Rehber · Bağlantı riski · Eylül 2026 · Stefan Tsezarov

Sağdan oku

Bir web adresi sana tam olarak nereye gittiğini söyler. Yalnızca okuduğun sırayla söylemez.

Bir bağlantıyı tıklamadan önce kontrol etmen söylendi. Bu iyi bir tavsiye, ama çoğu insan yanlış kısmı kontrol ediyor.

Bir bağlantı tanıdık bir şirket adı taşıyıp yine de tamamen başka bir yere çıkabilir. Ad bir alt alan adında, yolda veya bir @ işaretinden önce durabilir. Telefonda, bağlantıyı önce genişletmezsen gerçek alan adı kesilmiş olabilir.

Tek bir alışkanlık bunun çoğunu çözer:

Aşağıda: başlıca hileler, hiçbir şeyi açmadan her birini nasıl kontrol edeceğin ve yapısal bir taramanın neyi söyleyip neyi söyleyemeyeceği.

01Bir adres nereyi gösterir

Şu adresi al:

Tarayıcı onu bir şema, bir ana bilgisayar ve bir yol olarak böler. Ana bilgisayar gerçekten bağlandığın yerdir. Yolu o ana bilgisayarı işleten kişi seçer ve istediği her şeyi söyleyebilir.

https://metamask.io.secure-verify.example/login adresinin dört parçası, sırayla.

Bu ana bilgisayarın içinde kayıt edilebilir alan adı secure-verify.example'dır. Solundaki her şey, secure-verify.example'ın sahibinin kontrol ettiği bir alt alan adıdır. Bir sahip istediği kadar alt alan adı oluşturabilir ve onları hemen hemen özgürce adlandırabilir; birine metamask.io adını vermek dahil.

Yani metamask.io burada hedef değil. Sadece soldaki bir etiket.

"Kayıt edilebilir alan adı" ne demek

Önemli olan kısım kayıt edilebilir alan adıdır: bir kişinin veya şirketin gerçekten kaydedebildiği ad. Genel uzantı artı önündeki tek etikettir. Çoğu zaman example.com gibi görünür. Bazı ülke kodu yapılarında example.co.uk veya example.com.au gibi görünür.

Tarayıcılar ve güvenlik araçları bu sınırı bulmak için genel uzantı verilerini kullanır. Her uzantının aynı sayıda etiket kullandığını varsayma. Pratik talimat şu:

İşte kayıt edilebilir alan adı budur.

Bu sınır bir dipnot değil. Kendi tarayıcımız 19 Eylül 2026'ya kadar etiketleri sayıyordu, coinbase.co.uk'un sahibinin co.uk olduğuna karar verdi ve sıradan meşru bir bağlantıyı marka taklidi olarak işaretledi. Gerçek web siteleri hakkında bağıran bir araç kapatılır ve sonra kimseyi korumaz. Neyin değiştiği ve hâlâ neyi çözemediği Teknik Şeffaflık belgesinde.

02Soldaki ad

Güvenilir bir ad, hiçbir şeyi kontrol etmeden bir alt alan adında veya yolda durabilir.

Aynı hile yolda da işe yarar; orada daha da doğal okunur:

İki yanıltıcı örnekte de kayıt edilebilir alan adı wallet-check.example veya cdn-assets-9931.example'dır. Marka adı yalnızca o alan adının sahibinin doldurabildiği bir yerde görünür.

Telefonda uzun bir adres gerçek alan adını görüş alanının dışına itebilir. Karar vermeden önce bağlantıyı genişlet veya kopyala.

03Benzer görünümlü karakterler

Burada adreste akıllıca hiçbir şey yok. Biri sadece başka bir alan adına benzeyen bir alan adı kaydediyor.

Bu boyutta fark belirgin. Adres çubuğunda çoğu zaman değil.

Benzer bir alan adı gerçek bir alan adıdır. Bu bir tarayıcı hatası değil. Gözlerimiz benzer şekilleri yuvarladığı için işe yarar.

