نشانی سایت رو چطور بخونیم

«آدرس سایت بانک»

خیلی از آدم‌ها وقتی می‌خوان وارد حساب بانکیشون بشن، توی یه موتور جستجو می‌نویسن «آدرس سایت بانک فلان» و روی اولین نتیجه می‌زنن. این کار ساده‌ست، ولی یه خطر بزرگ داره: اولین نتیجه گاهی یه تبلیغه که یه کلاهبردار خریده، یا یه سایت با نشانی خیلی شبیه.

توی همه‌ی درس‌های این مسیر یه جمله تکرار شد: «نشانی رو بخونید». این درس دقیقا یاد می‌ده یعنی چی. نشانی سایت چند تیکه داره، و فقط یکی از اون تیکه‌ها مهمه. اگه بدونید کدوم، با یه نگاه می‌فهمید یه لینک مال کیه، هر چقدر هم طولانی و گیج‌کننده باشه.

URL چیه

نشانی سایت، یا همون لینک، که به انگلیسی بهش می‌گن URL، کوتاه‌شده‌ی Uniform Resource Locator، یعنی «نشانی یکسان منبع»، چیزیه که توی نوار بالای مرورگر نوشته می‌شه و می‌گه این صفحه کجای اینترنته. هر صفحه، هر عکس و هر فایلی که توی اینترنته، یه نشانی منحصربه‌فرد داره.

خیلی‌ها «لینک» و «آدرس» و «URL» رو به جای هم به کار می‌برن، و اشکالی نداره: لینک معمولا یه نوشته یا دکمه‌ست که پشتش یه URL هست، و آدرس همون URL‌ئه. چیزی که توی این درس مهمه، خود اون نشانیه.

توی نشانی، یه بخش به اسم دامنه (Domain) هست، که اسم سایته، مثل mybank.ir. دامنه رو یه نفر یا یه شرکت ثبت کرده و مال اونه؛ هیچ‌کس دیگه نمی‌تونه همون دامنه رو داشته باشه. درس DNS می‌گه دامنه چطور به یه سرور می‌رسه. کلید همه‌چیز اینه که بفهمید دامنه‌ی یه نشانی چیه.

پسوندهای دوتیکه‌ای

قانون «دو تیکه‌ی آخر» یه استثنای مهم داره. بعضی کشورها پسوندهای دوتیکه‌ای دارن. مثلا توی ایران، غیر از .ir خالی، پسوندهایی مثل co.ir برای شرکت‌ها، ac.ir برای دانشگاه‌ها، gov.ir برای اداره‌ها، و org.ir، net.ir، sch.ir و id.ir هم هست. اینجا پسوند خودش دو تیکه‌ست، پس اسم واقعی سه تیکه‌ی آخره: توی shop.example.co.ir، اسم واقعی example.co.ir‌ئه، نه co.ir.

مرورگرها این رو از یه فهرست عمومی می‌دونن به اسم Public Suffix List، یعنی «فهرست پسوندهای عمومی»، که می‌گه زیر کدوم پسوندها هر کسی می‌تونه دامنه بخره. برای شما کافیه بدونید: اگه پسوند یکی از این دوتیکه‌ای‌ها بود، یه تیکه بیشتر رو اسم واقعی حساب کنید. خیلی از مرورگرها هم اسم واقعی رو توی نوار نشانی پررنگ‌تر نشون می‌دن، تا شما مجبور نباشید حساب کنید.

زیردامنه

زیردامنه‌ها خودشون بد نیستن؛ خیلی از سایت‌های واقعی ازشون استفاده می‌کنن. بانک ممکنه سایت اصلیش mybank.ir باشه، بانکداری اینترنتیش ib.mybank.ir، و درگاه پرداختش pay.mybank.ir. همه‌ی این‌ها مال بانکن، چون اسم واقعیشون mybank.ir‌ئه.

مشکل فقط وقتیه که زیردامنه، اسم یه سایت دیگه رو جعل می‌کنه. هر چقدر هم زیردامنه طولانی و رسمی باشه، مثل secure.login.mybank.ir.verify-account.top، فقط تیکه‌ی آخر مهمه: verify-account.top.

