bit.lyやtinyurlなどの短縮URLを貼り付けるだけで、フィッシングによく使われる危険な特徴を自動チェック。 実際の遷移先確認（ベストエフォート）や、外部の専門チェックサービスへのリンクも用意しています。
確認したいURLを入力
短縮URLはなぜ危険？クリック前に構造をチェックする重要性
短縮URLは本来の宛先アドレスを隠す性質を持つため、フィッシング詐欺やマルウェア配布の入口として悪用されることがあります。SNSやメール、SMSで送られてきた短縮URLをそのままクリックしてしまうと、意図しない不正サイトに誘導されるリスクがあります。
本ツールは、URLをクリックする前にIPアドレス直書き・認証情報の埋め込み・punycode（見た目を偽装できる国際化ドメイン）・多段リダイレクトの疑いなど、フィッシングで頻出する構造的な特徴を機械的にチェックできるツールです。
あわせて、「実際の遷移先を確認する」ベストエフォート機能も備えています。ただし、Webブラウザの仕組み上（CORSというセキュリティ機構）、多くの短縮URLサービスでは最終的な遷移先を確実には取得できません。取得できない場合はその旨を正直に表示し、必要に応じて外部の専門チェックサービスへの導線も用意しています。
こんなシーンで便利です
SNSやメール、SMSで届いた見覚えのないリンクを開く前に
「当選しました」「荷物の再配達」などの文面と共に送られてきた短縮URLについて、開く前に構造上の危険な兆候がないかを確認できます。
自分がリンクを共有する前の最終確認に
自分で短縮したURLや、他人から受け取って転送しようとしているURLについて、意図しない不正なリダイレクトが仕込まれていないかを事前にチェックできます。
セキュリティ教育・研修の教材として
フィッシングURLに見られる典型的な特徴（IPアドレス直書き、punycode、認証情報の埋め込みなど）を実際のチェック結果として可視化し、社内研修や学習教材に活用できます。
URLの構造から不審なリダイレクトチェーンを見抜きたい時に
URLのパラメータの中に別のURLがそのまま埋め込まれているような、多段リダイレクトを疑わせる構造を検出し、さらに慎重な確認を促します。
使い方は簡単 3ステップ
- 確認したい短縮URL（またはリンク全般）を入力欄に貼り付けます。
- URLの構造が自動的に解析され、リスクスコアと危険な兆候の内訳が表示されます。
- 必要に応じて「実際の遷移先を確認」を試すか、外部の専門チェックサービスを開いてさらに詳しく確認します。
※構造チェックはブラウザ内だけで完結し、外部への通信は発生しません。
ご利用時の注意点
- 本ツールの危険性チェックは、URLの「構造」のみを機械的に解析するものであり、実際の宛先サイトの内容やマルウェアの有無までは判定できません。
- 「実際の遷移先を確認」機能は、CORSというブラウザのセキュリティ機構により、多くのサービスで取得に失敗します。これはツールの不具合ではなく、Web標準の仕様によるものです。
- 警告・注意と表示された場合でも、必ずしも危険なURLであると断定するものではありません。最終判断は送信元の信頼性なども踏まえてご自身で行ってください。
- 完全無料：構造チェックの処理そのものは、通信が発生しないブラウザ完結型を採用しています。
短縮URLの危険な兆候チェック項目一覧
本ツールが自動でチェックしている主な項目と、それぞれが意味するリスクの一例です。
| チェック項目 | 検出される特徴 | 考えられるリスク |
|---|---|---|
| IPアドレス直書き | ドメイン名の代わりにIPアドレスが使われている | ドメイン取得を省略した簡易的なフィッシングサイトの可能性 |
| 認証情報の埋め込み | URL内にユーザー名・パスワード形式の文字列がある | 正規URLに見せかけて別サイトへ誘導する手口の可能性 |
| punycode（国際化ドメイン） | ドメインが「xn--」で始まっている | 見た目がそっくりな偽ドメイン（ホモグラフ攻撃）の可能性 |
| URLの中に別URL | パラメータの値として別のURLが埋め込まれている | 多段リダイレクトで最終宛先を隠している可能性 |
| 異常に多いサブドメイン | ドット区切りの階層が不自然に多い | 正規ドメインらしく見せかける手口の可能性 |
※いずれの項目も、該当したからといって直ちに危険と断定できるものではありません。あくまで注意喚起のための参考情報としてご活用ください。
短縮URLの仕組みと、安全に付き合うための考え方
短縮URLがなぜ悪用されやすいのか、その仕組みと実務的な対策を解説します。
結論：短縮URLは「宛先を隠せる」性質が悪用の温床になる
短縮URLは本来、長いURLを共有しやすくするための便利な仕組みですが、クリックするまで本当の宛先がわからないという性質を逆手に取られ、フィッシングサイトやマルウェア配布サイトへの誘導によく使われます。
本ツールのような構造チェックで事前に危険な兆候を洗い出すことは、こうしたリスクを減らす有効な手段のひとつです。
CORSとは：ブラウザが持つ「勝手に他サイトの情報を読ませない」仕組み
CORS（Cross-Origin Resource Sharing）は、あるWebページのJavaScriptが、別ドメインのサーバーから返ってきたデータを自由に読み取れないようにする、ブラウザに組み込まれたセキュリティの仕組みです。
短縮URLサービスの多くは、この仕組み上、外部サイトのJavaScriptから最終的な遷移先URLを直接読み取れるようには設計されていません。これは、悪意あるサイトが他サービスの情報を盗み見ることを防ぐための、Web全体にとって重要な保護機能です。
punycode（国際化ドメイン）を悪用したホモグラフ攻撃とは
punycodeは、日本語やキリル文字などをドメイン名として使えるようにする技術ですが、アルファベットの「a」に見えるキリル文字の「а」のように、見た目がそっくりな別の文字を使って正規サイトになりすます「ホモグラフ攻撃」に悪用されることがあります。
