Przewodnik · Ryzyko połączenia · wrzesień 2026 · autor: Stefan Tsezarov

Przeczytaj od prawej

Adres internetowy informuje dokładnie, dokąd zmierza. Po prostu nie mówi ci to w kolejności, w jakiej to czytasz.

Zostałeś poproszony o sprawdzenie łącza przed jego kliknięciem. To dobra rada, ale większość ludzi sprawdza niewłaściwą część.

Link może zawierać znaną nazwę firmy i mimo to prowadzić do zupełnie innego miejsca. Nazwa może znajdować się w subdomenie, w ścieżce lub przed znakiem @. Na telefonie domena rzeczywista może zostać odcięta, chyba że najpierw rozwiniesz link.

Jeden nawyk rozwiązuje większość tego problemu:

Poniżej: główne triki, jak sprawdzić każdy z nich bez otwierania czegokolwiek i co może, a czego nie może powiedzieć skan strukturalny.

01 Gdzie wskazuje adres

Weź ten adres:

Przeglądarka dzieli go na schemat , host i ścieżkę . Host to miejsce, z którym faktycznie się łączysz. Ścieżkę wybiera ten, kto prowadzi tego hosta i może powiedzieć, co chce.

Cztery części https://metamask.io.secure-verify.example/login, w kolejności.

Wewnątrz tego hosta rejestrowalna domena to secure-verify.example. Wszystko po lewej stronie to subdomena kontrolowana przez właściciela secure-verify.example . Właściciel może utworzyć dowolną liczbę subdomen i nadać im mniej lub bardziej dowolne nazwy – łącznie z nazwaniem jednej metamask.io.

Zatem metamask.io nie jest tutaj celem. To tylko etykieta po lewej stronie.

Co oznacza „domena rejestrowalna”.

Istotna część to rejestrowalna domena : nazwa, którą osoba lub firma może faktycznie zarejestrować. Jest to sufiks publiczny plus jedna etykieta przed nim. Często wygląda to jak example.com . W przypadku niektórych struktur kodów krajów wygląda to jak example.co.uk lub example.com.au .

Przeglądarki i narzędzia zabezpieczające korzystają z danych z publicznymi sufiksami, aby znaleźć tę granicę. Nie zakładaj, że każdy przyrostek używa tej samej liczby etykiet. Praktyczna instrukcja to:

To jest domena rejestrowalna.

Ta granica nie jest przypisem. Nasz własny skaner zliczył etykiety do 19 września 2026 r., zdecydował, że właścicielem coinbase.co.uk jest co.uk i oznaczył zwykły, legalny link jako podszywanie się pod markę. Narzędzie, które krzyczy o prawdziwych stronach internetowych, zostaje wyłączone i wtedy nikogo nie chroni. To, co się zmieniło, a czego nadal nie można rozwiązać, znajduje się w Przejrzystość techniczna .

02 Nazwa po lewej stronie

Zaufana nazwa może znajdować się w subdomenie lub na ścieżce bez kontrolowania czegokolwiek.

Ta sama sztuczka działa na ścieżce, gdzie brzmi jeszcze bardziej naturalnie:

W obu wprowadzających w błąd przykładach rejestrowalna domena to wallet-check.example lub cdn-assets-9931.example. Nazwa marki pojawia się tylko w miejscu, które może wypełnić właściciel domeny.

W telefonie długi adres może wypchnąć rzeczywistą domenę poza pole widzenia. Rozwiń lub skopiuj link, zanim go ocenisz.

03 Znaki podobne

Tutaj w adresie nie dzieje się nic mądrego. Ktoś rejestruje domenę, która po prostu wygląda jak inna.

Przy tej wielkości różnica jest oczywista. W pasku adresu często tak nie jest.

Domena podobna jest domeną rzeczywistą. To nie jest błąd przeglądarki. To działa, bo nasze oczy zaokrąglają podobne kształty.

