Decodieren Sie Outlook SafeLinks, Proofpoint URLDefense, Google-Weiterleitungslinks und andere umhüllte URLs zurück zum ursprünglichen Ziel, um zu prüfen, wohin ein Link wirklich führt.
Outlook SafeLinks, Proofpoint URLDefense und andere umgeschriebene URLs entpacken. Unternehmens-Mail-Gateways schreiben jeden Link in einer E-Mail um, sodass Klicks zuerst durch deren Scanner laufen. Fügen Sie den umgeschriebenen Link hier ein, um das echte Ziel vor dem Öffnen wiederherzustellen.
Fügen Sie den vollständigen Link ein, einschließlich der Abfragezeichenfolge. Nichts verlässt Ihren Browser.
Warum Ihre Links umgeschrieben werden und wie Sie sie lesen
Was ein Link-Umschlag tut
Wenn eine Organisation Microsoft Defender für Office 365, Proofpoint, Mimecast oder ein ähnliches Gateway betreibt, wird jede URL in einer eingehenden E-Mail vor Erreichen des Postfachs umgeschrieben. example.com/report wird zu etwas wie eur01.safelinks.protection.outlook.com/?url=htt....
Der Punkt ist Zeitpunkt-des-Klicks-Schutz. Ein Link kann harmlos sein, wenn die Nachricht gescannt wird, und eine Stunde später bewaffnet, also zwingt das Gateway jeden Klick zurück durch seinen eigenen Scanner und prüft den Ruf des Ziels in diesem Moment erneut.
Die Kosten des Umschlagens
Umschlagen bricht den ältesten Sicherheitsrat im Buch: fahren Sie über einen Link und lesen Sie, wohin er führt. Die Statusleiste zeigt nun die Domain des Gateways, nicht die echte. Es bricht auch Link-Vorschauen, macht URLs in Dokumentationen unbrauchbar, vereitelt Kopieren-Einfügen in ein Terminal und leckt Klick-Telemetrie an den Gateway-Betreiber.
Decodieren stellt die ursprüngliche URL wieder her, sodass Sie sie selbst beurteilen können.
Die Formate
Outlook SafeLinks legt das Ziel in einen url-Abfrageparameter, einmal prozentkodiert. Alles danach (data, sdata, reserved) ist Tracking-Metadaten, die verworfen werden können.
Proofpoint URLDefense hat drei Generationen. v1 und v2 nutzen einen u-Parameter mit einer eigenen Ersetzung: - steht für % und _ steht für /. v3 nutzt eine pfadbasierte __example.com__;!!...-Form. Dieses Tool kehrt die Ersetzung vor der Prozent-Decodierung um.
Google nutzt /url?q= (Suchergebnisse) oder /url?url= (andere Produkte), und Facebook, LinkedIn und Twitter haben jeweils ihr eigenes Äquivalent.
Generische Umschläge legen das Ziel in einen Parameter namens url, u, target, redirect, dest oder link. Der Decoder sucht nach einem davon, wenn er keinen bekannten Anbieter identifizieren kann.
Einen decodierten Link sicher lesen
Die URL zurückzubekommen ist nur die halbe Arbeit. Prüfen Sie die registrierbare Domain, nicht die ganze Zeichenfolge — paypal.com.secure-login.ru gehört zu secure-login.ru. Achten Sie auf ähnliche Zeichen, eine unerwartete Top-Level-Domain oder einen legitimen Host mit einem seltsamen Pfad wie /wp-content/uploads/. Und bedenken Sie: Ein decodierter Link, der unbedenklich aussieht, ist kein Beweis, dass die Datei dahinter sicher ist.
Häufig gestellte Fragen
Ist es sicher, hier einen verdächtigen Link zu decodieren?
Ja. Das Decodieren ist reine String-Manipulation innerhalb Ihres Browsers — es wird keine Anfrage an den Link gesendet und nichts an einen Server übermittelt. Sie lesen die URL, besuchen sie nicht.
Warum enthält der decodierte Link immer noch seltsame Parameter?
Marketing-Parameter wie utm_source, gclid oder fbclid gehören zur ursprünglichen URL und überleben das Entpacken. Sie können sie manuell entfernen, wenn Sie einen sauberen Link wollen.
Es steht „nicht umhüllt", aber der Link kam aus einer E-Mail.
Nicht jedes Gateway hüllt jeden Link ein. Interne Absender, erlaubte Domains und Nur-Text-Nachrichten bleiben oft unangetastet, also gibt es schlicht nichts zu entpacken.
Kann ich SafeLinks abschalten?
Nur ein Mandantenadministrator kann das, über Defender-für-Office-365-Richtlinien, und das Deaktivieren entfernt den Zeitpunkt-des-Klicks-Schutz für alle. Einzelne Links zu decodieren ist die sicherere Gewohnheit.
Was ist mit verschachtelten Umschlägen?
Zwischen Organisationen weitergeleitete Links können doppelt umhüllt sein. Decodieren Sie das Ergebnis erneut, und auch die zweite Schicht fällt ab.