URL सेफ़्टी चेकर

किसी लिंक को खोलने से पहले कैसे पता करें कि वह सुरक्षित है?

लिंक खोलने से पहले उसे दो तरह के सबूतों से परखा जा सकता है: एड्रेस ख़ुद क्या दिखाता है — रजिस्टर्ड डोमेन, मिलते-जुलते अक्षर, उधार लिया ब्रांड नाम, शॉर्टनर, छिपा हुआ डाउनलोड — और क्या Google Web Risk या URLhaus जैसी reputation सेवा उसे पहले से दर्ज करती है। दोनों में से कोई भी पक्का सबूत नहीं: टेक्स्ट वाले नियम अच्छे नाम वाले नए फ़िशिंग डोमेन चूक जाते हैं और ब्लॉकलिस्ट नए अभियानों से पीछे रहती हैं, इसलिए साफ़ नतीजा जोखिम घटाता है, ख़त्म नहीं करता।

सुरक्षा नोट: हर जाँच पास करने वाला लिंक भी नुक़सानदेह पेज पर ले जा सकता है। अनचाहे लिंक से पहुँचे पेज पर पासवर्ड, OTP या कार्ड की जानकारी कभी न डालें — सेवा का एड्रेस ख़ुद टाइप करके या उसके अपने ऐप से खोलें।

URL सेफ़्टी चेकर कैसे इस्तेमाल करें

1. लिंक को ठीक वैसे ही पेस्ट करें जैसे मिला था: उस पर राइट-क्लिक करके लिंक एड्रेस कॉपी करें, दिखने वाला टेक्स्ट नहीं।
2. "सर्वर पर reputation lookup भी चलाएँ" को चालू रखें ताकि कॉन्फ़िगर सेवाओं से पूछा जाए, या इसे बंद करें ताकि पूरी जाँच ब्राउज़र में ही रहे।
3. "लिंक जाँचें" दबाएँ और सबसे पहले "लिंक कैसे पढ़ा गया" में रजिस्टर्ड डोमेन देखें — असल में लिंक वही साइट खोलेगा।
4. चेतावनी संकेत ऊपर से नीचे पढ़ें, फिर कुछ भी खोलने से पहले "आगे क्या करें" की सलाह मानें।

URL सेफ़्टी चेकर की खूबियाँ

• लिंक को वैसे पढ़ता है जैसे ब्राउज़र पढ़ता है: बिना scheme वाले होस्ट, host:port, @ से पहले का टेक्स्ट और अंतरराष्ट्रीय (IDN) डोमेन
• किसी और के डोमेन में ब्रांड का नाम, सबडोमेन की तरह इस्तेमाल हुआ ब्रांड का असली डोमेन, मिलते-जुलते अक्षर (सिरिलिक, ग्रीक) और जाने-माने ब्रांड के एक-अक्षर वाले टाइपो पकड़ता है
• लिंक शॉर्टनर, फ़्री होस्टिंग और टनल होस्ट, दुरुपयोग के लिए बदनाम सस्ते TLD, सीधे IP एड्रेस और अलग से लिखे पोर्ट पहचानता है
• .pdf.exe जैसे छिपे प्रोग्राम डाउनलोड, दूसरे डोमेन पर भेजने वाले redirect पैरामीटर और क्वेरी स्ट्रिंग में पासवर्ड या टोकन पकड़ता है
• सर्वर पर key होने पर Google Web Risk और abuse.ch URLhaus से वैकल्पिक reputation lookup — key न हो तो साफ़ "कॉन्फ़िगर नहीं"
• हर चेतावनी संकेत सरल शब्दों में, उसकी गंभीरता के साथ; स्कोरिंग के वज़न और सीमाएँ इसी पेज पर लिखी हैं

इनपुट और आउटपुट

इनपुट

• जाँचने वाला लिंक — जैसा मिला वैसा कोई भी एड्रेस: http(s):// के साथ या बिना, पाथ और क्वेरी सहित, अंतरराष्ट्रीय डोमेन, या javascript: / data: लिंक। नियमों के लिए 8,192 अक्षर तक; reputation lookup 2,048 अक्षर तक लेता है।
• सर्वर पर reputation lookup भी चलाएँ — डिफ़ॉल्ट रूप से चालू; बंद करने पर जाँच पूरी तरह आपके ब्राउज़र में रहती है।

