Baner zgody na pliki cookie zgodny z RODO często dopisuje własne parametry do adresu URL, zanim strona w ogóle się załaduje — rozłożenie linku na części pozwala sprawdzić dokładnie, jaka zgoda została faktycznie przekazana.
Główne części URL
- Schemat —
https://, określa sposób połączenia z zasobem. - Host —
przyklad.pl, nazwa domeny serwera. - Port — opcjonalny, domyślnie 443 dla HTTPS.
- Ścieżka —
/artykuły/sieć, może zawierać polskie znaki diakrytyczne. - Query string — po
?, często z parametramiutm_sourcelub zgodą na cookies. - Fragment — po
#, przetwarzany wyłącznie przez przeglądarkę.
Dlaczego "ą" i "ł" zamieniają ścieżkę w ciąg znaków procentowych
Polskie znaki diakrytyczne (ą, ę, ł, ż, ć, ś, ń, ó) nie należą do bezpiecznego zestawu znaków URL — każdy z nich jest najpierw kodowany na kilka bajtów UTF-8, a potem każdy bajt zamieniany na sekwencję w rodzaju %C4%85. Krótkie polskie słowo w ścieżce potrafi po zakodowaniu zająć kilkukrotnie więcej znaków, przez co link wklejony ręcznie do wiadomości wygląda na dłuższy i mniej czytelny, niż jest w rzeczywistości.
Parametry zgody RODO ukryte w query string
Po wdrożeniu RODO wiele polskich stron dokleja do linków marketingowych dodatkowy parametr ze statusem zgody obok standardowych utm_, generowany przez sam baner cookies. Rozłożenie takiego URL pozwala jasno odróżnić, co pochodzi z oryginalnej kampanii, a co strona dodała już po kliknięciu — przydatne przy sprawdzaniu, czy link przypadkiem nie ujawnia danych osobowych w ścieżce lub zapytaniu.
Do czego to się przydaje
- Sprawdzenie, który parametr kampanii (
utm_source,utm_campaign) rzeczywiście dotarł z kliknięcia. - Zrozumienie, dlaczego polski znak w ścieżce psuje ręcznie skopiowany link.
- Zbudowanie poprawnego URL programistycznie bez błędów kodowania.
Sztuczka phishingowa z userinfo
URL taki jak https://accounts.google.com@evil.com/ wygląda, jakby prowadził do accounts.google.com, ale w rzeczywistości przeglądarka otworzy evil.com — część przed symbolem @ to tylko nazwa użytkownika (userinfo), a nie host. Dlatego nowoczesne przeglądarki starają się wizualnie wyróżniać prawdziwy host, a niektóre serwisy do skracania linków wprost zabraniają userinfo w adresach URL.