Водич · Ризик кај линкови · Септември 2026 · Стефан Цезаров

Читај го оддесно

Веб-адресата ти кажува точно каде води. Само не по редоследот по кој ја читаш.

Ти рекле да провериш линк пред да кликнеш. Тоа е добар совет, но повеќето луѓе го проверуваат погрешниот дел.

Линкот може да носи познато име на компанија, а сепак да заврши на сосема друго место. Името може да стои во поддомен, во патеката или пред знакот @. На телефон вистинскиот домен може да е отсечен ако прво не го рашириш линкот.

Една навика го решава најголемиот дел од ова:

Подолу: главните трикови, како да го провериш секој без да отвораш ништо и што може, а што не може да ти каже структурното скенирање.

01Каде покажува адресата

Земи ја оваа адреса:

Прелистувачот ја дели на шема, хост и патека. Хостот е местото со кое навистина се поврзуваш. Патеката ја избира оној што го води тој хост и може да каже што сака.

Четирите делови на https://metamask.io.secure-verify.example/login, по ред.

Во тој хост регистрабилниот домен е secure-verify.example. Сè лево од него е поддомен, контролиран од сопственикот на secure-verify.example. Сопственикот може да создаде колку сака поддомени и да ги именува речиси слободно — вклучително и да именува еден metamask.io.

Значи metamask.io тука не е одредиштето. Тоа е само ознака лево.

Што значи „регистрабилен домен“

Важниот дел е регистрабилниот домен: името што личност или компанија навистина може да го регистрира. Тоа е јавната наставка плус една ознака пред неа. Често изгледа како example.com. Кај некои структури со кодови на земји изгледа како example.co.uk или example.com.au.

Прелистувачите и безбедносните алатки користат податоци за јавни наставки за да ја најдат таа граница. Не претпоставувај дека секоја наставка има ист број ознаки. Практичното упатство е:

Тоа е регистрабилниот домен.

Оваа граница не е фуснота. Нашиот скенер ги броеше ознаките до 19 септември 2026, одлучи дека сопственикот на coinbase.co.uk е co.uk и означи обичен легитимен линк како имитирање бренд. Алатка што вика за вистински страници се исклучува, и тогаш не штити никого. Што се смени и што сè уште не може да утврди има во Техничка транспарентност.

02Името лево

Доверливо име може да стои во поддомен или во патеката без да контролира ништо.

Истиот трик функционира и во патеката, каде што се чита уште поприродно:

Во двата заведувачки примери регистрабилниот домен е wallet-check.example или cdn-assets-9931.example. Името на брендот се појавува само на место што го пополнува сопственикот на тој домен.

На телефон долга адреса може да го истурка вистинскиот домен од видното поле. Рашири го или копирај го линкот пред да судиш.

03Знаци двојници

Тука нема ништо паметно во адресата. Некој регистрира домен што едноставно изгледа како друг.

Во оваа големина разликата е очигледна. Во лентата за адреса често не е.

Доменот двојник е вистински домен. Ова не е грешка на прелистувачот. Функционира бидејќи нашите очи ги заокружуваат сличните форми.

Погледни го третиот ред: истиот знак заменува друга буква од онаа во вториот. Затоа машинското фаќање е потешко отколку што звучи — поправи едно пишување и ќе го фатиш paypa1, а ќе поминеш покрај b1nance. Нашиот скенер пробува неколку начини на кои може да се прочита името наместо да го сведе на едно.

Сродна верзија воопшто нема потреба од знаци двојници. Само додава зборови на вистинското име:

Секое од нив го става брендот на позицијата на регистрабилниот домен. Името не е на погрешно место и не е погрешно напишано. Само има друштво. Компаниите легитимно водат по неколку домени, па ова само по себе не докажува ништо — но непознат домен бренд-плус-збор не треба да се смета за официјален само затоа што брендот е во него.

Не верувај само на очите. Спореди го доменот со нешто на што веќе му веруваш: зачуван обележувач или официјалната апликација.

04Интернационализирани и punycode домени

Интернационализираните имиња на домени им овозможуваат на луѓето да пишуваат домени во писма како грчко, кирилично, арапско и кинеско. За постарите системи да продолжат да работат, многу од овие имиња имаат и ASCII форма што почнува со xn--. Тоа е punycode.

Punycode не е автоматски црвено знаме. Многу легитимни организации користат интернационализирани домени. Но неочекуван punycode линк заслужува повнимателен поглед, особено во порака што не си ја побарал за пари, пристап до сметка или итна потврда.

