Ръководство · Риск при връзки · септември 2026 · Стефан Цезаров

Чети отдясно

Уеб адресът казва точно къде води. Само че не го казва в реда, в който го четеш.

Казвали са ти да провериш връзката, преди да кликнеш. Съветът е добър, но повечето хора проверяват грешната част.

Връзката може да носи познато име на компания и пак да те отведе съвсем другаде. Името може да стои в поддомейн, в пътя или преди знак @. На телефон истинският домейн може да е отрязан, докато не разгънеш връзката.

Един навик решава повечето от това:

По-долу: основните трикове, как да провериш всеки от тях, без да отваряш нищо, и какво може и какво не може да ти каже една структурна проверка.

01Накъде сочи един адрес

Вземи този адрес:

Браузърът го разделя на схема, хост и път. Хостът е мястото, с което реално се свързваш. Пътят се избира от този, който управлява хоста, и може да казва каквото си иска.

Четирите части на https://metamask.io.secure-verify.example/login, по ред.

В този хост регистрируемият домейн е secure-verify.example. Всичко вляво от него е поддомейн, контролиран от собственика на secure-verify.example. Собственикът може да създаде колкото поддомейни иска и да ги кръсти почти свободно — включително да кръсти един metamask.io.

Така че metamask.io тук не е дестинацията. Това е просто етикет отляво.

Какво значи „регистрируем домейн“

Важната част е регистрируемият домейн: името, което човек или компания реално може да регистрира. Това е публичният суфикс плюс единствения етикет пред него. Често изглежда като example.com. При някои структури с код на държава изглежда като example.co.uk или example.com.au.

Браузърите и инструментите за сигурност използват данни за публичните суфикси, за да намерят тази граница. Не приемай, че всеки суфикс има еднакъв брой етикети. Практичното правило е:

Това е регистрируемият домейн.

Тази граница не е бележка под линия. Нашият собствен скенер броеше етикети до 19 септември 2026 г., реши, че собственикът на coinbase.co.uk е co.uk, и маркира обикновена легитимна връзка като имитация на марка. Инструмент, който вика срещу истински сайтове, бива изключен и тогава не пази никого. Какво се промени и какво все още не може да разбере е описано в Техническа прозрачност.

02Името отляво

Доверено име може да стои в поддомейн или в пътя, без да контролира нищо.

Същият трик работи и в пътя, където се чете още по-естествено:

И в двата подвеждащи примера регистрируемият домейн е wallet-check.example или cdn-assets-9931.example. Името на марката се появява само на място, което собственикът на домейна попълва както иска.

На телефон дълъг адрес може да избута истинския домейн извън екрана. Разгъни или копирай връзката, преди да го прецениш.

03Символи, които си приличат

Тук в адреса няма нищо хитро. Някой просто регистрира домейн, който изглежда като друг.

При този размер разликата е очевидна. В адресната лента често не е.

Домейнът двойник е истински домейн. Това не е бъг в браузъра. Работи, защото очите ни закръглят подобни форми.

Виж третия ред: същият символ замества различна буква от тази на втория. Затова машинното хващане е по-трудно, отколкото звучи — оправиш едно изписване и хващаш paypa1, но подминаваш b1nance. Нашият скенер пробва няколко начина, по които едно име може да се прочете, вместо да го свежда до един.

Сроден вариант изобщо не се нуждае от двойници. Просто закача допълнителни думи към истинското име:

Всеки от тях поставя марката на мястото на регистрируемия домейн. Името не е разместено и не е сгрешено. Просто има компания. Компаниите наистина управляват по няколко домейна, така че това само по себе си не доказва нищо — но непознат домейн „марка плюс дума“ не бива да се приема за официален само защото марката е в него.

Не се доверявай само на очите си. Сравни домейна с нещо, на което вече имаш доверие: запазена отметка или официалното приложение.

04Интернационализирани и punycode домейни

Интернационализираните имена на домейни позволяват домейни на писменост като гръцка, кирилица, арабска и китайска. За да работят и по-старите системи, много от тях имат и ASCII форма, която започва с xn--. Това е punycode.

Punycode не е автоматично червен флаг. Много легитимни организации използват интернационализирани домейни. Но неочаквана punycode връзка заслужава по-внимателен поглед, особено в съобщение, което не си очаквал, за пари, достъп до акаунт или спешна проверка.

