Как проверить ссылку или QR-код, не переходя по ним

Автор: Александр Д.

12.09.2026 · 6 МИН ЧТЕНИЯ

ОБНОВЛЕНО 27.10.2026

Короткая ссылка и QR-код устроены одинаково: вы не видите, куда идёте, пока не пришли.

У обычной ссылки домен виден до клика, и по домену можно отличить настоящий банк от поддельного. У короткой домена нет, у QR-кода нет вообще ничего, кроме квадратика. Ниже три вещи, которые можно узнать заранее, не переходя: куда ведёт ссылка, что внутри кода и какие метки слежения к вам прицепили. Всё из браузера, ничего ставить не надо.

Коротко:

Короткая ссылка и QR-код прячут домен, а именно по домену отличают поддельный сайт от настоящего: замок в адресной строке почти всегда есть и у подделок.
Разверните ссылку до перехода, прочитайте QR-код до оплаты и уберите из ссылки метки слежения, прежде чем её пересылать.
Проверять стоит ссылки, где просят войти или заплатить, ссылки от незнакомых людей и QR-коды, за которыми деньги: на парковке, в кафе, на квитанции.

Почему домен важнее замка в адресной строке?

Единственное, по чему человек отличает настоящий сайт от поддельного, это домен: то, что стоит между https:// и первой косой чертой. Замок в адресной строке тут не помогает, у поддельных страниц он есть почти всегда, сертификат сегодня выдают за минуту и бесплатно. Почему замок гарантирует шифрование, но не честность, разобрано в статье что значит замок HTTPS.

Решение принимается по домену: замок есть и у подделок, а хвост это метки.

Короткая ссылка убирает из уравнения ровно это. Вместо sberbank.ru вы видите clck.ru/xxx, и решаете переходить или нет вслепую. То же с QR-кодом: камера читает адрес и открывает его, а вы видите домен уже на открытой странице.

Как узнать, куда ведёт короткая ссылка?

Вставьте её в разворачивание ссылок. Инструмент пройдёт всю цепочку редиректов (автоматических перебросов с одного адреса на другой) и покажет каждый шаг, конечный адрес и метки в нём.

Две вещи, которые в этом важны. Первая: по ссылке ходит наш сервер, а не ваш браузер. Тому, кто считает переходы, не достаётся ни вашего адреса, ни куки, ни отпечатка. Счётчик у сокращателя вырастет на единицу, но это будет наш сервер, а не вы.

Переходы считают наш сервер, а не вас: ни адреса, ни куки, ни отпечатка.

Вторая: цепочка из четырёх переходов подряд это не признак мошенничества, а обычная реклама. Сокращатель отдаёт вас счётчику, счётчик партнёрской сети, та магазину, и каждый по дороге ставит свою метку. Так выглядит почти любая ссылка из рассылки или из поста с товаром. Смотреть надо на последний адрес: чей это домен и похож ли он на тот, что обещали.

Как проверить QR-код, не переходя по нему

Наведя камеру на код, вы переходите вслепую. Этим пользуются: наклейка с чужим кодом поверх настоящего на парковочном автомате, на столике в кафе, на объявлении. Человек платит не туда и узнаёт об этом позже. Американская торговая комиссия так и пишет в предупреждении для потребителей: сообщают о случаях, когда мошенники заклеивают коды на парковочных счётчиках своими, и совет один: если код в неожиданном месте, посмотрите адрес до того, как открыть.

Посмотреть можно здесь: прочитать QR-код. Загрузите картинку с кодом или наведите камеру прямо на странице, и увидите, что внутри: адрес, текст, пароль от Wi-Fi или платёжные реквизиты. Ни картинка, ни кадры с камеры никуда не отправляются, код читается встроенным средством браузера.

Честная оговорка: это средство есть в Chrome и браузерах на его основе, включая Android, но его нет в Safari и Firefox. Там страница так и скажет, что прочитать не может. Подключать ради этого чужую библиотеку мы не стали.

Дальше правило то же: смотрите на домен. Код обещает оплату парковки, а домен незнакомый, значит платить не надо. Код из письма ведёт на страницу входа, а домен не тот, значит это подделка страницы входа, самый частый сюжет после наклеек.

Код сначала читают, потом смотрят домен, и только после этого открывают.

