Οδηγός · Κίνδυνος συνδέσμων · Σεπτέμβριος 2026 · Stefan Tsezarov

Διάβασέ το από τα δεξιά

Μια διεύθυνση ιστού σου λέει ακριβώς πού πηγαίνει. Απλώς δεν σου το λέει με τη σειρά που τη διαβάζεις.

Σου έχουν πει να ελέγχεις έναν σύνδεσμο πριν τον πατήσεις. Καλή συμβουλή, αλλά οι περισσότεροι ελέγχουν το λάθος κομμάτι.

Ένας σύνδεσμος μπορεί να φέρει ένα γνώριμο όνομα εταιρείας και να καταλήγει κάπου εντελώς αλλού. Το όνομα μπορεί να βρίσκεται σε subdomain, στη διαδρομή ή πριν από ένα σύμβολο @. Σε κινητό, το πραγματικό domain μπορεί να κόβεται αν δεν αναπτύξεις πρώτα τον σύνδεσμο.

Μία συνήθεια λύνει τα περισσότερα:

Παρακάτω: τα κύρια κόλπα, πώς να ελέγξεις το καθένα χωρίς να ανοίξεις τίποτα, και τι μπορεί και τι δεν μπορεί να σου πει μια δομική σάρωση.

01Πού δείχνει μια διεύθυνση

Πάρε αυτή τη διεύθυνση:

Ο browser τη χωρίζει σε σχήμα, host και διαδρομή. Ο host είναι εκεί όπου πραγματικά συνδέεσαι. Τη διαδρομή τη διαλέγει όποιος λειτουργεί αυτόν τον host, και μπορεί να λέει ό,τι θέλει.

Τα τέσσερα μέρη του https://metamask.io.secure-verify.example/login, με τη σειρά.

Μέσα σε αυτόν τον host, το καταχωρίσιμο domain είναι το secure-verify.example. Ό,τι είναι αριστερά του είναι subdomain, που ελέγχεται από όποιον κατέχει το secure-verify.example. Ένας κάτοχος μπορεί να φτιάξει όσα subdomains θέλει και να τα ονομάσει σχεδόν ελεύθερα — ακόμη και να ονομάσει ένα metamask.io.

Οπότε το metamask.io δεν είναι εδώ ο προορισμός. Είναι απλώς μια ετικέτα στα αριστερά.

Τι σημαίνει «καταχωρίσιμο domain»

Το κομμάτι που μετράει είναι το καταχωρίσιμο domain: το όνομα που μπορεί πράγματι να καταχωρίσει ένα πρόσωπο ή μια εταιρεία. Είναι η δημόσια κατάληξη συν η μία ετικέτα μπροστά της. Συχνά μοιάζει με example.com. Σε ορισμένες δομές με κωδικούς χωρών μοιάζει με example.co.uk ή example.com.au.

Οι browsers και τα εργαλεία ασφαλείας χρησιμοποιούν δεδομένα δημόσιων καταλήξεων για να βρουν αυτό το όριο. Μην υποθέτεις ότι κάθε κατάληξη έχει τον ίδιο αριθμό ετικετών. Η πρακτική οδηγία είναι:

Αυτό είναι το καταχωρίσιμο domain.

Αυτό το όριο δεν είναι υποσημείωση. Ο δικός μας σαρωτής μετρούσε ετικέτες μέχρι τις 19 Σεπτεμβρίου 2026, αποφάσισε ότι ο κάτοχος του coinbase.co.uk ήταν το co.uk και επισήμανε έναν συνηθισμένο νόμιμο σύνδεσμο ως πλαστοπροσωπία brand. Ένα εργαλείο που φωνάζει για πραγματικούς ιστότοπους απενεργοποιείται, και τότε δεν προστατεύει κανέναν. Τι άλλαξε, και τι εξακολουθεί να μην μπορεί να βρει, υπάρχει στην Τεχνική διαφάνεια.

02Το όνομα στα αριστερά

Ένα αξιόπιστο όνομα μπορεί να βρίσκεται σε subdomain ή στη διαδρομή χωρίς να ελέγχει τίποτα.

