Jak czytać adres URL przed logowaniem

Adres bywa długi, ale nie trzeba rozumieć każdego parametru, żeby wykryć niezgodność z oczekiwaną usługą. Pierwszy krok to odczytanie pełnego hosta. Przykłady poniżej używają domen przeznaczonych do demonstracji.

Oddziel host od pozostałych części

W https://konto.example.net/profil?tryb=demo#ustawienia protokół to HTTPS, host to konto.example.net, a późniejsze części opisują ścieżkę, parametry i fragment. Znajoma nazwa w ścieżce nie zmienia hosta.

W https://bank.example@logowanie.example.net/ hostem jest logowanie.example.net. Część przed @ nie jest miejscem połączenia. Nie zakładaj, że pierwsze słowo po https:// wskazuje właściciela strony.

Porównaj pełną nazwę

Adres bank.example.net.oszust.example.org nie jest subdomeną example.net. Kończy się inną domeną. Również literówka lub podobny znak może prowadzić w inne miejsce.

Nie próbuj ustalać właściciela każdej domeny przez mechaniczne odcięcie ostatnich dwóch członów. Istnieją wieloczłonowe końcówki, a także usługi współdzielące domeny. Najprostszy test to porównanie z adresem zapisanym wcześniej lub znalezionym niezależnie.

Zwróć uwagę na przekształcenia

Parser przeglądarki może normalizować zapis adresu. Nazwy z niektórymi znakami międzynarodowymi mogą być prezentowane jako punycode z członem xn--. Taki zapis sam w sobie nie oznacza oszustwa. Wymaga uważnego sprawdzenia nazwy.

Inspektor URL pokazuje host odczytany przez parser bez odwiedzania strony. Nie rozwiązuje skróconych linków i nie sprawdza, dokąd strona później przekierowuje.

HTTPS nie potwierdza uczciwości

HTTPS służy ochronie połączenia z daną stroną. Oszust także może go używać. Poprawny adres nie chroni natomiast przed przejętą stroną albo nieuczciwą prośbą w wiadomości.

Jeśli wiadomość dotyczy płatności lub problemu z kontem, otwórz znaną aplikację samodzielnie. Nie loguj się tylko dlatego, że odczyt adresu nie wykazał nietypowych elementów.