دامنه مال کیه و از کی

هر دامنه‌ای که روی اینترنته، یه پرونده‌ی عمومی داره: کی ثبتش کرده، کی ثبت شده، تا کی اعتبار داره، و کدوم شرکت ثبتش کرده. به جستجو توی این پرونده، به انگلیسی می‌گن WHOIS یا RDAP. سازمان جهانی‌ای که نظام دامنه‌ها رو هماهنگ می‌کنه، یعنی آیکان، خودش یه صفحه‌ی رایگان برای این جستجو داره به اسم ICANN Lookup.

خیلی وقت‌ها اسم صاحب دامنه پنهانه، و این عادیه؛ خیلی از صاحب‌های دامنه برای حریم خصوصی، اسمشون رو نشون نمی‌دن. ولی یه چیز همیشه پیداست و خیلی به کار میاد: تاریخ ثبت. سایت یه بانک یا یه فروشگاه بزرگ، سال‌هاست که ثبت شده. یه دامنه که «سایت رسمی» یه جای معروف رو جعل کرده و فقط چند روزه ثبت شده، تقریبا قطعا جعلیه. برای دامنه‌های .ir هم خود ایرنیک، جایی که این دامنه‌ها رو ثبت می‌کنه، روی سایتش امکان جستجوی دامنه داره.

نشانی فارسی و xn--

دامنه‌ها لازم نیست انگلیسی باشن؛ می‌شه دامنه‌ی فارسی، عربی، روسی یا چینی هم ثبت کرد، و حتی پسوند فارسی .ایران هم هست. پشت صحنه، همه‌ی این نشانی‌ها به یه شکل انگلیسی ترجمه می‌شن که با xn-- شروع می‌شه. اگه یه لینک فارسی رو کپی کنید و جایی بچسبونید، گاهی همین شکل رو می‌بینید.

این خودش مشکلی نیست. ولی کلاهبردارها از همین امکان برای ساختن نشانی‌هایی استفاده می‌کنن که با حروف یه الفبای دیگه، عین یه نشانی انگلیسی معروف دیده می‌شن. قانون ساده: اگه نشانی یه سایت معروف انگلیسی، توی نوار نشانی xn-- داشت، اون سایت نیست. درس لینک‌هایی که درست به نظر می‌رسن ولی تقلبین کاملش رو گفته.

زیردامنه‌های آشنا

چند تا زیردامنه خیلی رایجن و دیدنشون عادیه: www، که از قدیم برای سایت اصلی استفاده می‌شد؛ m، که بعضی سایت‌ها برای نسخه‌ی گوشیشون می‌ذارن؛ mail برای ایمیل؛ pay یا ib برای پرداخت و بانکداری اینترنتی؛ و shop یا blog. خیلی از سایت‌ها هم بی www باز می‌شن، و mybank.ir و www.mybank.ir معمولا یه جان.

همه‌ی این‌ها فقط وقتی مال سایت اصلی‌ان که بعدشون همون اسم اصلی و پسوند بیاد. m.mybank.ir مال بانکه؛ m-mybank.ir، با خط تیره به جای نقطه، یه دامنه‌ی کاملا جداست. یه خط تیره یا یه نقطه، فرق یه سایت واقعی و یه سایت جعلیه.

عدد به جای اسم

گاهی به جای اسم سایت، چهار تا عدد با نقطه می‌بینید، مثل http://185.12.34.56/login. این یه نشانی IP‌ئه، یعنی شماره‌ی مستقیم یه سرور، بی اسم. درس IP می‌گه IP چیه. سایت‌های واقعی، مخصوصا بانک‌ها و فروشگاه‌ها، هیچ‌وقت صفحه‌ی ورودشون رو روی یه IP خالی نمی‌ذارن؛ همیشه یه اسم دارن.

پس اگه لینکی که برای ورود یا پرداخت براتون اومده، به جای اسم یه عدد داشت، تقریبا قطعا جعلیه. تنها جایی که دیدن IP عادیه، صفحه‌ی تنظیمات مودم خونه‌ست، که خودتون بازش می‌کنید.