Üçüncü satıra bak: aynı karakter ikincisindekinden farklı bir harfin yerini tutuyor. Bu yüzden bunu makineyle yakalamak göründüğünden daha zordur: bir yazımı düzelt, paypa1'i yakalarsın ama b1nance'ın yanından geçip gidersin. Tarayıcımız bir adı tek bir yazıma indirgemek yerine nasıl okunabileceğinin birkaç yolunu dener.

İlgili bir versiyon hiç benzer karakter gerektirmez. Sadece gerçek ada fazladan kelimeler ekler:

Bunların her biri markayı kayıt edilebilir alan adı konumuna koyar. Ad yanlış yerde değil ve yanlış yazılmamış. Sadece yanında başkaları var. Şirketler meşru olarak birkaç alan adı işletebilir, bu yüzden bu tek başına hiçbir şeyin kanıtı değildir; ama tanımadığın marka-artı-kelime bir alan adı, sırf içinde marka geçiyor diye resmi sayılmamalıdır.

Yalnızca gözlerine güvenme. Alan adını zaten güvendiğin bir şeyle karşılaştır: kayıtlı bir yer imi veya resmi uygulama.

04Uluslararasılaştırılmış ve punycode alan adları

Uluslararasılaştırılmış alan adları, insanların alan adlarını Yunan, Kiril, Arap ve Çin gibi yazılarla yazmasına izin verir. Eski sistemlerin çalışmaya devam etmesi için bu adların çoğunun xn-- ile başlayan bir ASCII biçimi de vardır. Bu punycode'dur.

Punycode otomatik olarak kırmızı bayrak değildir. Pek çok meşru kuruluş uluslararasılaştırılmış alan adları kullanır. Ama beklenmedik bir punycode bağlantısı, özellikle istemediğin ve para, hesap erişimi veya acil doğrulama hakkında olan bir mesajda daha yakından bakmayı hak eder.

Birkaç Kiril harfi Latin harflerine çok benzer çizilir (а, е, о, р, с), bu yüzden değiştirilmiş bir ad ekranda neredeyse aynı görünürken ağda ilgisiz bir alan adı olabilir.

Tarayıcılar alan adına ve tarayıcının kendi kurallarına bağlı olarak Unicode biçimini veya ASCII biçimini gösterebilir. Bir tarayıcı, işlenmiş adın nasıl göründüğünü kanıtlayamadan punycode'u fark edebilir. Punycode'u işaretlemek bir şeyi inceleme için işaretler; dolandırıcılığı kanıtlamaz.

05@ işareti

Bir HTTP veya HTTPS URL'sinde @ işaretinden önceki her şey kullanıcı bilgisidir. Hedef ana bilgisayar değildir.

https://ledger.com@ledgerlive-verify.example/device adresinin beş parçası, sırayla.

Ana bilgisayar ledgerlive-verify.example'dır. ledger.com metni ziyaret ettiğin site değildir.

Bu, dikkatli okumadan bile sağ çıkan hiledir, çünkü tanıdık ad gerçekten oradadır, gerçekten adresin bir parçasıdır ve gerçekten doğru yazılmıştır. @ işaretinden önceki tanıdık bir ad, bağlantının kime ait olduğu hakkında hiçbir şey kanıtlamaz.

06Kısaltılmış bağlantılar ve QR kodları

Kısaltılmış bir bağlantı, onu genişletene veya takip edene kadar hedefini gizler. bit.ly, t.co ve cutt.ly gibi hizmetler sıradandır ve iyi nedenlerle yaygın olarak kullanılır; bu da onları yararlı bir örtü yapan şeyin bir parçasıdır.

Bir QR kodu adresi tamamen gizler. Kod sorunsuz olabilir, ama hedefi görüntüden inceleyemezsin.

Tarayıcımız tanıdığı kısaltıcıları işaretler ama onları senin için çözümlemez. Bir yabancının bağlantısını takip etseydi, saldırganın sunucusuyla iletişime geçip bağlantının incelendiğini ona söylemiş olurdu.

