Come capire se un link è sicuro prima di aprirlo

La maggior parte dei link pericolosi arriva dentro un messaggio costruito per sembrare una banca, un negozio o un ufficio pubblico. Quello schema per intero è in che cos’è il phishing. Qui parliamo solo del link: come si legge un indirizzo, quali trucchi nascondono dove porta e che cosa può dirti, o non dirti, un servizio che controlla i link.

Le parti di un indirizzo web

Prima di aprire un link, trova la parte che comincia dopo https:// e finisce alla prima barra. È lì che sta il dominio. Tutto quello che viene dopo la barra può puntare a una pagina interna del sito, ma non cambia chi controlla l’indirizzo.

In area.esempio.it/accesso il dominio è esempio.it. In esempio.it.altro-sito.example l’indirizzo appartiene ad altro-sito.example. Una parola conosciuta messa davanti tira l’occhio via dalla parte che decide davvero dove atterri.

Un negozio che vende in Italia di solito usa un indirizzo che finisce in “.it”, “.com” o “.eu”, e molti enti pubblici italiani usano indirizzi che finiscono in “.gov.it”. Nessuna di queste terminazioni è un bollino di qualità, perché chiunque può registrare un dominio comune: servono a capire se l’indirizzo che hai davanti assomiglia a quello che ti aspetteresti, non a promuoverlo.

Trova il dominio vero

Leggilo piano e cerca lettere scambiate, parole in più, trattini inattesi e una terminazione diversa. Un indirizzo quasi uguale all’originale può portare a una pagina costruita per copiare l’aspetto di un servizio che usi già.

La Polizia Postale, nei consigli contro il phishing, dice due cose che valgono esattamente qui: controlla, mentre navighi, che l’indirizzo sia quello del sito che vuoi visitare, e se credi che il messaggio sia autentico diffida comunque del link che contiene e collegati digitando nel browser l’indirizzo che già conosci.

Il messaggio, dal canto suo, racconta sempre una storia ordinaria: un pacco fermo, un account bloccato, un pagamento non andato a buon fine. La storia esiste per portarti al link. Se non conosci già l’indirizzo ufficiale, cercalo per conto tuo invece di usare il messaggio come riferimento.

I trucchi che nascondono dove porta un link

Alcuni indirizzi sono montati apposta per chi legge di fretta. Gli esempi qui sotto usano la terminazione “.example”, che è riservata agli esempi e non ha nessun sito vero dietro.

• La chiocciola in mezzo all’indirizzo. In https://[email protected]/tv, tutto quello che sta prima della chiocciola viene trattato come un nome utente e ignorato quando la pagina si apre. Il browser va su offerte-lampo.example. Il trucco è vecchio e continua a funzionare perché il browser non sta sbagliando: l’indirizzo è scritto davvero così, e il nome conosciuto davanti alla chiocciola sta lì solo per essere letto da una persona.
• Lettere identiche prese da un altro alfabeto. La “а” cirillica è disegnata come la “a” che stai leggendo adesso, ma per un computer è una lettera diversa, quindi l’indirizzo è un altro indirizzo. Per rendere la cosa più difficile, Chrome mostra l’indirizzo in una forma strana che comincia con xn-- quando trova un mescolamento sospetto di alfabeti: la documentazione di Chromium spiega che alfabeti latino, cirillico e greco non possono essere mescolati fra loro, e che quando le lettere sono confondibili con quelle di un altro alfabeto il nome viene mostrato in quella forma. Un indirizzo che compare così nella barra merita una seconda occhiata.
• Il marchio usato come sottodominio. In banca.example.assistenza-clienti.example il nome conosciuto sta davanti, ma il proprietario dell’indirizzo è assistenza-clienti.example.

Vedere la destinazione prima di aprire

Su un computer, appoggia il puntatore sul link senza cliccare e leggi l’indirizzo che compare in basso nello schermo. È lo stesso controllo che suggerisce la Polizia Postale, e anche l’aiuto di Gmail lo consiglia: se l’indirizzo non corrisponde a quello che il link dichiara di essere, può portare a un sito falso.

Sul telefono, tieni il dito premuto sul link, senza lasciare, finché non compare l’indirizzo completo o un menu che lo mostra. Su alcuni telefoni lo stesso gesto apre anche un’anteprima della pagina. Se succede, non toccare niente dentro l’anteprima, e se hai paura di aprirla per sbaglio, lascia stare il link e cerca tu il servizio.

Un link che arriva per SMS o in chat

Dentro un’app di messaggistica, un link di solito arriva con un’anteprima: un’immagine e un titolo. Quell’anteprima la costruisce la pagina stessa, e chi costruisce un sito falso sceglie il titolo e l’immagine che compaiono lì. Non dice niente su chi possiede l’indirizzo.

Un link mandato da una persona che conosci merita la stessa lettura, perché il suo account può essere stato preso, oppure la persona può aver inoltrato il messaggio senza controllarlo. Se la richiesta riguarda soldi o dati personali, chiamala al numero che avevi già. In un SMS anche il nome del mittente si può imitare, ed è quello che racconta che cos’è lo smishing.

Link accorciati e codici QR

Un servizio di accorciamento sostituisce un indirizzo lungo con uno corto, del tipo corto-esempio.example/x7K2, e nasconde la destinazione finché il link non si apre. Anche le aziende vere usano gli accorciatori, quindi un link corto non è una prova di niente, ma ti impedisce di leggere il dominio.