درگاه

گاهی بعد از اسم سایت، یه دونقطه و یه عدد میاد، مثل mybank.ir:8443. به این عدد می‌گن درگاه (Port)، یعنی شماره‌ی دری از سرور که مرورگر ازش وارد می‌شه. معمولا لازم نیست نوشته بشه، چون سایت‌ها از درهای پیش‌فرض استفاده می‌کنن. درس پورت کاملش رو می‌گه.

دیدن درگاه به‌تنهایی دلیل جعلی بودن نیست، و اسم واقعی هم هنوز همونه که قبل از دونقطه‌ست. ولی بانک‌ها و فروشگاه‌های بزرگ معمولا درگاه عجیب توی نشانی صفحه‌ی ورودشون ندارن؛ پس اگه دیدید، یه کم بیشتر دقت کنید.

علامت‌های درصد

گاهی توی نشانی‌ها چیزهایی مثل %20 یا %D8%A8 می‌بینید. این‌ها رمزگذاری درصدی (Percent-Encoding) هستن، یعنی راهی برای نوشتن حروفی که توی نشانی مجاز نیستن، مثل فاصله یا حروف فارسی. مثلا فاصله می‌شه %20. وقتی یه لینک فارسی رو کپی می‌کنید و جایی می‌چسبونید، معمولا یه رشته‌ی طولانی از همین درصدها می‌بینید.

این‌ها معمولا توی مسیر و پرسش‌ان و بی‌خطرن. ولی گاهی کلاهبردارها با همین، نشانی رو طولانی و گیج‌کننده می‌کنن، تا شما از خوندنش خسته بشید. یادتون باشه، هر چقدر هم نشانی شلوغ باشه، فقط تیکه‌ی پیش از اولین «/» مهمه.

http و https

https یعنی ارتباط بین مرورگر شما و سایت رمزگذاری شده و کسی وسط راه نمی‌تونه ببینه یا عوضش کنه؛ قفل کنار نشانی هم همینو نشون می‌ده. http بی s یعنی رمزگذاری نشده. امروز تقریبا همه‌ی سایت‌ها https دارن، و مرورگرها برای http هشدار «ناامن» نشون می‌دن.

ولی https فقط درباره‌ی امنیت راهه، نه درستی اسم. یه سایت جعلی هم می‌تونه https و قفل داشته باشه، چون برای اسم خودش گواهی گرفته. پس https لازمه، ولی کافی نیست؛ اسم واقعی رو باید جدا بخونید. درس HTTPS این رو کامل می‌گه.

مسیر و پرسش

هر چیزی بعد از اولین «/» تکی، مال خود همون سایته، و صاحبش هر چی بخواد می‌نویسه. یه سایت جعلی می‌تونه مسیرش رو این‌طوری بنویسه: pay-now.top/mybank.ir/login. «mybank.ir» اینجا توی مسیره، یعنی فقط اسم یه پوشه توی سایت کلاهبرداره.

برای همینه که قانون «قبل از اولین /» این‌قدر مهمه: هر اسمی که بعد از اون «/» بیاد، هر چقدر هم آشنا، هیچ ربطی به صاحب سایت نداره.

ردیاب‌های توی لینک

این یکی به حریم خصوصی ربط داره. خیلی از لینک‌ها، مخصوصا لینک‌های تبلیغ و شبکه‌های اجتماعی، توی بخش پرسش یه سری کلمه‌ی اضافه دارن، مثل utm_source=... یا یه رشته‌ی طولانی از حرف و عدد. این‌ها برای اینن که سایت بفهمه شما از کجا اومدید، روی کدوم تبلیغ زدید، و گاهی حتی کی بودید.

وقتی یه لینک رو برای کسی می‌فرستید، این ردیاب‌ها هم باهاش می‌رن، و گاهی نشون می‌دن لینک رو شما از کجا پیدا کردید. اگه براتون مهمه، پیش از فرستادن، بخش بعد از علامت سوال رو پاک کنید؛ بیشتر وقت‌ها صفحه بی اون هم درست باز می‌شه. بعضی مرورگرها هم خودشون این ردیاب‌ها رو موقع کپی کردن لینک برمی‌دارن.