Kısa bir bağlantıyı genişletmen gerekiyorsa, güvendiğin bir hizmet kullan ve geri dönen her şeyi kontrol edene kadar güvenilmez say.

07Çözümlü bir örnek

Onu gerçekte geleceği şekilde oku: bir telefonda, bir bildirimde, sahip olduğun bir cihaz hakkında.

Uydurma örnek · ayrılmış alan adları

Bu mesajda gizli hiçbir şey istenmiyor. Kurtarma ifadesi yok, özel anahtar yok, parola yok. Bir tıklama istiyor ve saldırı bu, çünkü diğer taraftaki sayfa oraya vardığında bir sonraki isteği yapabilir.

08Bir adresi açmadan önce nasıl okursun

09Taramanın söyleyebildikleri ve söyleyemedikleri

Bir mesajı tarayıcıya yapıştır; kapsadığı adreslerin ve bağlantıların yapısını kontrol eder ve olağan uyarı işaretlerini arar.

Taramanın kendisi hiçbir şeyle iletişime geçmez. Tarayıcında çalışır ve mesajdaki hiçbir bağlantı getirilmez veya çözümlenmez. Sonra taramanın bulduğu bir kripto adresinde Bu adresi kontrol et'e basarsan, o adres (ve mesajdan başka hiçbir şey) adres güvenlik sağlayıcısına gider. Bu senin atmayı seçtiğin ayrı bir adımdır ve Teknik Şeffaflık her sağlayıcının tam olarak ne aldığını listeler.

Üç sınırı ayrıca belirtmeye değer.

İçinde hile olmayan bir alan adı yapısal bir kontrole görünmezdir. wallet-refund-centre.example'da benzer karakter yok, marka adı yok, yerinde olmayan hiçbir şey yok. Bu sabah kaydedilmiş ve bir cüzdan giriş sayfasının ikna edici bir kopyasını barındırıyor olsa, bu kontrolü ve benzerlerinin çoğunu geçerdi. İtibar sistemleri (bilinen kötü adreslerin listelerini tutan hizmetler) farklı bir soruyu yanıtlar ve bu tarayıcı onların işini yapmaz.

Düz yazım hataları güvenilir şekilde yakalanmaz. metamsk.io karıştırılabilir bir karakter değişikliği değil, bir yazım hatasıdır. Tarayıcı bunların her birini yakalamaz. Bu sessiz bir söz değil, bilinen bir sınırlamadır.

Punycode tanımlanır, çevrilmez. Tarayıcı bir alan adının punycode biçiminde olduğunu söyleyebilir. Bu biçimin hangi adı yazdığını her zaman söyleyemez.

Kural

Tanıdık adın orada olması kanıt değildir. Kayıt edilebilir alan adını bul.

Adresin tamamında oraya konulması en ucuz şeydir ve bir okuyucunun büyük olasılıkla durduğu kısımdır.

Bu rehberde bir hileyi gösteren her adres ayrılmış bir örnek alan adını gösterir. Bu hedefler çözümlenmez ve gerçek hizmetler değildir. Burada yazılı tek gerçek alan adı, MetaMask'ın gerçek sitesi olan metamask.io'dur. Bölüm 2'de doğru durum olarak görünür, çünkü bir marka adının gerçekte nereye ait olduğunu göstermek, yanıltıcı olanlarla karşılaştırmak için gerçek bir adres gerektirir.

Örnek mesaj uydurmadır. İlgili: bir bağlantının diğer ucundaki sayfanın genellikle ne istediği, hiç görüntülenmeyen metin ve senin için değil, bir AI için yazılmış talimatlar. Bu makale yalnızca eğitim amaçlıdır ve finansal tavsiye değildir.

Tarayıcında şüpheli bir mesaj mı okuyorsun? Seçili metni tarama yer imi onu kopyalayıp yapıştırmadan kontrol eder ve metin tarayıcında kalır.