Come leggere un URL prima di firmare
Il nome host attuale conta più di un logo o una parola familiare, separandolo dalle informazioni dell'utente, dai parametri del percorso e della query.
In questa guida
Non è necessario comprendere tutti i parametri per individuare una destinazione inaspettata. Questi esempi utilizzano domini dimostrativi riservati, non luoghi da firmare.
Separare il nome host da altre parti
In https://konto.example.net/profile?mode=demo#settings, lo schema è HTTPS e il nome host è konto.example.net. Le parti rimanenti sono il percorso, la query e il frammento. Un marchio nel percorso non cambia il nome host.
In https://bank.example@logowanie.example.net/, il nome host è logowanie.example.net. Il testo prima @ è l'informazione dell'utente, non la destinazione. La prima parola dopo https:// non identifica necessariamente il sito.
Confronta il nome completo
bank.example.net.oszust.example.org non è un sottodominio example.net. Si conclude con un dominio diverso. I caratteri tipos e simili possono anche puntare altrove.
Non identificare ogni proprietario mantenendo meccanicamente le ultime due etichette. Suffissi pubblici multi-part e hosting condiviso complicano questa regola. Confronta con un indirizzo precedentemente salvato o verificato in modo indipendente.
Comprendere la normalizzazione
I browser possono normalizzare gli indirizzi. Alcuni nomi internazionalizzati appaiono in punycode con xn--. Questo da solo non indica frode, ma il nome completo ha bisogno di controllo.
The ispettore dell'URL mostra il nome host parsed senza visitare il sito. Non espande collegamenti brevi né segue redirect successivi.
HTTPS non è una promessa di onestà
HTTPS protegge la connessione a quella destinazione; un sito fraudolento può usarlo anche. Anche un indirizzo corretto non può escludere un sito compromesso o una richiesta disonesta. Per i messaggi di account o di pagamento, aprire l'app nota in modo indipendente.