مرورگر چطور کمک می‌کنه

مرورگرهای امروزی چند کار برای راحت‌تر کردن خوندن نشانی می‌کنن. خیلی‌هاشون اسم واقعی سایت رو پررنگ‌تر و بقیه‌ی نشانی رو کم‌رنگ‌تر نشون می‌دن، تا چشم شما مستقیم بره سراغ همون تیکه‌ی مهم. بعضی‌ها وقتی نشانی خیلی شبیه یه سایت معروفه، یه صفحه‌ی هشدار نشون می‌دن که می‌پرسه «منظورتون این سایت بود؟». و همه‌شون یه فهرست از سایت‌های فیشینگ شناخته‌شده دارن و پیش از باز شدنشون، یه صفحه‌ی قرمز هشدار نشون می‌دن.

این‌ها کمک بزرگی‌ان، به شرطی که مرورگر به‌روز باشه، چون فهرست‌ها و قانون‌ها با به‌روزرسانی تازه می‌شن. و یادتون باشه: نبودن هشدار، یعنی مرورگر چیزی پیدا نکرده، نه اینکه سایت حتما درسته. سایت جعلی‌ای که همین امروز ساخته شده، هنوز توی هیچ فهرستی نیست.

نوار نشانی گوشی

روی گوشی، نوار نشانی کوچیکه، و خیلی از مرورگرهای گوشی فقط اسم سایت رو نشون می‌دن، بی بقیه‌ی نشانی؛ بعضی‌ها هم اول نشانی رو نشون می‌دن و تهش رو می‌برن. کروم روی کامپیوتر هم از سال ۲۰۱۹ به بعد، https:// و www. رو پنهان می‌کنه تا نشانی ساده‌تر دیده بشه.

پیش از زدن رمز یا کارت، روی نوار نشانی بزنید؛ نشانی کامل نشون داده می‌شه و می‌تونید بخونیدش. برای نشانی‌های طولانی، از آخرش شروع کنید: تیکه‌ی آخر قبل از اولین «/». و توی مرورگرهای داخل برنامه‌ها، مثلا وقتی یه لینک رو توی یه پیام‌رسان باز می‌کنید، گاهی نشانی اصلا نشون داده نمی‌شه؛ برای کارهای حساس، لینک رو توی مرورگر اصلی باز کنید.

دیدن لینک پیش از باز کردن

بهتره نشانی یه لینک رو پیش از باز کردنش بخونید، نه بعدش. روی کامپیوتر، موس رو بدون کلیک روی لینک ببرید؛ نشانی واقعی پایین مرورگر یا برنامه‌ی ایمیل نشون داده می‌شه. روی گوشی، انگشتتون رو روی لینک نگه دارید تا یه پنجره با نشانی کامل باز بشه، و بعد بی اینکه بازش کنید، ببندیدش.

یادتون باشه، نوشته‌ی روی یه لینک یا دکمه، و نشانی واقعیش، دو تا چیز جدان. حتی اگه نوشته‌ی لینک خودش شکل یه نشانی درست باشه، مقصدش می‌تونه یه جای دیگه باشه. درس فیشینگ ایمیلی این رو با طراحی نشون داده. و اگه لینک کوتاه‌شده بود، درس لینک کوتاه و لینک پنهان می‌گه چطور مقصدش رو ببینید.

لینکی که جای دیگه می‌ره

گاهی نشانی لینکی که روش می‌زنید، با نشانی صفحه‌ای که آخر باز می‌شه فرق داره. سایت اول، شما رو خودکار به یه سایت دیگه می‌فرسته؛ به این می‌گن تغییر مسیر (Redirect). این کار خیلی وقت‌ها عادیه، مثلا وقتی یه سایت نشانیش رو عوض کرده. ولی کلاهبردارها هم ازش استفاده می‌کنن تا لینک اولشون یه نشانی معتبر یا کوتاه باشه و از فیلترها رد بشه.

برای همین، قانون اینه: نشانی‌ای که مهمه، نشانی صفحه‌ایه که آخر جلوتونه، نه لینکی که روش زدید. پیش از زدن هر رمز یا کارتی، یه بار دیگه نوار نشانی رو، همون موقع، بخونید.

