«https» перед адресом

Приложение часто ищут вместе со словом «https». За этим стоит понятная логика: раз есть замок — значит, всё в порядке. Логика неверная, и подделки живут именно за счёт неё.

Что https действительно делает

Оно шифрует то, что идёт между вашим браузером и сайтом, и подтверждает, что вы разговариваете именно с тем доменом, который написан в строке адреса. Посторонний в середине не сможет ни прочитать переписку, ни подменить содержимое страницы.

Чего https не делает

• Не подтверждает, что сайт честный. Сертификат сегодня выдаётся бесплатно и автоматически на любой домен, включая только что зарегистрированный двойник.
• Не проверяет содержимое. Файл с чужим кодом внутри отдаётся по защищённому соединению ровно так же, как настоящий.
• Не защищает от опечатки в имени домена. Замок будет зелёным и на домене, который отличается одной буквой.

Как читать адрес правильно

Домен — это то, что стоит непосредственно слева от первой одиночной косой черты, две последние части. Всё, что левее, — поддомены, их выбирает владелец домена и может назвать как угодно. Всё, что правее, — путь, он к владельцу отношения не имеет.

Три последние строки — это и есть весь арсенал двойников. Ничего более хитрого обычно не требуется: человек видит знакомое слово и дальше не читает (как это выглядит на практике).

Что делать, если браузер ругается

1. Предупреждение о сертификате

   Не нажимайте «всё равно перейти». На настоящем адресе такого не бывает, а на чужом это уже второй тревожный признак после самого адреса.

2. Открылось по http без замка

   Современные сайты сами переводят на защищённое соединение. Если этого не произошло, сверьте домен с реестром — возможно, вы не там.

3. Загрузка началась сразу после перехода по ссылке

   Само по себе это нормально для прямого адреса файла. Ненормально, если ссылку вы получили в чате и адрес был коротким, скрывающим настоящий.

Короткие ссылки

Сокращатели ссылок отдельно вредны тем, что убирают именно ту часть, которую мы учимся читать: домен виден только после перехода. Если ссылку прислали в чате, а по ней должен скачаться файл, надёжнее не переходить, а открыть адрес из реестра руками — это дольше на пятнадцать секунд.

Что происходит с адресом, скопированным из чата

Это отдельная беда. Мессенджеры показывают ссылку красиво: вместо адреса — заголовок страницы, картинка и подпись. Куда она ведёт, не видно до перехода, а подпись пишет тот, кто ссылку отправил. Добавьте сюда сокращатели, и от адреса не остаётся ничего проверяемого.

1. Не переходите по ссылке на скачивание из чата — откройте адрес из реестра руками.
2. Если ссылку прислал знакомый, помните: он мог взять её из того же поиска.
3. Если файл уже пришёл прямо в чат, сверяйте его как любой чужой (порядок).

Пять секунд, которые экономят перекачивание

Всё, что нужно сделать перед нажатием на кнопку загрузки, — прочитать домен и навести курсор на саму кнопку. Первое говорит, чей это сайт; второе — куда ведёт ссылка. На настоящем адресе оба ответа сходятся: домен из реестра, ссылка на его же поддомен (пример).

На телефоне курсора нет, зато есть длинное нажатие: оно показывает адрес ссылки перед переходом. Приём тот же, времени столько же.

Вопросы