Un codice QR funziona allo stesso modo: è solo un indirizzo scritto in una forma che la fotocamera sa leggere. Se il codice compare su un bollettino, su un manifesto o dentro un messaggio che non aspettavi, non usare la fotocamera per scoprire se è autentico. Cerca l’informazione dentro l’app o sul sito che già conosci, e se si tratta di un pagamento, confronta l’importo e il beneficiario con quello che risulta nel tuo account.

Cosa non dimostra il lucchetto

Un indirizzo https vuol dire che la connessione tra il tuo browser e quel sito è cifrata, quindi i dati viaggiano protetti. È importante, ma anche un sito falso può avere l’https. Non dice niente su chi possiede la pagina, se l’offerta è vera o se un pagamento arriverebbe alla persona giusta.

Il lucchetto, tra l’altro, potresti non vederlo più. La pagina di aiuto di Chrome su come capire se la connessione di un sito è sicura oggi non parla di un lucchetto: descrive icone diverse accanto all’indirizzo, dice quando la connessione è protetta e quando il browser considera il sito pericoloso, e ti consiglia comunque di controllare il nome del sito nella barra degli indirizzi. Il motivo del cambio è che in tanti leggevano il lucchetto come il segno di un sito di cui fidarsi, mentre quasi tutte le pagine false lo mostravano allo stesso modo.

Nemmeno l’aspetto risolve. Copiare colori, foto e testi di una pagina è facile. Un sito curato può appartenere a chiunque, mentre una pagina onesta può essere spoglia.

I servizi che controllano i link, e dove si fermano

Alcuni siti confrontano un indirizzo con elenchi di indirizzi pericolosi già conosciuti. Copi il link, senza aprirlo, e lo incolli nel servizio.

Lo stato del sito di Navigazione sicura mostra se un indirizzo è segnalato come pericoloso. VirusTotal spiega di analizzare quello che riceve con più di settanta motori antivirus e servizi di blocco di indirizzi, e dice apertamente che i risultati di base sono condivisi con i partner che esaminano il contenuto e con la sua comunità, e che il contenuto inviato può essere messo a disposizione dei clienti a pagamento.

Da qui due cautele. La prima: nessun avviso non vuol dire approvato. Vuol dire solo che quell’indirizzo non è ancora arrivato sulle liste, e un sito falso creato ieri può risultare pulito. La seconda: non incollare un link che porta dentro informazioni tue, come il tuo nome, un numero di pratica, un codice o un indirizzo per reimpostare la password, perché può finire sotto gli occhi di altre persone.

Quando è meglio non aprirlo

Nessuno è obbligato a testare ogni link che riceve. Se il messaggio parla di una banca, di una consegna, di un acquisto, di un rimborso o di un account bloccato, apri tu il servizio invece di analizzare il link. Cerca il problema dentro il tuo account e guarda il nome di chi riceverebbe un eventuale pagamento.

Se il link porta a un negozio o a un modulo di iscrizione, vale la pena capire chi c’è dietro prima di pagare: la verifica della partita IVA e la ricerca nel Registro delle Imprese sono i due controlli più rapidi, e il percorso completo è in come riconoscere un sito falso.

Se l’hai già aperto

Se hai solo caricato la pagina e non hai scritto niente, chiudila, senza scaricare file e senza accettare richieste di permesso. Se hai inserito una password, cambiala dall’indirizzo ufficiale, e se usavi la stessa altrove, cambiala anche lì. Se hai scaricato un file o hai permesso un’installazione, smetti di fare operazioni con i soldi da quel dispositivo finché non hai un aiuto tecnico affidabile.

Se dei soldi si sono già mossi, chiama subito la banca o l’emittente della carta e di’ che il pagamento è una frode, perché quello che si può fare dipende molto dalla velocità con cui lo segnali. Un addebito su carta si può contestare, e se l’operazione non l’hai autorizzata tu la Banca d’Italia spiega che va disconosciuta il prima possibile, comunque entro tredici mesi dall’addebito. Un bonifico o un bonifico istantaneo partiti da te sono molto più difficili da riportare indietro: la banca può provare a chiedere il rientro delle somme alla banca di chi le ha ricevute, ma il risultato dipende dal fatto che i soldi siano ancora lì.

Poi segnala il fatto alla Polizia Postale dal modulo Segnala online, e se hai perso dei soldi presenta la denuncia per reati telematici, che si fa con SPID o carta d’identità elettronica e va formalizzata entro 48 ore in un ufficio di Polizia. Se qualcuno ti minaccia o sei in pericolo in quel momento, chiama il 112.

Le fonti che abbiamo consultato

Gli strumenti e i comportamenti del browser descritti qui sono stati verificati il 22 settembre 2026 su queste pagine:

• Polizia Postale: consigli contro il phishing
• Polizia Postale: Segnala online e denuncia per reati telematici
• Google: stato del sito di Navigazione sicura
• VirusTotal: come funziona il servizio
• Aiuto di Chrome: capire se la connessione di un sito è sicura
• Chromium: come Chrome mostra gli indirizzi con lettere di altri alfabeti
• Aiuto di Gmail: evitare e segnalare le email di phishing
• Banca d’Italia: operazioni di pagamento non autorizzate

Tutti gli indirizzi degli esempi sono inventati e finiscono in “.example”, una terminazione riservata agli esempi. Questo articolo non riporta nessuna statistica.

Questo articolo non è una consulenza legale.

Domande frequenti sui link sicuri