دليل · مخاطر الروابط · سبتمبر 2026 · بقلم Stefan Tsezarov

اقرأه من اليمين

يخبرك عنوان الويب بالضبط إلى أين يذهب. لكنه لا يخبرك بذلك بالترتيب الذي تقرؤه به.

قيل لك أن تتحقق من الرابط قبل النقر عليه. هذه نصيحة جيدة، لكن معظم الناس يتحققون من الجزء الخطأ.

قد يحمل الرابط اسم شركة مألوفة ويقودك مع ذلك إلى مكان آخر تمامًا. قد يقع الاسم في نطاق فرعي، أو في المسار، أو قبل علامة @. وعلى الهاتف، قد يُقتطع النطاق الحقيقي ما لم توسّع الرابط أولًا.

عادة واحدة تحل معظم ذلك:

فيما يلي: الحيل الرئيسية، وكيف تتحقق من كل منها دون فتح أي شيء، وما يستطيع فحص البنية إخبارك به وما لا يستطيع.

01إلى أين يشير العنوان

خذ هذا العنوان:

يقسّمه المتصفح إلى بروتوكول (scheme) ومضيف (host) ومسار (path). المضيف هو المكان الذي تتصل به فعلًا. والمسار يختاره من يدير ذلك المضيف، ويمكنه أن يقول أي شيء يريد.

الأجزاء الأربعة لـ https://metamask.io.secure-verify.example/login، بالترتيب.

داخل ذلك المضيف، النطاق القابل للتسجيل هو secure-verify.example. وكل ما على يساره نطاق فرعي، يتحكم فيه مالك secure-verify.example. ويستطيع المالك إنشاء ما يشاء من النطاقات الفرعية وتسميتها بحرية تقريبًا — بما في ذلك تسمية أحدها metamask.io.

لذا فإن metamask.io ليس الوجهة هنا. إنه مجرد تسمية على اليسار.

ما معنى «النطاق القابل للتسجيل»

الجزء المهم هو النطاق القابل للتسجيل: الاسم الذي يستطيع شخص أو شركة تسجيله فعلًا. وهو اللاحقة العامة مع التسمية الواحدة التي تسبقها. وكثيرًا ما يبدو مثل example.com. ومع بعض بنى رموز الدول يبدو مثل example.co.uk أو example.com.au.

تستخدم المتصفحات وأدوات الأمان بيانات اللواحق العامة لإيجاد ذلك الحد. لا تفترض أن كل لاحقة تستخدم العدد نفسه من التسميات. والتعليمة العملية هي:

هذا هو النطاق القابل للتسجيل.

هذا الحد ليس هامشًا. فاحصنا نفسه كان يعدّ التسميات حتى 19 سبتمبر 2026، فقرر أن مالك coinbase.co.uk هو co.uk، ووسم رابطًا مشروعًا عاديًا بأنه انتحال لعلامة تجارية. الأداة التي تصرخ بشأن مواقع حقيقية يُوقَف تشغيلها، وعندها لا تحمي أحدًا. ما الذي تغيّر، وما الذي لا تزال لا تستطيع تحديده، موجود في الشفافية التقنية.

02الاسم على اليسار

قد يقع اسم موثوق في نطاق فرعي أو في المسار دون أن يتحكم في أي شيء.

تعمل الحيلة نفسها في المسار، حيث تبدو أكثر طبيعية:

في المثالين المضللين كليهما، النطاق القابل للتسجيل هو wallet-check.example أو cdn-assets-9931.example. واسم العلامة يظهر فقط في موضع يملؤه مالك ذلك النطاق.

على الهاتف، قد يدفع العنوان الطويل النطاق الحقيقي خارج مجال الرؤية. وسّع الرابط أو انسخه قبل أن تحكم عليه.

03أحرف متشابهة

هنا لا يجري شيء ذكي في العنوان. يسجّل أحدهم نطاقًا يشبه ببساطة نطاقًا آخر.

بهذا الحجم يكون الفرق واضحًا. أما في شريط العنوان فغالبًا لا يكون.