Το ίδιο κόλπο λειτουργεί και στη διαδρομή, όπου διαβάζεται ακόμη πιο φυσικά:

Και στα δύο παραπλανητικά παραδείγματα το καταχωρίσιμο domain είναι το wallet-check.example ή το cdn-assets-9931.example. Το όνομα του brand εμφανίζεται μόνο σε σημείο που συμπληρώνει ο κάτοχος εκείνου του domain.

Σε κινητό, μια μεγάλη διεύθυνση μπορεί να σπρώξει το πραγματικό domain εκτός οθόνης. Ανάπτυξε ή αντίγραψε τον σύνδεσμο πριν τον κρίνεις.

03Χαρακτήρες-σωσίες

Εδώ δεν γίνεται τίποτα έξυπνο μέσα στη διεύθυνση. Κάποιος καταχωρίζει ένα domain που απλώς μοιάζει με άλλο.

Σε αυτό το μέγεθος η διαφορά είναι φανερή. Στη γραμμή διευθύνσεων συχνά δεν είναι.

Ένα domain-σωσίας είναι πραγματικό domain. Δεν είναι σφάλμα του browser. Λειτουργεί επειδή τα μάτια μας στρογγυλεύουν τα παρόμοια σχήματα.

Κοίτα την τρίτη γραμμή: ο ίδιος χαρακτήρας αντικαθιστά διαφορετικό γράμμα από ό,τι στη δεύτερη. Γι' αυτό ο αυτόματος εντοπισμός είναι πιο δύσκολος απ' όσο ακούγεται — διόρθωσε μία ορθογραφία και θα πιάσεις το paypa1 ενώ θα προσπεράσεις το b1nance. Ο σαρωτής μας δοκιμάζει διάφορους τρόπους με τους οποίους θα μπορούσε να διαβαστεί ένα όνομα αντί να το αναγάγει σε έναν.

Μια συγγενική εκδοχή δεν χρειάζεται καθόλου χαρακτήρες-σωσίες. Απλώς κολλά επιπλέον λέξεις στο πραγματικό όνομα:

Καθένα από αυτά βάζει το brand στη θέση του καταχωρίσιμου domain. Το όνομα δεν είναι σε λάθος θέση ούτε ανορθόγραφο. Απλώς έχει παρέα. Οι εταιρείες νόμιμα έχουν αρκετά domains, οπότε αυτό από μόνο του δεν αποδεικνύει τίποτα — αλλά ένα άγνωστο domain brand-συν-λέξη δεν πρέπει να θεωρείται επίσημο μόνο επειδή περιέχει το brand.

Μην εμπιστεύεσαι μόνο τα μάτια σου. Σύγκρινε το domain με κάτι που ήδη εμπιστεύεσαι: έναν αποθηκευμένο σελιδοδείκτη ή την επίσημη εφαρμογή.

04Διεθνοποιημένα και punycode domains

Τα διεθνοποιημένα ονόματα domain επιτρέπουν στους ανθρώπους να γράφουν domains σε αλφάβητα όπως το ελληνικό, το κυριλλικό, το αραβικό και το κινεζικό. Για να συνεχίσουν να λειτουργούν τα παλαιότερα συστήματα, πολλά από αυτά τα ονόματα έχουν και μια μορφή ASCII που ξεκινά με xn--. Αυτό είναι το punycode.

Το punycode δεν είναι αυτόματα κόκκινη σημαία. Πολλοί νόμιμοι οργανισμοί χρησιμοποιούν διεθνοποιημένα domains. Αλλά ένας απρόσμενος σύνδεσμος punycode αξίζει πιο προσεκτική ματιά, ειδικά σε μήνυμα που δεν ζήτησες και αφορά χρήματα, πρόσβαση σε λογαριασμό ή επείγουσα επαλήθευση.