Няколко букви от кирилицата се рисуват почти като латинските — а, е, о, р, с — така че име със заменени букви може да изглежда почти еднакво на екрана, а в мрежата да е съвсем друг домейн.

Браузърите може да показват Unicode формата или ASCII формата според домейна и собствените си правила. Скенерът може да засече punycode, без да може да докаже как изглежда показаното име. Маркирането на punycode отбелязва нещо за преглед; не доказва измама.

05Знакът @

В HTTP или HTTPS адрес всичко преди @ е потребителска информация. Това не е хостът на дестинацията.

Петте части на https://ledger.com@ledgerlive-verify.example/device, по ред.

Хостът е ledgerlive-verify.example. Текстът ledger.com не е сайтът, който посещаваш.

Това е трикът, който оцелява и при внимателно четене, защото познатото име наистина е там, наистина е част от адреса и наистина е изписано правилно. Познато име преди @ не доказва нищо за това чия е връзката.

06Съкратени връзки и QR кодове

Съкратената връзка крие дестинацията, докато не я разгънеш или последваш. Услуги като bit.ly, t.co и cutt.ly са обикновени и широко използвани с добри причини — и точно това ги прави удобно прикритие.

QR кодът крие адреса изцяло. Кодът може да е наред, но не можеш да провериш дестинацията от изображението.

Нашият скенер маркира съкращаващите услуги, които разпознава, но не ги разгъва вместо теб. Ако последваше връзката на непознат, щеше да се свърже със сървъра на нападателя и да му съобщи, че връзката е проверена.

Ако трябва да разгънеш кратка връзка, използвай услуга, на която имаш доверие, и третирай резултата като недоверен, докато не го провериш.

07Разгледан пример

Прочети го така, както би пристигнал наистина: на телефон, като известие, за устройство, което притежаваш.

Измислен пример · резервирани домейни

Нищо в това съобщение не иска нещо тайно. Нито фраза за възстановяване, нито частен ключ, нито парола. Иска клик — и това е атаката, защото страницата от другата страна може да отправи следващото искане, щом стигнеш там.

08Как да прочетеш адрес, преди да го отвориш

09Какво може и какво не може да ти каже проверката

Постави съобщение в скенера и той проверява структурата на адресите и връзките, които покрива, като търси обичайните предупредителни знаци.

Самата проверка не се свързва с нищо. Тя работи в браузъра ти и никоя връзка от съобщението не се отваря или разгъва. Ако после натиснеш Провери този адрес за крипто адрес, открит от проверката, този адрес — и нищо друго от съобщението — отива при доставчика на данни за сигурност на адреси. Това е отделна стъпка, която избираш сам, а Техническа прозрачност изброява точно какво получава всеки доставчик.

Три ограничения заслужават да се кажат отделно.

Домейн без трик в него е невидим за структурна проверка. wallet-refund-centre.example няма символ двойник, няма име на марка, нищо не е не на място. Регистриран тази сутрин и с убедително копие на страница за вход в портфейл, той би минал тази проверка и повечето подобни. Системите за репутация — услуги, които водят списъци с известни лоши адреси — отговарят на друг въпрос, а този скенер не върши тяхната работа.

Обикновените правописни грешки не се хващат надеждно. metamsk.io е печатна грешка, а не замяна със символ двойник. Скенерът не хваща всяка такава. Това е известно ограничение, а не мълчаливо обещание.

Punycode се разпознава, но не се превежда. Скенерът може да ти каже, че домейнът е в punycode форма. Не винаги може да ти каже какво име изписва тази форма.

Правилото

Това, че познатото име е там, не е доказателство. Намери регистрируемия домейн.

Това е най-евтиното нещо в целия адрес, което може да се сложи там — и частта, на която читателят най-вероятно ще спре.

Всеки адрес в това ръководство, който показва трик, сочи към резервиран примерен домейн. Тези дестинации не съществуват и не са истински услуги. Единственият истински домейн тук е metamask.io, истинският сайт на MetaMask. Той се появява в раздел 2 като правилния случай, защото за да покажеш къде наистина принадлежи името на марка, ти трябва истински адрес за контраст с подвеждащите.

Примерното съобщение е измислено. Свързано: какво обикновено иска страницата от другия край на връзката, текст, който се показва като нищо и инструкции, написани за AI, а не за теб. Статията е с образователна цел и не е финансов съвет.

Четеш подозрително съобщение в браузъра? Отметката за проверка на маркиран текст го проверява без копиране и поставяне, а текстът остава в браузъра ти.