Spójrz na trzeci wiersz: ten sam znak zastępuje inną literę niż w drugim. Dlatego złapanie tego za pomocą maszyny jest trudniejsze, niż się wydaje — popraw jedną pisownię, a złapiesz paypa1, przechodząc prosto obok b1nance. Nasz skaner próbuje odczytać nazwę na kilka sposobów, zamiast ograniczać ją do jednego.

Powiązana wersja nie wymaga żadnych podobnych znaków. Po prostu dodaje dodatkowe słowa do prawdziwego imienia:

Każdy z nich stawia markę na pozycji domeny możliwej do zarejestrowania. Nazwa nie jest błędnie umieszczona i nie jest błędnie napisana. Po prostu ma towarzystwo. Firmy rzeczywiście prowadzą kilka domen, więc nie jest to samo w sobie dowód — ale nieznanej domeny zawierającej markę i słowo nie należy traktować jako oficjalnej tylko dlatego, że występuje w niej marka.

Nie ufaj wyłącznie swoim oczom. Porównaj domenę z czymś, czemu już ufasz: zapisaną zakładką lub oficjalną aplikacją.

04 Domeny międzynarodowe i punycode

Umiędzynarodowione nazwy domen umożliwiają ludziom pisanie domen w alfabecie greckim, cyrylicy, arabskim i chińskim. Aby starsze systemy nadal działały, wiele z tych nazw ma również formę ASCII rozpoczynającą się od xn-- . To jest punycode.

Punycode nie jest automatycznie sygnałem ostrzegawczym. Wiele legalnych organizacji korzysta z umiędzynarodowionych domen. Jednak nieoczekiwany link punycode zasługuje na bliższe przyjrzenie się, zwłaszcza w wiadomości, o którą nie prosiłeś w sprawie pieniędzy, dostępu do konta lub pilnej weryfikacji.

Kilka liter cyrylicy narysowanych jest podobnie jak litery łacińskie — а, е, о, р, с — więc podstawiona nazwa może wyglądać niemal identycznie na ekranie, będąc niepowiązaną domeną w sieci.

Przeglądarki mogą wyświetlać formę Unicode lub ASCII, w zależności od domeny i własnych reguł przeglądarki. Skaner może wykryć punycode, nie będąc w stanie udowodnić, jak wygląda wyrenderowana nazwa. Oznaczenie punycode oznacza element do sprawdzenia; nie dowodzi oszustwa.

05 Znak @

W adresie URL HTTP lub HTTPS wszystko przed @ jest informacją o użytkowniku. To nie jest host docelowy.

Pięć części https://ledger.com@ledgerlive-verify.example/device, w kolejności.

Hostem jest ledgerlive-verify.example. Tekst ledger.com nie oznacza witryny, którą odwiedzasz.

Jest to trik, który przetrwa uważne przeczytanie, ponieważ znajoma nazwa naprawdę tam jest, naprawdę jest częścią adresu i naprawdę jest zapisana poprawnie. Znana nazwa przed @ nie dowodzi niczego na temat tego, kto jest właścicielem łącza.

06 Skrócone linki i kody QR

Skrócone łącze ukrywa miejsce docelowe do czasu jego rozwinięcia lub podążania za nim. Usługi takie jak bit.ly, t.co i cutt.ly są zwyczajne i powszechnie używane nie bez powodu — co między innymi czyni je użyteczną osłoną.

Kod QR całkowicie ukrywa adres. Kod może być w porządku, ale nie można sprawdzić miejsca docelowego na podstawie obrazu.

Nasz skaner oznacza skracacze flag, które rozpoznaje, ale nie rozwiązuje ich za Ciebie. Jeśli podąży za linkiem obcej osoby, skontaktuje się z serwerem atakującego i poinformuje go, że link został sprawdzony.