आउटपुट

• नतीजा — 100 में से नियमों का स्कोर और उसका अर्थ, चेतावनी संकेतों और उच्च गंभीरता वाले संकेतों की गिनती, और कितनी reputation सेवाओं से पूछा गया।
• साख की जाँच (reputation lookup) — हर सेवा के लिए: कॉन्फ़िगर नहीं, पूछा गया पर जवाब नहीं, असुरक्षित के रूप में दर्ज (ख़तरे के प्रकार सहित), या दर्ज नहीं।
• चेतावनी संकेत — हर संकेत उसकी गंभीरता और सरल कारण के साथ, सबसे मज़बूत पहले।
• लिंक कैसे पढ़ा गया — scheme, लिखा हुआ और यूनिकोड होस्ट, अनुमानित रजिस्टर्ड डोमेन, सफ़िक्स, सबडोमेन, पोर्ट, पाथ, क्वेरी और नॉर्मलाइज़ किया लिंक।
• आगे क्या करें — नतीजे के हिसाब से छोटी सलाह।

URL सेफ़्टी चेकर का उदाहरण

http://paypal.com.secure-login.example.top/signin

Heuristic score: 100/100 — Dangerous-looking · 7 warning signs, 2 high
Registered domain: example.top
High — "paypal" in somebody else's domain
High — "paypal.com" is only a subdomain here
Medium — .top domain
Medium — Credential words: signin
Low — Plain HTTP · 3 subdomain levels · Credential words in the host: login, secure
Reputation services asked: 0/2 — not configured on this server (heuristics only)

URL सेफ़्टी चेकर के नतीजे कैसे पढ़ें

सबसे पहले रजिस्टर्ड डोमेन पढ़ें। असल में आप उसी साइट पर पहुँचेंगे; उसके बाईं ओर का हर हिस्सा डोमेन रजिस्टर करने वाले ने चुना है, इसलिए paypal.com.secure-login.example.top का मालिक example.top है, PayPal नहीं।

0–19 स्कोर "सुरक्षित दिखता है": टेक्स्ट में कोई मज़बूत संकेत नहीं। 20–54 "संदिग्ध" है: कई संकेत या एक मज़बूत संकेत। 55–100 "ख़तरनाक दिखता है": कई मज़बूत संकेत एक साथ, जैसे सस्ते डोमेन पर उधार लिया ब्रांड या मिलता-जुलता अक्षर।

किसी reputation सेवा में लिंक का दर्ज होना नियमों से ज़्यादा वज़नदार है: लिंक को असुरक्षित मानें। "दर्ज नहीं" का मतलब बस इतना है कि जाँच के समय सेवा के पास उसका रिकॉर्ड नहीं था — फ़िशिंग पेज अक्सर किसी सूची में आने से पहले ही घंटों चलते हैं।

"इस सर्वर पर कॉन्फ़िगर नहीं" और "पूछा गया, जवाब नहीं" का मतलब है कि reputation वाला हिस्सा हुआ ही नहीं। तब नतीजा केवल लिंक के टेक्स्ट पर टिका है, और यह साफ़ लिखा जाता है।

URL सेफ़्टी चेकर कब इस्तेमाल करें

• अनचाहे ईमेल, SMS या चैट मैसेज में आए लिंक को खोलना है या नहीं, यह तय करना।
• किसी सहकर्मी के बताए संदिग्ध लिंक को सिक्योरिटी टीम तक बढ़ाने से पहले छाँटना।
• अपने कैंपेन या नोटिफ़िकेशन मैसेज के लिंक में वे पैटर्न ढूँढ़ना जिन पर पाठक और स्पैम फ़िल्टर भरोसा नहीं करते: शॉर्टनर, सादा http, लंबे ट्रैकिंग पैरामीटर।
• जागरूकता ट्रेनिंग में कर्मचारियों को दिखाना कि उधार लिए ब्रांड या मिलते-जुलते नाम वाला एड्रेस कैसा दिखता है, हर संकेत के कारण सहित।

समस्या निवारण

• "टेक्स्ट वेब एड्रेस जैसा नहीं दिखता" — अकेले शब्द में कोई डॉट नहीं होता। पूरा एड्रेस पेस्ट करें, जैसे example.com/page।
• "URL में स्पेस या कोट चिह्न हैं" — लिंक ख़ुद कॉपी करें (राइट-क्लिक → लिंक एड्रेस कॉपी करें), उसके आसपास का वाक्य नहीं।
• reputation lookup में rate limit, व्यस्त सेवा या टाइमआउट का संदेश — नियम फिर भी चले हैं। एक मिनट रुककर फिर जाँचें, या lookup बंद कर दें।
• छोटा लिंक सिर्फ़ शॉर्टनर का डोमेन दिखाता है — पहले उसे अपने ब्राउज़र में खोले बिना redirect checker से expand करें, फिर जिस मंज़िल पर वह जाता है उसे जाँचें।

URL सेफ़्टी चेकर के बारे में अक्सर पूछे जाने वाले सवाल

तकनीकी नोट्स

लिंक को वैसे पार्स किया जाता है जैसे ब्राउज़र करते हैं (WHATWG URL Standard, सिंटैक्स RFC 3986): बिना scheme वाला एड्रेस http:// माना जाता है, @ से पहले का टेक्स्ट userinfo है जिसे ब्राउज़र अनदेखा करता है, और अंतरराष्ट्रीय होस्ट यूनिकोड और उसके ASCII xn-- रूप दोनों में दिखाया जाता है (IDNA 2008, RFC 5891; Punycode, RFC 3492)।