النطاق الشبيه نطاق حقيقي. وهذا ليس خللًا في المتصفح. إنه ينجح لأن أعيننا تقرّب الأشكال المتشابهة.

انظر إلى الصف الثالث: الحرف نفسه يحل محل حرف مختلف عما حل محله في الصف الثاني. لهذا فإن التقاط ذلك آليًا أصعب مما يبدو — أصلح قراءة واحدة فتلتقط paypa1 بينما تمر مباشرة بجانب b1nance. يجرّب فاحصنا عدة طرق قد يُقرأ بها الاسم بدل اختزاله إلى واحدة.

نسخة ذات صلة لا تحتاج إلى أحرف متشابهة إطلاقًا. إنها تلحق كلمات إضافية بالاسم الحقيقي فحسب:

كل واحد من هذه يضع العلامة في موضع النطاق القابل للتسجيل. الاسم ليس في غير موضعه وليس مكتوبًا خطأ. لكن معه رفقة. والشركات تدير فعلًا عدة نطاقات بشكل مشروع، لذا فهذا ليس دليلًا على شيء بمفرده — لكن لا ينبغي اعتبار نطاق غير مألوف من نوع علامة زائد كلمة رسميًا لمجرد أن العلامة فيه.

لا تثق بعينيك وحدهما. قارن النطاق بشيء تثق به مسبقًا: إشارة مرجعية محفوظة، أو التطبيق الرسمي.

04النطاقات المدوّلة وPunycode

تتيح أسماء النطاقات المدوّلة للناس كتابة النطاقات بأنظمة كتابة مثل اليونانية والسيريلية والعربية والصينية. وكي تظل الأنظمة القديمة تعمل، لكثير من هذه الأسماء أيضًا صيغة ASCII تبدأ بـ xn--. هذا هو Punycode.

Punycode ليس علامة خطر تلقائيًا. كثير من المنظمات المشروعة تستخدم نطاقات مدوّلة. لكن رابط Punycode غير متوقع يستحق نظرة أدق، خاصة في رسالة لم تطلبها عن المال، أو الوصول إلى حساب، أو تحقق عاجل.

عدة أحرف سيريلية تُرسم كثيرًا مثل نظيراتها اللاتينية — а, е, о, р, с — لذا قد يبدو اسم مُستبدَل شبه مطابق على الشاشة بينما هو نطاق لا صلة له على الشبكة.

قد تعرض المتصفحات صيغة Unicode أو صيغة ASCII، بحسب النطاق وقواعد المتصفح نفسه. يستطيع الفاحص رصد Punycode دون أن يستطيع إثبات شكل الاسم المعروض. ووسم Punycode يحدد شيئًا للمراجعة؛ ولا يثبت الاحتيال.

05علامة @

في عنوان URL من نوع HTTP أو HTTPS، كل ما يسبق @ هو معلومات المستخدم. وليس المضيف الوجهة.

الأجزاء الخمسة لـ https://ledger.com@ledgerlive-verify.example/device، بالترتيب.

المضيف هو ledgerlive-verify.example. والنص ledger.com ليس الموقع الذي تزوره.

هذه هي الحيلة التي تصمد أمام القراءة المتأنية، لأن الاسم المألوف موجود فعلًا، وجزء من العنوان فعلًا، ومكتوب بشكل صحيح فعلًا. الاسم المألوف قبل @ لا يثبت شيئًا عن مالك الرابط.

06الروابط المختصرة ورموز QR

يخفي الرابط المختصر وجهته حتى توسّعه أو تتبعه. خدمات مثل bit.ly وt.co وcutt.ly عادية ومستخدمة على نطاق واسع لأسباب وجيهة — وهذا جزء مما يجعلها غطاءً مفيدًا.

يخفي رمز QR العنوان تمامًا. قد يكون الرمز سليمًا، لكنك لا تستطيع فحص الوجهة من الصورة.

يسم فاحصنا خدمات الاختصار التي يتعرف عليها لكنه لا يحلّها لك. لو تتبّع رابط شخص غريب، لاتصل بخادم المهاجم وأخبره بأن الرابط قد فُحص.