Jeśli chcesz rozwinąć krótki link, skorzystaj z usługi, której ufasz, i traktuj wszystko, co wróci, jako niezaufane, dopóki tego nie sprawdzisz.

07 Przykład zastosowania

Przeczytaj to tak, jak faktycznie dotrze: na telefonie, w powiadomieniu, na temat posiadanego urządzenia.

Fikcyjny przykład · Domeny zastrzeżone

Nic w tej wiadomości nie wymaga podania tajemnicy. Żadnej frazy odzyskiwania, żadnego klucza prywatnego, żadnego hasła. Prosi o kliknięcie — i to jest atak, ponieważ strona po drugiej stronie może wysłać kolejne żądanie, gdy już tam będziesz.

08 Jak odczytać adres przed jego otwarciem

09 Co skan może, a czego nie może powiedzieć

Wklej wiadomość do skanera, który sprawdzi strukturę adresów i łączy, które obejmuje, szukając zwykłych znaków ostrzegawczych.

Sam skan nie kontaktuje się z niczym. Działa w przeglądarce i żaden link w wiadomości nie jest pobierany ani rozwiązywany. Jeśli następnie naciśniesz . Sprawdź ten adres na adresie kryptograficznym znalezionym podczas skanowania, ten adres – i nic więcej z wiadomości – trafia do dostawcy zabezpieczeń adresu. Jest to odrębny krok, który decydujesz się podjąć, a Przejrzystość techniczna zawiera dokładną listę tego, co otrzymuje każdy dostawca.

Warto osobno podać trzy ograniczenia.

Domena, w której nie ma żadnej sztuczki, jest niewidoczna podczas kontroli strukturalnej. wallet-refund-centre.example nie ma żadnego wyglądu, żadnej nazwy marki, ani niczego niestosownego. Zarejestrowany dziś rano i hostujący przekonującą kopię strony logowania do portfela, przejdzie ten test, podobnie jak większość innych. Systemy reputacji — usługi przechowujące listy znanych, złych adresów — odpowiadają na inne pytanie, a ten skaner nie spełnia swojego zadania.

Zwykłe błędy ortograficzne nie są wykrywane w sposób niezawodny. metamsk.io to literówka, a nie zamiana znaków, które można pomylić. Skaner nie wychwytuje każdego z nich. To znane ograniczenie, a nie cicha obietnica.

Punycode jest identyfikowany, a nie tłumaczony. Skaner może stwierdzić, że domena jest w formie punycode. Nie zawsze jest w stanie powiedzieć, jakie imię jest zapisane w tym formularzu.

Zasada

Występowanie znanej nazwy nie stanowi dowodu. Znajdź rejestrowaną domenę.

Umieszczenie tego adresu jest najtańszą rzeczą w całym adresie i jest to część, na której czytelnik najprawdopodobniej się zatrzyma.

Każdy adres w tym przewodniku, który demonstruje sztuczkę, wskazuje na zarezerwowaną przykładową domenę. Te miejsca docelowe nie są rozwiązywane i nie są prawdziwymi usługami. Jedyną wydrukowaną tutaj aktywną domeną jest metamask.io, rzeczywista witryna MetaMask. Wydaje się, że w sekcji 2 jest to właściwy przypadek, ponieważ wskazanie, gdzie naprawdę należy nazwa marki, wymaga podania prawdziwego adresu w porównaniu z adresem wprowadzającym w błąd.

Przykładowa wiadomość jest fikcyjna. Powiązane: , o co strona po drugiej stronie łącza zwykle prosi o , tekst, który w ogóle nie jest wyświetlany i instrukcje napisane dla sztucznej inteligencji, a nie dla ciebie . Ten artykuł ma wyłącznie charakter edukacyjny i nie stanowi porady finansowej.

Czytasz podejrzaną wiadomość w przeglądarce? zakładka do skanowania wybranego tekstu sprawdza go bez kopiowania i wklejania, a tekst pozostaje w przeglądarce.