Одна ссылка — много слов: что сайты узнают из адреса и как это отрезать

Скопировал ссылку из рассылки — а она длиной в абзац. Разбираемся, что прячется в хвосте адреса, зачем соцсети ставят метку «кто поделился», что делают переходники и короткие ссылки, чего чистка ссылок не решает и как по адресу отличить настоящий сайт от подделки.

Вот ссылка, которую можно скопировать из обычной рассылки магазина:

https://shop.example.ru/sale/boots?utm_source=newsletter&utm_medium=email&utm_campaign=autumn_sale&utm_content=button_red&yclid=8841093350217&mc_eid=a7f3c9e2b1

Сама страница — это https://shop.example.ru/sale/boots. Всё остальное — записка для тех, кто считает: откуда ты пришёл, по какой кнопке нажал, из какого письма, а иногда — кто ты такой.

Давай разберём, что там бывает, когда это безобидно, когда не очень и что с этим делать.

Как устроен адрес

Ссылка состоит из частей, и у каждой своя работа:

• https:// — как соединяться. s значит, что соединение шифруется.
• shop.example.ru — домен, адрес сайта. Самая важная часть: именно она говорит, чей это сайт.
• /sale/boots — путь, какая страница.
• ?utm_source=…&yclid=… — параметры, всё после знака вопроса. Пары «имя=значение» через &.
• #reviews — якорь, место на странице. На сервер он обычно не уходит.

Параметры бывают полезные: номер страницы, размер, цвет, поисковый запрос, время в видео. А бывают такие, которые нужны не тебе, а статистике.

Метки кампаний: utm

utm_source, utm_medium, utm_campaign, utm_content, utm_term — самые частые. Их ставит сам сайт или его маркетологи, чтобы понимать, что сработало: рассылка или реклама, какое письмо, какая кнопка.

Сами по себе utm-метки почти безобидны: они говорят «откуда пришёл посетитель», а не «кто он». Но есть нюансы:

• Если отправить такую ссылку другу, сайт решит, что он тоже пришёл из твоей рассылки. Статистика магазина немного соврёт — переживём.
• Иногда в utm кладут больше, чем кампанию: номер подписчика, город, сегмент. Тогда ссылка из письма уже почти персональная.

Метки кликов: fbclid, gclid, yclid, ysclid

Эти длинные числа ставят не сайты, а рекламные системы и поисковики:

• gclid — Google Ads, yclid — Яндекс Директ, fbclid — Facebook и Instagram, msclkid — реклама Microsoft.
• ysclid — Яндекс добавляет к переходам из поиска.

Каждое такое число — уникальный номер одного конкретного клика. Для рекламной системы это ниточка: «вот этот человек видел это объявление, нажал и через час купил сапоги». Так считают, окупается ли реклама, и так же строят представление о тебе как о покупателе.

Ссылку с такой меткой, пересланную кому-то, система может посчитать переходом того же человека — или связать тебя с тем, кому ты её отправил.

«Кто поделился»: si, igshid и компания

Самые неприятные метки — те, что появляются, когда ты нажимаешь «Поделиться»:

• YouTube добавляет ?si=…, Spotify — тоже si,
• Instagram — igshid или igsh,
• TikTok — целый набор: _r, _t, sender_device,
• X (Twitter) — s и t.

Эти метки говорят платформе, кто поделился ссылкой. Когда друг откроет видео, платформа узнает, что вы как-то связаны — даже если вы не друзья в самой соцсети. Отправил ссылку в рабочий чат — и сервис получил кусочек карты твоих знакомств.

ИнКа: Время в видео — t=42 у YouTube — это полезный параметр, его не трогай. А вот si — это уже не «откуда смотреть», а «кто тебе прислал».

Переходники

Нажимаешь ссылку в поиске Google или во ВКонтакте — и часто попадаешь не сразу на сайт, а на промежуточный адрес:

• https://www.google.com/url?q=https://example.ru/…
• https://vk.com/away.php?to=https%3A%2F%2Fexample.ru…
• https://l.facebook.com/l.php?u=…

Переходник мгновенно перебрасывает дальше, но успевает записать: этот человек нажал эту ссылку в это время. Иногда у переходников есть и полезная работа — предупредить об опасном сайте. Но если копируешь такую ссылку, чтобы отправить кому-то, настоящий адрес лежит прямо внутри, в параметре q, to или u.