إذا احتجت إلى توسيع رابط قصير، فاستخدم خدمة تثق بها، وعامل ما يعود على أنه غير موثوق حتى تتحقق منه.

07مثال تطبيقي

اقرأه كما سيصل فعلًا: على الهاتف، في إشعار، عن جهاز تملكه.

مثال مختلق · نطاقات محجوزة

لا شيء في تلك الرسالة يطلب سرًا. لا عبارة استرداد، ولا مفتاح خاص، ولا كلمة مرور. إنها تطلب نقرة — وهذا هو الهجوم، لأن الصفحة على الطرف الآخر تستطيع تقديم الطلب التالي بمجرد وصولك.

08كيف تقرأ عنوانًا قبل أن تفتحه

09ما يستطيع الفحص إخبارك به وما لا يستطيع

الصق رسالة في الفاحص وسيفحص بنية العناوين والروابط التي يشملها، باحثًا عن علامات التحذير المعتادة.

الفحص نفسه لا يتصل بأي شيء. يعمل في متصفحك، ولا يُجلب أو يُحلّ أي رابط في الرسالة. وإذا ضغطت بعد ذلك افحص هذا العنوان على عنوان عملة مشفرة وجده الفحص، يذهب ذلك العنوان — ولا شيء غيره من الرسالة — إلى مزوّد أمان العناوين. هذه خطوة منفصلة تختار أن تتخذها، وتسرد الشفافية التقنية بالضبط ما يتلقاه كل مزوّد.

ثلاثة حدود تستحق أن تُذكر وحدها.

النطاق الخالي من الحيل غير مرئي لفحص البنية. wallet-refund-centre.example لا يحتوي على حرف شبيه، ولا اسم علامة، ولا شيء في غير موضعه. لو سُجّل هذا الصباح واستضاف نسخة مقنعة من صفحة دخول محفظة، لاجتاز هذا الفحص ومعظم الفحوص المشابهة. أنظمة السمعة — الخدمات التي تحتفظ بقوائم العناوين السيئة المعروفة — تجيب عن سؤال مختلف، وهذا الفاحص لا يؤدي عملها.

الأخطاء الإملائية البسيطة لا تُلتقط بشكل موثوق. metamsk.io خطأ كتابي، لا استبدال بحرف قابل للالتباس. ولا يلتقط الفاحص كل هذه الأخطاء. هذا قيد معروف، لا وعد ضمني.

يُتعرَّف على Punycode، ولا يُترجَم. يستطيع الفاحص إخبارك بأن نطاقًا بصيغة Punycode. ولا يستطيع دائمًا إخبارك بالاسم الذي تكتبه تلك الصيغة.

القاعدة

وجود الاسم المألوف ليس دليلًا. جد النطاق القابل للتسجيل.

إنه أرخص شيء في العنوان كله يمكن وضعه هناك — والجزء الذي يُرجَّح أن يتوقف عنده القارئ.

كل عنوان في هذا الدليل يوضح حيلة يشير إلى نطاق مثالي محجوز. هذه الوجهات لا تُحلّ وليست خدمات حقيقية. النطاق الحقيقي الوحيد المطبوع هنا هو metamask.io، موقع MetaMask الفعلي. ويظهر في القسم 2 بوصفه الحالة الصحيحة، لأن إظهار أين ينتمي اسم علامة فعلًا يتطلب عنوانًا حقيقيًا للمقارنة مع العناوين المضللة.

الرسالة المثال مختلقة. ذو صلة: ما الذي تطلبه عادة الصفحة على الطرف الآخر من الرابط، ونص لا يظهر على الإطلاق، وتعليمات مكتوبة لذكاء اصطناعي لا لك. هذا المقال لأغراض تعليمية فقط وليس استشارة مالية.

تقرأ رسالة مريبة في متصفحك؟ الإشارة المرجعية لفحص النص المحدد تفحصها دون نسخ ولصق، ويبقى النص في متصفحك.