Decodificador de Safe Links online
Cole um link reescrito pelo Outlook (safelinks.protection.outlook.com), pela Proofpoint (urldefense) ou por outro filtro de e-mail e veja o endereço para onde ele realmente aponta. A URL aparece como texto, com o domínio em destaque — a ferramenta nunca abre o link nem consulta o destino. Pode colar um e-mail inteiro: todos os links são extraídos.
Cole o link: a URL original aparece como texto. Nenhum link é aberto e nada é enviado — a análise é feita no seu navegador.
Decodificar não torna o link seguro. Um e-mail de remetente desconhecido pode ser phishing mesmo com a URL original à mostra: confira o domínio em destaque antes de abrir e, na dúvida, não abra.
O que são Safe Links
Safe Links é um recurso do Microsoft Defender para Office 365. Quando um e-mail chega a uma caixa protegida, os links da mensagem são trocados por um endereço da Microsoft. Ao clicar, você passa primeiro por esse servidor, que confere o destino naquele momento e bloqueia a página se ela estiver marcada como maliciosa. A checagem na hora do clique existe porque golpistas costumam enviar o e-mail com um link limpo e só depois colocar o conteúdo falso no ar.
Um link reescrito tem esta cara:
https://nam02.safelinks.protection.outlook.com/?url=https%3A%2F%2Fwww.exemplo.com.br%2Frelatorio%3Fid%3D42&data=05%7C01%7C…&sdata=…&reserved=0nam02,eur03,apc01… indicam a região do servidor.url=traz o endereço original com codificação de URL:%3Aé:,%2Fé/,%3Fé?.data=esdata=carregam dados de controle e a assinatura do link. Odatacostuma incluir o e-mail do destinatário — mais um motivo para não repassar o link reescrito em chats e chamados.
É por isso que os links ficam enormes: além do endereço original (que cresce ao ser codificado), o link leva esses parâmetros extras. Decodificar é ler o parâmetro url e desfazer a codificação.
Formatos reconhecidos
| Serviço | Como identificar | Onde está a URL original |
|---|---|---|
| Microsoft Defender Safe Links | *.safelinks.protection.outlook.com | parâmetro url |
| Proofpoint URL Defense v1 | urldefense.proofpoint.com/v1/url | parâmetro u |
| Proofpoint URL Defense v2 | urldefense.proofpoint.com/v2/url | parâmetro u, com - no lugar de % e _ no lugar de / |
| Proofpoint URL Defense v3 | urldefense.com/v3/__…__;…!!…$ | entre os __, com caracteres especiais guardados em Base64 |
| Barracuda Link Protection | linkprotect.cudasvc.com/url | parâmetro a |
google.com/url | parâmetro q ou url | |
| Facebook e Instagram | l.facebook.com/l.php, l.instagram.com | parâmetro u |
Links com camadas — um Safe Link envolvendo um link da Proofpoint, por exemplo — são abertos até chegar ao endereço final, e a ferramenta mostra por quais serviços passou.
Proofpoint v2 e v3
Na versão 2, o endereço vai no parâmetro u com duas trocas: - representa % e _ representa /. Assim, http-3A__www.example.org_url vira http%3A//www.example.org/url, isto é, http://www.example.org/url.
Na versão 3, o endereço fica entre dois pares de sublinhados. Caracteres que poderiam atrapalhar são retirados e substituídos por * (um caractere) ou ** seguido de uma letra (uma sequência: A vale 2, B vale 3 e assim por diante); os caracteres retirados ficam, em ordem, num trecho em Base64 logo depois de __;. No exemplo abaixo, Kw é o Base64 de +:
https://urldefense.com/v3/__https://google.com:443/search?q=a*test&gs=ps__;Kw!-612…$
→ https://google.com:443/search?q=a+test&gs=psA implementação foi escrita com base no decodificador em Python que a própria Proofpoint publica. Em links v3 fora do comum, confira o resultado antes de confiar nele.
Redirecionamentos genéricos
Se o link não é de nenhum serviço da tabela, mas tem um parâmetro como url=, u=, q= ou redirect= com um endereço http dentro, o resultado aparece marcado como tentativa. Muitos rastreadores de newsletter funcionam assim, porém nada garante que o servidor use aquele parâmetro como destino.
Como usar
- No Outlook, clique com o botão direito no link e escolha Copiar link (não clique nele).
- Cole aqui. Também vale colar o corpo inteiro do e-mail.
- Leia o domínio em destaque: é ele que diz para qual site o link leva.
- Copie a URL limpa se precisar registrá-la num chamado ou enviá-la ao time de segurança.
Decodificar não é verificar
Esta ferramenta mostra o destino; ela não diz se o destino é confiável. Alguns sinais são apontados automaticamente:
- Trecho antes de
@: emhttps://[email protected]/, o site real ésite-estranho.xyz. - Endereço IP no lugar do domínio.
- Domínio com caracteres especiais (forma
xn--), usado para imitar marcas com letras parecidas. - Esquemas diferentes de http/https.
Fora isso, vale o básico: leia o domínio da direita para a esquerda (login.banco.com.br.exemplo.net pertence a exemplo.net), desconfie de urgência e, se o e-mail diz ser do seu banco ou de um serviço que você usa, entre pelo endereço que você já conhece em vez de usar o link. Para examinar as partes de uma URL, use o analisador de URL.
Lembre também que, ao abrir a URL original, você pula a verificação que o Safe Links faria no clique. Em e-mail corporativo, na dúvida, encaminhe a mensagem ao suporte.
Limitações
- Encurtadores (
bit.ly,t.coe semelhantes) guardam o destino no servidor deles; não há o que decodificar no texto do link. - Formatos que cifram o destino, como os links de rastreamento de várias plataformas de e-mail marketing, não podem ser abertos offline.
- Um link cortado pelo cliente de e-mail (quebra de linha no meio) pode sair incompleto; a ferramenta avisa quando percebe isso no formato v3 da Proofpoint.
- O limite é de 200 links por vez.
Perguntas frequentes
Como ver o link original de um e-mail do Outlook?
Copie o link sem clicar e cole no campo acima. A URL original é o conteúdo do parâmetro url, já decodificado.
Dá para desativar o Safe Links?
Só o administrador do Microsoft 365 da organização altera a política. Em contas corporativas o recurso é uma camada de proteção, e o caminho certo é pedir uma exceção ao TI quando um link legítimo for bloqueado.
O link decodificado é seguro para abrir?
Não necessariamente. A decodificação só revela o endereço. Avalie o domínio e o remetente antes de qualquer clique.
Por que o link do meu e-mail ficou tão comprido?
Porque o endereço original foi codificado e embrulhado em outro endereço, com parâmetros de controle e assinatura. O texto visível da mensagem normalmente continua o mesmo; o que muda é o endereço por trás dele.
Vocês guardam os links que eu colo?
Não. A análise roda no seu navegador, sem envio para servidor, e nenhuma requisição é feita ao endereço decodificado.