短網址還原

這個工具做什麼

短網址本身什麼都沒告訴你。bit.ly/3xKp2Qm 不論指向新聞、購物網站，還是一個想騙走你密碼的頁面，看起來都一模一樣。把它貼到上面，這裡會代你追蹤下去，列出它經過的每一個位址與最後的落點——而你的瀏覽器一次都不必真的造訪。

中間的路徑和目的地同樣重要。一個連結若在抵達之前繞過四個不同網域，行為就和直接跳過去的連結不一樣；而這件事在你直接點下去的時候是看不到的。

為什麼瀏覽器做不到

本站其他工具都完全在你的瀏覽器裡執行，只有這一個不行，原因值得了解。

當網頁請求一個網址並要求瀏覽器不要跟著轉址時，拿回來的是規範所稱的「不透明」回應：一個封起來的物件，讀不到狀態碼、讀不到標頭，也讀不到目的地。而如果你改讓瀏覽器跟著轉址，你就已經造訪了那個連結——那正是你原本想避免的事。

這道限制不是疏漏。少了它，你打開的任何一個網頁都能把你的瀏覽器當成入口，悄悄探測你家網路上的每一個位址。所以這件事只能在瀏覽器以外的地方做，在這裡就是由我們的伺服器代為執行，再把看到的結果回報給你。

什麼會被送出，什麼不會

只有你貼上的網址。它只用來發出請求，不會被寫進我們的任何紀錄或資料庫。

另一端的網頁內容完全不會被下載——HTML 不會，圖片不會，什麼都不會。伺服器只詢問每個位址的狀態，並讀取指出下一站的 Location 標頭。因此目的地網站會看到一個請求抵達，但除了一個數字和一個位址之外，沒有任何東西回到這裡。

這裡看不到的轉址

追蹤路徑指的是追蹤 HTTP 轉址——伺服器回傳的 301、302、307、308。有些連結的轉址則藏在網頁裡面：

• meta refresh：寫在 HTML 中的 <meta http-equiv="refresh">。
• JavaScript 轉址：必須有真正的瀏覽器執行那段程式才會發生。
• 中間頁：要你先點過警告或廣告，目的地才會出現。

這三種情況下，這裡的路徑會停在那個藏著機關的頁面，而不是最終位址。這件事本身就是訊號：一個短網址服務若停在陌生網域並回傳 200 而不是繼續轉址，就做了單純的短網址服務不需要做的事。

連結也可能是因人而異的。有些服務會依國家、裝置或時段送出不同的目的地。我們的伺服器位在資料中心而不是手機上，所以一個專門對行動裝置顯示某個結果、對其他人顯示另一個結果的連結，你在這裡看到的會是後者。

路徑中會出現的狀態碼

不會被展開的位址

這裡只追蹤公開的網路位址。如果一個連結——或它中間任何一次轉址——指向內部網路，追蹤會就此停下並告訴你，而不會去連。這包括 127.0.0.1 這類回送位址、192.168.x.x 與 10.x.x.x 等私有範圍、雲端服務用來存放機器憑證的 169.254.169.254 這類鏈路本地位址，以及只在內部網路才解析得到的名稱。

短網址指向這些位址不會是失誤，而是有人想利用公開工具去碰他自己碰不到的地方。非網頁的協定、指定連接埠的連結，以及指回本站的連結，也基於同樣理由一律拒絕。

短網址不是唯一的把戲

展開連結能告訴你它去哪裡，但不能告訴你那裡安全。拿到位址後有兩件事值得檢查：

• 網域要從右邊讀起。 在 paypal.com.secure-login.example 裡，真正的網站是 example，前面全是裝飾。第一個斜線之前的最後兩段才是重點。
• 留意長得很像的字元。 網域可以包含其他文字系統的字母，看起來幾乎和拉丁字母一模一樣。如果一個網域看起來沒問題，但你是從一則意料之外的訊息點過去的，請自己把網址打一遍，不要跟著連結走。