Короткие ссылки

bit.ly/3xYz, clck.ru/Abc, vk.cc/cDe — удобно, коротко и ничего не понятно. С ними две проблемы:

• Сервис сокращения видит каждый переход. Сколько раз, когда, откуда — это его бизнес.
• Не видно, куда ведёт. Именно поэтому короткие ссылки любят мошенники: bit.ly/sberbank-bonus может вести куда угодно, и это не Сбербанк.

Узнать, куда ведёт короткая ссылка, можно только спросив у самого сервиса — то есть открыв её. Если сомневаешься — открой в режиме инкогнито или на компьютере, где не вошёл никуда, и посмотри на адрес, куда тебя перебросило, прежде чем что-то вводить.

Что с этим делать

Чистить перед тем, как отправить. Самое полезное — не про тебя, а про тех, кому ты пересылаешь. Удали всё после ?, если там только utm, si, fbclid и подобное, и проверь, что страница открывается.

Руками это неудобно, особенно если ссылок несколько или они в тексте. Для этого у нас есть маленькая чистилка ссылок: вставляешь ссылку или целый текст — она убирает метки, разворачивает переходники и объясняет, что было в каждом хвосте. Работает прямо в браузере и ничего никуда не отправляет.

Браузер тоже умеет помогать. В Firefox в меню ссылки есть «Копировать ссылку без отслеживания сайтом», а в строгом режиме защиты он сам убирает известные метки. Brave вычищает их по умолчанию. Safari в приватном режиме убирает часть меток слежения. Это не всё, но заметная часть.

Не трогай нужное. id, page, q, size, color, t у YouTube — это то, что делает страницу той самой страницей. Если после чистки открылось не то — значит, отрезали лишнее, верни.

Партнёрские ссылки — отдельный случай. Если блогер даёт ссылку с ref=… или партнёрской меткой, он получает процент с покупки. Хочешь его поддержать — оставь.

Чего чистка ссылок не решает

Честно: метки — это самый заметный, но не самый главный способ за тобой следить.

• Cookies и вход в аккаунт. Если ты вошёл в Google или ВКонтакте, они узнают тебя и без всяких меток.
• Отпечаток браузера. Сочетание экрана, шрифтов, настроек и версии браузера почти уникально, и сайты умеют узнавать по нему.
• IP-адрес. Грубо, но показывает город и провайдера.
• Сам сайт видит, что ты делаешь на нём. Чистая ссылка не мешает магазину знать, какие сапоги ты смотрел.

Чистка ссылок — это гигиена, как мыть руки: не спасает от всего, но делать стоит, особенно когда передаёшь что-то другим.

Как по адресу узнать подделку

И раз уж научились читать ссылки — самое полезное умение: смотреть на домен. Всё решает часть между https:// и первым /, и читать её нужно справа налево.

• sberbank.ru.bonus-online.xyz — это сайт bonus-online.xyz. Всё, что левее, — просто поддомены, которые владелец мог назвать как угодно.
• gosuslugi.ru-login.com — это ru-login.com, а не Госуслуги.
• vk.com.away-link.ru — это away-link.ru.
• rnail.ru вместо mail.ru — «rn» очень похоже на «m». 0zon.ru, wiIdberries.ru с заглавной «I» вместо «l» — старые, но работающие приёмы.
• xn--80ak6aa92e.com — так в адресной строке выглядит домен из букв другого алфавита, похожих на латиницу. Настоящие сайты банков так не выглядят.

Разложить адрес по полочкам без перехода — в утилите «Это чей домен?»: региструемый домен справа налево, поддоменные маски и похожие на известные сервисы написания.

Правило, которое спасает чаще всего: в ссылки из писем и сообщений не вводи пароли и коды. Хочешь проверить что-то в банке или на Госуслугах — открой сайт или приложение сам, из закладки.

ИнКа: Мошенникам не нужно взламывать банк. Им нужно, чтобы ты сам ввёл пароль на странице, которая похожа на банк. Поэтому адрес — первое, что стоит прочитать, а не последнее.

Шпаргалка

Итог

Ссылка — это не просто адрес, а маленькая анкета: откуда ты, по какой кнопке и от кого. Отрезать хвост перед отправкой — дело пары секунд, а людям, которым ты пересылаешь, это экономит кусочек приватности. Главное же умение — читать домен справа налево. Оно не про статистику магазинов, а про то, чтобы пароль от банка оказался в банке.