Как убрать UTM-метки и метки слежения из ссылки

Хвост ссылки после знака вопроса обычно не нужен для открытия страницы. utm_source, utm_medium, utm_campaign, fbclid, gclid это UTM-метки (подписи для рекламной системы: откуда вы пришли). Они не ломают страницу, если их убрать, зато рассказывают, из какой рассылки, с какого баннера или из какой соцсети вы пришли, и связывают переход с вашим профилем в рекламной системе.

Когда вы пересылаете такую ссылку другу, вы пересылаете и метки: система запишет, что друг пришёл «из вашей рассылки». Очистка ссылки от меток убирает хвост и отдаёт чистый адрес. Его и стоит открывать или пересылать. Что ещё выдаёт вас рекламным сетям помимо меток, в статье пять привычек, которые выдают вас трекерам.

Метки пересылаются вместе со ссылкой, чистый адрес открывает ту же страницу.

Обратная задача тоже бывает: сделать свой QR-код из ссылки, текста или пароля от Wi-Fi для гостей. Это генератор QR-кода, тоже без регистрации и без отправки на сервер.

Какие ссылки стоит проверять

Скажу прямо. Ссылки из рассылок и постов разворачивать каждую незачем: там четыре перехода и куча меток, но это реклама, а не мошенничество. Разворачивать стоит две категории: ссылки, где просят войти или заплатить, и ссылки от незнакомых людей. QR-коды, наоборот, проверять почти всегда, когда за ними деньги: код на парковке, на столике, на квитанции. Одна секунда на «прочитать» против неизвестно скольких на «вернуть».

От чего не защищает проверка ссылки?

Развёрнутая ссылка с честным доменом всё равно может вести на честный сайт с мошенническим объявлением. Проверка отвечает на вопрос «куда я иду», а не «стоит ли там что-то покупать». И она не защищает от того, что вы сами введёте пароль на настоящем сайте, до которого дошли по подделанной ссылке в письме «ваш аккаунт заморожен». Тут работает не инструмент, а привычка открывать банк из закладки, а не из письма.

Если ссылка развернулась во что-то непонятное, покажите цепочку нейросети.

Промт для нейросети

Помоги понять, безопасна ли эта ссылка.

Откуда она: (письмо / мессенджер / объявление /
QR-код на улице).
Что обещали: (оплата парковки / вход в аккаунт /
товар / другое).
Цепочка переходов: (вставьте адреса по шагам).
Конечный домен: (какой).

Скажи, совпадает ли домен с тем, что обещали,
и что в цепочке выглядит подозрительно.
Если данных мало, спроси.

Коротко

Короткая ссылка и QR-код прячут домен, а домен это единственное, по чему отличают подделку. Разверните ссылку до перехода, прочитайте код до оплаты, уберите метки перед пересылкой. Три инструмента, ноль регистрации, и всё, что проверяется, не уходит с вашего устройства, кроме самой ссылки, по которой вместо вас сходит наш сервер.

Частые вопросы

Значит ли замок в адресной строке, что сайт настоящий?

Нет, замок говорит только о том, что соединение зашифровано: сертификат сегодня выдают бесплатно и за минуту, и у поддельных страниц он есть почти всегда. Настоящий сайт отличают по домену, то есть по тому, что стоит между https:// и первой косой чертой.

Как прочитать QR-код с картинки?

Загрузите картинку в инструмент «Прочитать QR-код»: он покажет адрес, текст, пароль от Wi-Fi или платёжные реквизиты, ничего не открывая и никуда не отправляя картинку. Это работает в Chrome и браузерах на его основе, в том числе на Android, а в Safari и Firefox нет.

Чем опасен QR-код на парковке или в кафе?

Мошенники наклеивают свой код поверх настоящего, и человек платит не туда, а узнаёт об этом позже. Если код висит в неожиданном месте, сначала посмотрите, на какой домен он ведёт, и только потом открывайте.

Зачем убирать UTM-метки из ссылки?

Метки рассказывают рекламной системе, из какой рассылки, с какого баннера или из какой соцсети вы пришли, и связывают переход с вашим профилем. Страница без них открывается так же, а если переслать ссылку с метками, переход друга запишут как пришедший «из вашей рассылки».

Опасна ли ссылка, которая ведёт через несколько переадресаций?

Сама по себе нет: цепочка из четырёх переходов обычна для рекламы, где сокращатель, счётчик и партнёрская сеть ставят свои метки. Смотреть надо на конечный адрес: чей это домен и похож ли он на тот, что обещали.