हर संकेत का तय वज़न है — उच्च 35, मध्यम 20, कम 10, जानकारी 0 — और स्कोर इनका जोड़ है, अधिकतम 100। 20 या उससे ज़्यादा "संदिग्ध" और 55 या उससे ज़्यादा "ख़तरनाक दिखता है" पढ़ा जाता है। ब्रांड के नाम का एक-अक्षर वाला टाइपो पूरा वज़न तभी पाता है जब कोई दूसरा संकेत भी उसी ओर इशारा करे, क्योंकि कई आम शब्द किसी ब्रांड के नाम से एक अक्षर दूर होते हैं।

रजिस्टर्ड डोमेन का अनुमान आम दो-हिस्सों वाले देश-सफ़िक्स (com.sa, co.uk, co.in …) और होस्टिंग प्लेटफ़ॉर्म (github.io, pages.dev, amazonaws.com …) की बिल्ट-इन सूची से लगाया जाता है, पूरी Public Suffix List से नहीं। होस्टिंग प्लेटफ़ॉर्म पर प्लेटफ़ॉर्म से पहले वाला नाम प्रकाशक की पसंद माना जाता है, इसलिए वहाँ ब्रांड का नाम प्लेटफ़ॉर्म के नाम की वजह से माफ़ नहीं होता।

reputation lookup नॉर्मलाइज़ किए गए लिंक के साथ Google Web Risk (MALWARE, SOCIAL_ENGINEERING और UNWANTED_SOFTWARE के लिए uris:search) और URLhaus से पूछता है। Web Risk की लिस्टिंग Google की advisory सूचना के साथ दिखाई जाती है, जैसा उसकी शर्तें माँगती हैं।

सीमाएँ और कार्यप्रणाली

लिंक के पीछे का पेज कभी फ़ेच नहीं होता, इसलिए साधारण दिखने वाले डोमेन पर असली जैसा फ़ॉर्म, हैक हुई असली साइट, या जाँच के बाद बदलने वाला पेज नहीं दिख सकता।

ब्रांड की सूची छोटी और सोची-समझी है: वे वैश्विक नाम जिनकी नकल फ़िशिंग किट सबसे ज़्यादा करती हैं, साथ में सऊदी और भारतीय बैंक व पोर्टल। किसी दूसरे नाम की नकल सिर्फ़ सामान्य संकेतों से पकड़ी जाती है।

सर्वर पर provider key न हो तो कोई reputation सूची नहीं पूछी जाती। key हो तो भी "दर्ज नहीं" सिर्फ़ उस सूची की उस पल की स्थिति है।

रजिस्टर्ड डोमेन का अनुमान बिल्ट-इन सफ़िक्स सूची से है, पूरी Public Suffix List से नहीं, इसलिए कोई दुर्लभ कई-हिस्सों वाला सफ़िक्स अलग ढंग से बँट सकता है।

सुरक्षा और गोपनीयता

नियम आपके ब्राउज़र में चलते हैं। reputation lookup चालू होने पर लिंक का टेक्स्ट Mutqan सर्वर तक और वहाँ से कॉन्फ़िगर सेवाओं (Google Web Risk, abuse.ch URLhaus) तक जाता है; Mutqan कुछ स्टोर नहीं करता, और वे सेवाएँ अपनी नीतियाँ लागू करती हैं। लिंक में @ से पहले लिखा यूज़र नेम या पासवर्ड lookup में नहीं भेजा जाता। पाथ या क्वेरी में भी टोकन या निजी पहचान हो सकती है — निजी मैसेज से लिया लिंक जाँचने से पहले उन्हें हटा दें, या lookup बंद कर दें।

संदर्भ

• RFC 3986: Uniform Resource Identifier (URI): Generic SyntaxIETF · 2005URI के भाग (स्कीम, अथॉरिटी, पाथ, क्वेरी, फ़्रैगमेंट), रिज़र्व्ड कैरेक्टर और परसेंट-एन्कोडिंग।
• URL StandardWHATWGब्राउज़र वास्तव में URL को कैसे पार्स, सीरियलाइज़ और एन्कोड करते हैं, application/x-www-form-urlencoded सहित।
• OWASP Cheat Sheet Series: Unvalidated Redirects and ForwardsOWASP FoundationOpen redirects: redirect का गंतव्य उपयोगकर्ता के input से क्यों नहीं आना चाहिए, और बचाव — server पर identifiers को URLs से जोड़ना, allow-lists और पुष्टि पेज।