renderiza conteúdo em vez de abrir uma página da web. |
| Link curto ou só domínio | Encurtadores como bit.ly não podem ser decodificados offline, então você recebe um comando curl no lugar. Links do Mimecast e alguns do Sophos revelam só o domínio de destino. |
| Loops e dados incompletos | Um link que aponta para si mesmo, uma execução interrompida depois de 10 camadas ou dados do URL Defense mais curtos que seus marcadores são informados, porque o resultado pode estar incompleto. |
Mais exemplos
Redirecionamento do Google para um host parecido
https://www.google.com/url?q=https://example.com.login-check.example.net/session&sa=D&source=editors1 camada: Google redirect, parâmetro q. Destino hxxps://example[.]com[.]login-check[.]example[.]net/session com um aviso amarelo: The host starts with "example[.]com." but the registered domain is example[.]net.
Mensagem que cita outro site
Sign in at example.com to keep your account: https://l.facebook.com/l.php?u=https%3A%2F%2Fsignin.example.net%2Faccount&h=AT0abc1 camada: Facebook / Meta link shim, parâmetro u. Destino hxxps://signin[.]example[.]net/account. Aviso amarelo: The text before the link mentions example[.]com but the link goes to signin[.]example[.]net.
IP decimal dentro de um redirecionamento do YouTube
https://www.youtube.com/redirect?q=http%3A%2F%2F3221226010%2Fprize&v=abc1 camada: YouTube redirect, parâmetro q. Destino hxxp://3221226010/prize. Aviso vermelho: Obfuscated IP address: the host is written as 3221226010, which browsers read as 192[.]0[.]2[.]26.
Perguntas frequentes
Quais encapsuladores ele decodifica?
Microsoft Defender Safe Links, Proofpoint URL Defense v1, v2 e v3, links do Google /url e do Google Ads, shims de links do Facebook, Instagram e Messenger, LinkedIn, Barracuda, Cisco Secure Email, Trend Micro, Sophos, Bing, redirecionamentos do Steam, Slack, YouTube e VK, além de parâmetros de redirecionamento como url=, u=, q=, target=, to=, dest=, redirect=, next= ou link= que contêm uma URL. Os wrappers aninhados são decodificados uma camada por vez.
Por que links t.co, lnkd.in e Mimecast não são totalmente decodificados?
Encurtadores como t.co e lnkd.in guardam o destino nos próprios servidores, então a ferramenta mostra um comando curl -sI que exibe o cabeçalho Location sem abrir a página. Links do Mimecast só carregam o domínio de destino; o endereço completo fica com o Mimecast.
O link é aberto ou enviado a algum lugar?
Não. A decodificação é processamento de texto nesta página: nenhuma requisição vai para o serviço de encapsulamento, para o encurtador ou para o destino. O comando curl é só exibido para você executar por conta própria, de preferência em uma máquina isolada.
Posso colar um e-mail inteiro ou o código-fonte HTML dele?
Sim. A ferramenta encontra todos os links http, https e www no texto, inclusive os neutralizados. Em âncoras HTML e links Markdown, ela também lê o texto visível do link e o compara com o destino real. Ela processa até 500 links e o primeiro 1 MB de texto.
Por que um número longo aparece como endereço IP?
Os navegadores aceitam um endereço IPv4 escrito como um único número decimal ou hexadecimal, então http://3221226010/ abre 192.0.2.26. Links de phishing usam isso para esconder o endereço das pessoas e de filtros simples, e é por isso que a ferramenta o marca em vermelho.
Nenhum aviso apareceu. O destino é seguro?
Não necessariamente. A ferramenta só lê a estrutura do endereço. Ela não sabe quem opera o site nem se ele está em uma lista de bloqueio. Verifique o destino com o DestroyList Check ou o Reputation Links antes de abri-lo.