Analisi degli URL: di quali parti è fatto un indirizzo web

Un link ricevuto via PEC o allegato a una fattura elettronica sembra un URL come tanti altri, ma spesso nasconde parametri di tracciamento o token di accesso nel percorso stesso — scomporlo prima di cliccare è un'abitudine utile, non solo un esercizio tecnico.

Le parti principali di un URL

• Schema — https://, definisce come connettersi alla risorsa.
• Host — esempio.it, il nome di dominio del server.
• Porta — opzionale, di default 443 per HTTPS.
• Percorso — /fatture/città-2024, può contenere accenti italiani.
• Query string — dopo ?, spesso con parametri utm_source o token temporanei.
• Frammento — dopo #, gestito esclusivamente dal browser.

Perché "città" diventa una sequenza di simboli percentuale

Le vocali accentate italiane (à, è, ì, ò, ù) non fanno parte del set di caratteri sicuro per un URL: ciascuna viene prima codificata in più byte UTF-8, poi ogni byte diventa una sequenza come %C3%A0. Un percorso come /città può quindi apparire come /citt%C3%A0 nei log del server — un dettaglio che confonde chi sta analizzando un link copiato a mano da un'email.

Token e parametri nascosti nei link di fatturazione

Molti link ricevuti da portali di fatturazione elettronica o PEC includono un token di accesso temporaneo direttamente nella query string, non solo un identificativo del documento. Scomporre l'URL prima di aprirlo permette di distinguere il vero dominio del mittente da un eventuale dominio sospetto che imita un ente noto, e di capire quali dati (numero fattura, token, data) vengono effettivamente trasmessi con il link.

A cosa serve

• Scomporre un URL complesso nei suoi componenti per debug o logging.
• Capire perché un accento nel percorso rompe un link copiato a mano.
• Costruire un URL corretto in modo programmatico evitando errori di codifica.

Il trucco di phishing con userinfo

Un URL come https://accounts.google.com@evil.com/ sembra portare a accounts.google.com, ma in realtà il browser aprirà evil.com — la parte prima del simbolo @ è solo un nome utente (userinfo), non l'host. Per questo i browser moderni cercano di evidenziare visivamente l'host reale, e alcuni servizi di accorciamento link vietano del tutto lo userinfo negli URL.