Průvodce · Riziko spojení · září 2026 · od Stefana Tsezarova

Přečtěte si to zprava

Webová adresa vám přesně řekne, kam směřuje. Jen vám to neřekne v pořadí, v jakém to čtete.

Bylo vám řečeno, abyste před kliknutím na odkaz zkontrolovali. To je dobrá rada, ale většina lidí kontroluje špatnou část.

Odkaz může nést známý název společnosti a přesto může přistát někde úplně jinde. Název se může nacházet v subdoméně, v cestě nebo před znakem @. Na telefonu může být skutečná doména odříznuta, pokud nejprve nerozbalíte odkaz.

Většinu z toho řeší jeden zvyk:

Níže: hlavní triky, jak zkontrolovat každý z nich, aniž byste cokoli otevřeli, a co vám strukturální sken může a nemůže říct.

01 Kde ukazuje adresa

Vezměte tuto adresu:

Prohlížeč jej rozdělí na schéma , hostitel a cestu . Hostitel je místo, kde se skutečně připojujete. Cestu volí ten, kdo tento hostitel provozuje, a může říkat, co chce.

Čtyři části https://metamask.io.secure-verify.example/login, v daném pořadí.

Uvnitř tohoto hostitele je registrovatelná doména secure-verify.example. Vše nalevo je subdoména, kterou ovládá kdokoli, kdo vlastní secure-verify.example . Vlastník může vytvořit libovolný počet subdomén a pojmenovat je více či méně volně – včetně pojmenování jedné metamask.io .

Takže metamask.io zde není cíl. Je to jen štítek vlevo.

Co znamená "registrovatelná doména"?

Část, na které záleží, je registrovatelná doména : jméno, které si může osoba nebo společnost skutečně zaregistrovat. Je to veřejná přípona plus jeden štítek před ní. Často to vypadá jako example.com. S některými strukturami kódu země to vypadá jako example.co.uk nebo example.com.au .

Prohlížeče a bezpečnostní nástroje používají k nalezení této hranice data veřejné přípony. Nepředpokládejte, že každá přípona používá stejný počet štítků. Praktický návod zní:

Toto je registrovatelná doména.

Tato hranice není poznámka pod čarou. Náš vlastní skener počítal štítky do 19. září 2026, rozhodl se, že vlastníkem coinbase.co.uk je co.uk a označil obyčejný legitimní odkaz jako předstírání identity značky. Nástroj, který křičí o skutečných webech, se vypne a pak nikoho nechrání. Co se změnilo a co se stále nedaří, je v Technical Transparency .

02 Jméno vlevo

Důvěryhodný název může sedět v subdoméně nebo v cestě, aniž by cokoliv kontroloval.

Stejný trik funguje v cestě, kde se čte ještě přirozeněji:

V obou zavádějících příkladech je registrovatelná doména wallet-check.example nebo cdn-assets-9931.example. Název značky se objevuje pouze na místě, které může vyplnit vlastník domény.

V telefonu může dlouhá adresa vytlačit skutečnou doménu z dohledu. Před posouzením odkaz rozbalte nebo zkopírujte.

03 Podobné znaky

Tady se na adrese neděje nic chytrého. Někdo si zaregistruje doménu, která jednoduše vypadá jako jiná.

Při této velikosti je rozdíl zřejmý. V adresním řádku to často není.

Lookalike doména je skutečná doména. Toto není chyba prohlížeče. Funguje to, protože naše oči zakulacují podobné tvary.

Podívejte se na třetí řádek: stejný znak zastupuje jiné písmeno než ve druhém. Proto je zachycení strojem těžší, než to zní – opravte jeden pravopis a chytíte paypa1, když půjdete přímo kolem b1nance. Náš skener zkouší několik způsobů, jak lze jméno přečíst, místo toho, aby jej redukoval na jeden.

Související verze nepotřebuje vůbec žádné podobné znaky. Do skutečného jména jen přišroubuje další slova:

Každý z nich staví značku na pozici registrovatelné domény. Název není špatně umístěn a není napsán chybně. Má prostě společnost. Společnosti legitimně provozují několik domén, takže to samo o sobě není důkazem ničeho – ale neznámá doména značky plus slovo by neměla být považována za oficiální jen proto, že je v ní značka.

Nevěřte jen svým očím. Porovnejte doménu s něčím, čemu již důvěřujete: uloženou záložkou nebo oficiální aplikací.

04 Internacionalizované domény a domény punycode

Dosavadní stav techniky Internacionalizované názvy domén umožňují lidem psát domény ve skriptech, jako je řečtina, azbuka, arabština a čínština. Aby starší systémy stále fungovaly, mnoho z těchto názvů má také formu ASCII, která začíná xn-- . To je punycode.

Punycode není automaticky červenou vlajkou. Mnoho legitimních organizací používá internacionalizované domény. Nečekaný odkaz punycode si ale zaslouží bližší pohled, zvláště ve zprávě, o kterou jste nežádali o penězích, přístupu k účtu nebo naléhavém ověření.