Αρκετά κυριλλικά γράμματα σχεδιάζονται σχεδόν όπως τα λατινικά — а, е, о, р, с — οπότε ένα όνομα με αντικατάσταση μπορεί να φαίνεται σχεδόν ίδιο στην οθόνη ενώ στο δίκτυο είναι άσχετο domain.

Οι browsers μπορεί να δείχνουν τη μορφή Unicode ή τη μορφή ASCII, ανάλογα με το domain και τους κανόνες του ίδιου του browser. Ένας σαρωτής μπορεί να εντοπίσει punycode χωρίς να μπορεί να αποδείξει πώς μοιάζει το όνομα όταν εμφανίζεται. Η επισήμανση punycode σημαίνει κάτι για έλεγχο· δεν αποδεικνύει απάτη.

05Το σύμβολο @

Σε ένα URL HTTP ή HTTPS, ό,τι υπάρχει πριν από το @ είναι πληροφορίες χρήστη. Δεν είναι ο host του προορισμού.

Τα πέντε μέρη του https://ledger.com@ledgerlive-verify.example/device, με τη σειρά.

Ο host είναι το ledgerlive-verify.example. Το κείμενο ledger.com δεν είναι ο ιστότοπος που επισκέπτεσαι.

Αυτό είναι το κόλπο που αντέχει και την προσεκτική ανάγνωση, γιατί το γνώριμο όνομα είναι πράγματι εκεί, είναι πράγματι μέρος της διεύθυνσης και είναι πράγματι σωστά γραμμένο. Ένα γνώριμο όνομα πριν από το @ δεν αποδεικνύει τίποτα για το ποιος κατέχει τον σύνδεσμο.

06Συντομευμένοι σύνδεσμοι και κωδικοί QR

Ένας συντομευμένος σύνδεσμος κρύβει τον προορισμό μέχρι να τον αναπτύξεις ή να τον ακολουθήσεις. Υπηρεσίες όπως τα bit.ly, t.co και cutt.ly είναι συνηθισμένες και χρησιμοποιούνται ευρέως για καλούς λόγους — κάτι που είναι μέρος του γιατί αποτελούν χρήσιμη κάλυψη.

Ένας κωδικός QR κρύβει τη διεύθυνση εντελώς. Ο κωδικός μπορεί να είναι εντάξει, αλλά δεν μπορείς να εξετάσεις τον προορισμό από την εικόνα.

Ο σαρωτής μας επισημαίνει τις υπηρεσίες συντόμευσης που αναγνωρίζει αλλά δεν τις επιλύει για σένα. Αν ακολουθούσε τον σύνδεσμο ενός αγνώστου, θα επικοινωνούσε με τον διακομιστή του επιτιθέμενου και θα του έλεγε ότι ο σύνδεσμος εξετάστηκε.

Αν χρειάζεται να αναπτύξεις έναν σύντομο σύνδεσμο, χρησιμοποίησε υπηρεσία που εμπιστεύεσαι, και θεώρησε ό,τι επιστρέψει μη αξιόπιστο μέχρι να το ελέγξεις.

07Ένα λυμένο παράδειγμα

Διάβασέ το όπως θα έφτανε στην πραγματικότητα: σε κινητό, σε ειδοποίηση, για μια συσκευή που έχεις.

Επινοημένο παράδειγμα · δεσμευμένα domains

Τίποτα σε αυτό το μήνυμα δεν ζητά κάτι μυστικό. Ούτε φράση ανάκτησης, ούτε ιδιωτικό κλειδί, ούτε κωδικό. Ζητά ένα πάτημα — και αυτή είναι η επίθεση, γιατί η σελίδα στην άλλη άκρη μπορεί να κάνει το επόμενο αίτημα μόλις βρεθείς εκεί.

08Πώς να διαβάσεις μια διεύθυνση πριν την ανοίξεις

09Τι μπορεί και τι δεν μπορεί να σου πει η σάρωση

Επικόλλησε ένα μήνυμα στον σαρωτή και ελέγχει τη δομή των διευθύνσεων και των συνδέσμων που καλύπτει, ψάχνοντας τα συνηθισμένα προειδοποιητικά σημάδια.