ブラウザのアドレスバーでは通常、こうしたドメインは「xn--」から始まる特殊な表記に変換されて表示されるため、この接頭辞が見えた場合は特に注意が必要です。
多段リダイレクト（URLの中に別のURLが埋め込まれる手口）とは
一見正規のドメインに見えるURLでも、そのクエリパラメータの中に「redirect=」「url=」といったキーで別のURLがそのまま埋め込まれている場合、実際にはそこからさらに別サイトへ転送される多段リダイレクトの構造になっていることがあります。
正規のログイン連携などでも使われる仕組みですが、フィッシングでは正規ドメインの信頼性を利用して不正サイトへ転送する目的で悪用されることがあるため、埋め込まれたURL自体の宛先も確認することが重要です。
よくある失敗と対策
送信元の見た目だけで信用し、リンクの構造を確認せずクリックしてしまう
「知人からのメッセージだから」「公式アカウントらしき名前だから」といった見た目の情報だけで安心し、実際のURLの構造を確認せずにクリックしてしまう失敗です。
💡 対策・解決策を見る▼
「実際の遷移先を確認」機能が使えないことを、ツールの不具合だと誤解してしまう
CORSの制限により遷移先を取得できないサービスに対して「取得できませんでした」と表示されるのを、ツールが壊れていると勘違いしてしまうケースです。
💡 対策・解決策を見る▼
危険性チェックで「注意」と出ただけで、必要以上に不安になってしまう
IPアドレス直書きやサブドメインの多さなど、正規のサービスでも該当しうる項目に「注意」と表示されただけで、過度に危険視してしまうケースです。
💡 対策・解決策を見る▼
URLの構造だけを確認して安全と判断し、実際のサイト内容を確認せず個人情報を入力してしまう
構造チェックで大きな問題が見つからなかったことをもって「安全なサイト」と思い込み、遷移先で求められるままIDやパスワード、クレジットカード情報を入力してしまう失敗です。
💡 対策・解決策を見る▼
よくある質問（FAQ）
Q.短縮URLの最終的な遷移先を100%確実に表示できますか
A. いいえ、確実に表示できるわけではありません。本ツールはブラウザ上だけで完結する静的サイトのため、多くの短縮URLサービスに対しては、ブラウザのセキュリティ機能（CORS）により最終的な遷移先のURLを取得できません。本ツールでは「取得できる場合は表示し、できない場合はその旨を明示する」ベストエフォート方式を採用しています。確実に確認したい場合は、ツール内で案内している外部の専門チェックサービスの利用も検討してください。
Q.なぜブラウザだけでは短縮URLの遷移先を確認できないのですか
A. Webブラウザには「CORS（Cross-Origin Resource Sharing）」という、あるサイトのJavaScriptが別ドメインの情報を無制限に読み取れないようにするセキュリティ機構が組み込まれています。短縮URLサービスの多くは、この仕組み上、ブラウザから直接fetchした際に最終的な遷移先URLを読み取れるようには設定されていません。これは本ツールの制限ではなく、Web標準のセキュリティ設計によるものです。
Q.本ツールの「危険性チェック」は具体的に何を見ていますか
A. URLの中身そのものを解析し、IPアドレスが直接書かれていないか、ユーザー名・パスワードのような認証情報が埋め込まれていないか、punycode（見た目を偽装できる国際化ドメイン）が使われていないか、URLの中に別のURLがパラメータとして埋め込まれていないか（多段リダイレクトの疑い）、サブドメインの数が不自然に多くないか、といった、フィッシングや不正リダイレクトでよく使われる構造的な特徴を機械的にチェックしています。実際の宛先サイトの内容や評判までは判定していません。
Q.危険性チェックで「警告」や「注意」と表示されたら、そのリンクは開いてはいけませんか
A. 本ツールの判定は「構造上、注意が必要な特徴があるかどうか」を機械的に洗い出しているだけであり、必ずしも危険なリンクであると断定するものではありません。正規のサービスでも該当する特徴を持つURLは存在します。警告が表示された場合は、リンク先を安易に開かず、送信元の信頼性を確認したり、外部の専門的な検査サービスで詳しく調べたりすることをおすすめします。
Q.「実際の遷移先を確認」を試すと、入力したURLは外部に送信されますか
A. 本ツールの「実際の遷移先を確認」機能を使うと、ブラウザから直接、入力したURL先へのアクセスが試みられます（本ツールが運営するサーバーを経由することはありません）。一方、形式・構造の危険性チェックは、外部への通信を一切行わずブラウザ内だけで完結します。外部サービスへのリンクを開く場合は、そのサービス側にURLが送信される点にご注意ください。
Q.既知の短縮URLサービスかどうかはどうやって判定していますか
A. bit.ly、tinyurl.com、t.co、is.gd、ow.lyなど、広く利用されている主要な短縮URLサービスのドメインをあらかじめ一覧として保持しており、入力されたURLのホスト名と照合して判定しています。リストにないドメインでも、短縮URLに特徴的なURL構造（極端に短いパスなど）があれば参考情報として表示します。
Q.入力したURLはツールの提供元に保存されますか
A. いいえ、保存されません。危険性チェックの処理はすべてブラウザ内で完結し、外部サーバーへの送信は行われません。「実際の遷移先を確認」機能や外部チェックサービスへのリンクを利用した場合のみ、ブラウザから直接その宛先へ通信が発生します。
あなたの声で、
このツールをより鋭く。
「こんな機能が欲しい」「ここを直してほしい」といったご意見や、新しいツールのリクエストを募集しています。エンジニアが直接目を通し、開発の参考にさせていただきます。