Několik písmen azbuky je nakresleno podobně jako latinka — а, е, о, р, с — takže nahrazený název může vypadat na obrazovce téměř identicky, zatímco jde o nesouvisející doménu v síti.

Dosavadní stav techniky Prohlížeče mohou zobrazovat formu Unicode nebo ASCII v závislosti na doméně a vlastních pravidlech prohlížeče. Skener dokáže rozpoznat punycode, aniž by byl schopen prokázat, jak vykreslený název vypadá. Označení punycode označí něco ke kontrole; nedokazuje to podvod.

05 Znak @

V HTTP nebo HTTPS URL je cokoliv před @ informace o uživateli. Není to cílový hostitel.

Pět částí https://ledger.com@ledgerlive-verify.example/device, v daném pořadí.

Hostitelem je ledgerlive-verify.example. Text ledger.com není stránka, kterou navštěvujete.

Toto je trik, který přežije pečlivé čtení, protože známé jméno tam skutečně je, je součástí adresy a je napsáno správně. Známé jméno před @ nedokazuje nic o tom, kdo je vlastníkem odkazu.

06 Zkrácené odkazy a QR kódy

Zkrácený odkaz skryje cíl, dokud jej nerozbalíte nebo následujete. Služby jako bit.ly, t.co a cutt.ly jsou běžné a široce používané z dobrých důvodů – což je součástí toho, co je činí užitečným krytím.

QR kód adresu zcela skryje. Kód může být v pořádku, ale z obrázku nemůžete zkontrolovat cíl.

Náš skener označí zkracovače, které rozpozná, ale nevyřeší je za vás. Pokud by následoval odkaz cizího člověka, kontaktoval by server útočníka a sdělil by mu, že odkaz byl zkontrolován.

Pokud potřebujete rozšířit krátký odkaz, použijte službu, které důvěřujete, a považujte vše, co se vrátí, za nedůvěryhodné, dokud to nezkontrolujete.

07 Pracovní příklad

Přečtěte si to tak, jak by to skutečně dorazilo: na telefonu, v oznámení o zařízení, které vlastníte.

Smyšlený příklad · vyhrazené domény

Nic v této zprávě nevyžaduje nic tajného. Žádná fráze pro obnovení, žádný soukromý klíč, žádné heslo. Požádá o kliknutí – a to je útok, protože stránka na druhé straně může provést další požadavek, jakmile tam budete.

08 Jak číst adresu, než ji otevřete

09 Co vám sken může a nemůže říct

Vložte zprávu do skeneru a ten zkontroluje strukturu adres a odkazů, které pokrývá, přičemž vyhledá obvyklé varovné signály.

Samotné skenování nic nekontaktuje. Spustí se ve vašem prohlížeči a žádný odkaz ve zprávě se nenačte ani nevyřeší. Pokud poté stisknete Zkontrolujte tuto adresu na kryptografické adrese, kterou skenování nalezlo, tato adresa – a nic jiného ze zprávy – přejde poskytovateli zabezpečení adresy. Jedná se o samostatný krok, který se rozhodnete podniknout, a technická transparentnost uvádí přesně to, co každý poskytovatel obdrží.

Dosavadní stav techniky Tři meze stojí za to uvést samy o sobě.

Doména bez triku je pro strukturální kontrolu neviditelná. wallet-refund-centre.example nemá žádný podobný charakter, žádnou značku, nic nepatřičného. Po registraci dnes ráno a hostování přesvědčivé kopie přihlašovací stránky peněženky by tato kontrola prošla a většina ostatních se jí líbí. Systémy reputace – služby, které uchovávají seznamy známých špatných adres – odpovídají na jinou otázku a tento skener neplní svou práci.

Prosté překlepy nejsou spolehlivě zachyceny. metamsk.io je překlep, nikoli záměna zaměnitelných znaků. Skener nezachytí každý z nich. To je známé omezení, ne tichý slib.

Punycode je identifikován, není přeložen. Skener vám může sdělit, že doména je ve tvaru punycode. Nemůže vám vždy říct, jaké jméno tento formulář vyhláskuje.

Pravidlo

Známé jméno, které tam je, není důkazem. Najděte registrovatelnou doménu.

Je to nejlevnější věc z celé adresy, kterou tam vložíte – a část, u které se čtenář s největší pravděpodobností zastaví.

Každá adresa v této příručce, která demonstruje trik, ukazuje na vyhrazenou ukázkovou doménu. Tyto destinace neřeší a nejsou skutečnými službami. Jediná živá doména, která je zde vytištěna, je metamask.io, skutečná stránka MetaMask. V sekci 2 se objevuje jako správný případ, protože uvedení toho, kam značka skutečně patří, vyžaduje skutečnou adresu v kontrastu s těmi zavádějícími.

Příklad zprávy je smyšlený. Související: co stránka na druhém konci odkazu obvykle požaduje, text, který se vykresluje jako vůbec nica pokyny napsané spíše pro AI než pro vás. Tento článek slouží pouze pro vzdělávací účely a není finančním poradenstvím.

Reading a suspicious message in your browser? The scan-selected-text bookmark checks it without copying and pasting, and the text stays in your browser.