Η ίδια η σάρωση δεν επικοινωνεί με τίποτα. Εκτελείται στον browser σου, και κανένας σύνδεσμος του μηνύματος δεν ανακτάται ή επιλύεται. Αν μετά πατήσεις Έλεγξε αυτή τη διεύθυνση σε μια διεύθυνση κρυπτονομισμάτων που βρήκε η σάρωση, αυτή η διεύθυνση — και τίποτα άλλο από το μήνυμα — πηγαίνει στον πάροχο ασφάλειας διευθύνσεων. Αυτό είναι ξεχωριστό βήμα που επιλέγεις, και η Τεχνική διαφάνεια απαριθμεί ακριβώς τι λαμβάνει κάθε πάροχος.

Τρία όρια αξίζει να ειπωθούν ξεχωριστά.

Ένα domain χωρίς κόλπο είναι αόρατο σε έναν δομικό έλεγχο. Το wallet-refund-centre.example δεν έχει χαρακτήρα-σωσία, όνομα brand ή τίποτα εκτός θέσης. Καταχωρισμένο σήμερα το πρωί και με ένα πειστικό αντίγραφο σελίδας σύνδεσης πορτοφολιού, θα περνούσε αυτόν τον έλεγχο και τους περισσότερους παρόμοιους. Τα συστήματα φήμης — υπηρεσίες που τηρούν λίστες γνωστών κακών διευθύνσεων — απαντούν σε άλλο ερώτημα, και αυτός ο σαρωτής δεν κάνει τη δουλειά τους.

Τα απλά ορθογραφικά λάθη δεν εντοπίζονται αξιόπιστα. Το metamsk.io είναι τυπογραφικό λάθος, όχι αντικατάσταση με συγχεόμενο χαρακτήρα. Ο σαρωτής δεν πιάνει κάθε τέτοιο. Είναι γνωστός περιορισμός, όχι σιωπηρή υπόσχεση.

Το punycode αναγνωρίζεται, δεν μεταφράζεται. Ο σαρωτής μπορεί να σου πει ότι ένα domain είναι σε μορφή punycode. Δεν μπορεί πάντα να σου πει ποιο όνομα γράφει αυτή η μορφή.

Ο κανόνας

Το ότι υπάρχει το γνώριμο όνομα δεν είναι ένδειξη. Βρες το καταχωρίσιμο domain.

Είναι το φθηνότερο πράγμα σε ολόκληρη τη διεύθυνση να το βάλεις εκεί — και το κομμάτι όπου ο αναγνώστης είναι πιο πιθανό να σταματήσει.

Κάθε διεύθυνση σε αυτόν τον οδηγό που δείχνει κάποιο κόλπο δείχνει σε δεσμευμένο domain παραδείγματος. Αυτοί οι προορισμοί δεν επιλύονται και δεν είναι πραγματικές υπηρεσίες. Το μόνο πραγματικό domain που τυπώνεται εδώ είναι το metamask.io, ο πραγματικός ιστότοπος του MetaMask. Εμφανίζεται στην ενότητα 2 ως η σωστή περίπτωση, γιατί για να δείξεις πού ανήκει πραγματικά ένα όνομα brand χρειάζεσαι μια πραγματική διεύθυνση για αντιπαραβολή με τις παραπλανητικές.

Το μήνυμα του παραδείγματος είναι επινοημένο. Σχετικά: τι συνήθως ζητά η σελίδα στην άλλη άκρη ενός συνδέσμου, κείμενο που δεν εμφανίζεται καθόλου, και οδηγίες γραμμένες για ένα AI και όχι για σένα. Αυτό το άρθρο είναι μόνο για εκπαιδευτικούς σκοπούς και δεν αποτελεί χρηματοοικονομική συμβουλή.

Διαβάζεις ένα ύποπτο μήνυμα στον browser σου; Ο σελιδοδείκτης σάρωσης επιλεγμένου κειμένου το ελέγχει χωρίς αντιγραφή και επικόλληση, και το κείμενο μένει στον browser σου.