نشانی بانک رو از کجا بگیریم

حالا که بلدید نشانی رو بخونید، بهترین کار اینه که برای جاهای مهم، اصلا لازم نباشه بخونید. نشانی سایت بانک، بیمه و اداره‌هایی که باهاشون کار دارید رو یه بار از یه جای مطمئن بگیرید:

• پشت کارت بانکی، یا قراردادی که بانک بهتون داده.
• برنامه‌ی رسمی بانک که از فروشگاه رسمی گوشی نصب کردید؛ خیلی از برنامه‌ها نشانی سایت رو هم توی بخش «درباره‌ی ما» دارن.
• کاغذ یا تابلوی رسمی توی خود شعبه.

بعد، همون نشانی رو یه بار با دقت توی مرورگر تایپ کنید، ببینید درست باز شد، و نشانکش (Bookmark) رو بسازید. از اون به بعد، همیشه از همون نشانک برید، نه از جستجو و نه از لینک. این تنها راهیه که حتی وقتی خسته‌اید و عجله دارید، شما رو به همون سایت درست می‌بره.

کمی تاریخ

نشانی‌های وب رو تیم برنرز لی، سازنده‌ی وب، اوایل دهه‌ی ۹۰ میلادی طراحی کرد، و شکل استانداردش دسامبر ۱۹۹۴ منتشر شد. اون موقع کسی فکر نمی‌کرد عموم مردم روزی مجبور بشن نشانی‌ها رو برای امنیت بخونن؛ برای همین ترتیبش برای ما گیج‌کننده‌ست: دامنه از راست به چپ خونده می‌شه، ولی مسیر از چپ به راست. برنرز لی بعدها گفته که اگه دوباره طراحیش می‌کرد، شاید اون دو تا اسلش بعد از https: رو نمی‌ذاشت، چون هیچ کاری نمی‌کنن.

شکل امروزی و کامل قانون‌های نشانی، سال ۲۰۰۵ توی یه سند استاندارد به اسم RFC 3986 نوشته شد، و مرورگرها امروز از یه استاندارد زنده به اسم URL Standard پیروی می‌کنن. با بیشتر شدن فیشینگ، مرورگرها هم کم‌کم شروع کردن به ساده‌تر نشون دادن نشانی و پررنگ کردن اسم اصلی، تا خوندنش برای همه راحت‌تر بشه.

تمرین

اسم واقعی هر کدوم از این نشانی‌ها رو پیدا کنید. جواب‌ها پایین‌ترن.

1. https://www.mybank.ir/login
2. https://mybank.ir.secure-login.top/login
3. https://ib.mybank.ir/accounts
4. https://pay-now.top/mybank.ir/
5. https://mybank.ir@pay-now.top/
6. https://shop.example.co.ir/cart

جواب‌ها: یک، mybank.ir؛ دو، secure-login.top؛ سه، mybank.ir؛ چهار، pay-now.top؛ پنج، pay-now.top؛ شش، example.co.ir. فقط یک و سه مال بانکن.

بعد، برای بانک و ایمیلتون، از راه مطمئن نشانی بگیرید و نشانک بسازید.

اشتباه‌های رایج

• «اسم بانک اول نشانی بود.» اول نشانی مهم نیست؛ تیکه‌ی آخر قبل از اولین «/» مهمه.
• «اسم بانک توی نشانی بود.» هر کسی می‌تونه دامنه‌ای بخره که اسم بانک توشه، یا اسم بانک رو توی زیردامنه یا مسیرش بنویسه.
• «https داشت.» https یعنی راه امنه، نه اینکه سایت مال کیه.
• «نشانی رو از جستجو برداشتم.» اولین نتیجه ممکنه تبلیغ یه سایت جعلی باشه؛ نشانک بسازید.
• «نوشته‌ی لینک، نشانی درست بانک بود.» نوشته و مقصد دو تا چیزن؛ نشانی واقعی رو ببینید.
• «co.ir رو اسم سایت حساب کردم.» توی پسوندهای دوتیکه‌ای، اسم واقعی یه تیکه جلوتره.