Неколку кирилски букви се цртаат многу слично на латинските — а, е, о, р, с — па заменето име може да изгледа речиси идентично на екранот, а на мрежата да е неповрзан домен.

Прелистувачите може да ја прикажат Unicode формата или ASCII формата, зависно од доменот и сопствените правила на прелистувачот. Скенерот може да забележи punycode без да може да докаже како изгледа прикажаното име. Означувањето punycode означува нешто за преглед; не докажува измама.

05Знакот @

Во HTTP или HTTPS URL, сè пред @ е кориснички податок. Не е хостот на одредиштето.

Петте делови на https://ledger.com@ledgerlive-verify.example/device, по ред.

Хостот е ledgerlive-verify.example. Текстот ledger.com не е страницата што ја посетуваш.

Ова е трикот што преживува и внимателно читање, бидејќи познатото име навистина е таму, навистина е дел од адресата и навистина е точно напишано. Познато име пред @ не докажува ништо за тоа чиј е линкот.

06Скратени линкови и QR кодови

Скратениот линк го крие одредиштето додека не го рашириш или не го следиш. Услуги како bit.ly, t.co и cutt.ly се обични и широко користени од добри причини — што е дел од тоа зошто се корисна маска.

QR кодот целосно ја крие адресата. Кодот може да е во ред, но не можеш да го провериш одредиштето од сликата.

Нашиот скенер ги означува скратувачите што ги препознава, но не ги разрешува за тебе. Ако следеше линк од непознат, ќе го контактираше серверот на напаѓачот и ќе му кажеше дека линкот е проверен.

Ако треба да рашириш краток линк, користи услуга на која ѝ веруваш, а сè што ќе се врати сметај го за недоверливо додека не го провериш.

07Разработен пример

Прочитај ја како што навистина би пристигнала: на телефон, во известување, за уред што го поседуваш.

Измислен пример · резервирани домени

Ништо во таа порака не бара нешто тајно. Ни фраза за враќање, ни приватен клуч, ни лозинка. Бара клик — и тоа е нападот, бидејќи страницата на другата страна може да го постави следното барање штом ќе стигнеш таму.

08Како да прочиташ адреса пред да ја отвориш

09Што може, а што не може да ти каже скенирањето

Залепи порака во скенерот и тој ја проверува структурата на адресите и линковите што ги покрива, барајќи ги вообичаените предупредувачки знаци.

Самото скенирање не контактира ништо. Се извршува во твојот прелистувач и ниту еден линк од пораката не се презема ниту разрешува. Ако потоа притиснеш Провери ја оваа адреса кај крипто адреса што ја нашло скенирањето, таа адреса — и ништо друго од пораката — оди до провајдерот за безбедност на адреси. Тоа е посебен чекор што ти избираш да го направиш, а Техничка транспарентност наведува точно што добива секој провајдер.

Три ограничувања вредат да се наведат посебно.

Домен без трик е невидлив за структурна проверка. wallet-refund-centre.example нема знак двојник, нема име на бренд, нема ништо не на место. Регистриран утрово и со уверлива копија на страница за најава на паричник, би ја поминал оваа проверка и повеќето слични. Системите за репутација — услуги што водат листи на познати лоши адреси — одговараат на друго прашање, а овој скенер не ја врши нивната работа.

Обичните правописни грешки не се фаќаат сигурно. metamsk.io е печатна грешка, не замена со знак двојник. Скенерот не ја фаќа секоја таква. Тоа е познато ограничување, не тивко ветување.

Punycode се идентификува, не се преведува. Скенерот може да ти каже дека доменот е во punycode форма. Не може секогаш да ти каже кое име го пишува таа форма.

Правилото

Тоа што познатото име е таму не е доказ. Најди го регистрабилниот домен.

Тоа е најевтиното нешто во целата адреса да се стави таму — и делот на кој читателот најверојатно ќе застане.

Секоја адреса во овој водич што покажува трик покажува кон резервиран пример-домен. Тие одредишта не се разрешуваат и не се вистински услуги. Единствениот вистински домен испечатен тука е metamask.io, вистинската страница на MetaMask. Се појавува во делот 2 како точен случај, бидејќи за да се покаже каде навистина припаѓа името на брендот, потребна е вистинска адреса за контраст со заведувачките.

Примерната порака е измислена. Поврзано: што обично бара страницата на другиот крај на линкот, текст што воопшто не се прикажува и упатства напишани за AI, а не за тебе. Оваа статија е само за едукативни цели и не е финансиски совет.

Читаш сомнителна порака во прелистувачот? Обележувачот за скенирање избран текст ја проверува без копирање и залепување, а текстот останува во твојот прелистувач.