Pourquoi je me méfie des raccourcisseurs d’URLs

Le but de cet article est de vous mettre en garde contre les raccourcisseurs d’URL’s.

Un URL c’est quoi ?

C’est l’adresse internet qui vous permet de vous rendre sur un site web, l’URL commence par http:// ou https:// (le « s » signifie tout simplement que le site est sécurisé par la technologie SSL, voir ce certificat chez l’hébergeur de sites 1&1 pour plus de renseignements).

Un raccourcisseur c’est quoi ?

C’est un service en ligne qui convertit votre URL en une adresse beaucoup plus courte, brouillant cette adresse de manière aléatoire. Pour ce faire, le service doit héberger votre adresse sur son site puis la convertir dans une base de données. Votre lien apparaît alors sous la forme de l’URL du service suivi d’un slash et d’une chaîne random. Exemple avec le service de raccourcissement d’URL Bitly : https://bit.ly/…………..

Quel est le but d’utiliser ce genre de service ?

• Dans un but promotionnel : il est plus facile de présenter un lien court et de le faire retenir par les gens plutôt qu’un URL d’une centaine de caractères.
• Dans un but malveillant : cacher un site malintentionné en le rendant plus digeste aux yeux de l’internaute.
• Dans un but pratique : raccourcir votre URL pour le faire passer sur des sites qui limitent votre nombre de caractères (meilleur exemple : Twitter).

6 exemples de raccourcisseurs d’URLs

1. Goo.gl : https://goo.gl/
2. Bit.ly : https://bitly.com/
3. Tiny Url : http://tinyurl.com/
4. Is Good : https://is.gd/
5. 3 Ly qui se targue d’être le plus court du monde : http://3.ly/ (j’ai délié le lien car le site semble être en croix pour l’instant)
6. Ow.ly qui permet en plus d’héberger une image tout en vous donnant son adresse réduite : http://ow.ly/url/shorten-url

et bien d’autres (voir cette liste complète très intéressante et peu connue).

Pourquoi s’en méfier ?

Attaquons le vif du sujet à savoir pourquoi personnellement je n’ai jamais adhéré à ce genre de service :

• De par leur définition, les raccourcisseurs d’URL cachent la véritable adresse du site et du coup, lorsque vous cliquez sur cette adresse vous ignorez où vous allez tomber : le site auquel vous vous attendez ? Un site piraté ? Un SPAM ? Un site ou une image choquante, pourquoi pas porno ? Quoi d’autre ?
• Les liens enregistrés dans la base de données du raccourcisseur, comment sont-ils utilisés ? Ne sont-ils pas collectés ? Ne sont-ils pas vendus ou utilisés au niveau statistique ?
• En terme de SEO j’ai des doutes. En plébiscitant l’URL raccourci, vous mettez en avant aux yeux de Google le nom de domaine du raccourcisseur, mais en aucun cas la réelle adresse de votre site. Pire : imaginez que vous raccourcissez votre page web chez deux raccourcisseurs différents. Comment voulez-vous que les moteurs de recherche les repèrent ?
• Que devient votre URL raccourci une fois que le service ferme ? Tout simplement, l’URL raccourci amènera l’internaute vers un message d’erreur ! Plus de jus.
• Imaginez qu’un pirate parviennne à pirater le site du raccourcisseur. Il pourra alors transformer les liens raccourcis. Vous croirez pointer vers vote site, mais en réalité votre adresse raccourcie pointera vers autre chose. Flippant, non ?
• Le problème de vie privée : lorsque vous cliquez sur un lien raccourci, vous allez d’abord sur le site du raccourcisseur qui vous renvoie ensuite, par une redirection, vers votre page web. Mais entre temps, vous avez été fliqué : un cookie a été déposé sur votre navigateur web, qui permettra éventuellement de vous géolocaliser.
• La vitesse d’affichage : le lien doit d’abord passer par le site du raccourcisseur, de ce fait il y a un certain délai d’attente avant de voir s’afficher votre page. Ce délai dépend des serveurs du raccourcisseur : cette image relativement explicite compare un certain nombre de raccourcisseurs entre eux et les classe en fonction de leur vitesse d’affichage.

Sources

• K. McGrath and M. Gupta, Behind phishing: an examination of phisher modi operandi, Proceedings of the 1st Usenix Workshop on Large-Scale Exploits and Emergent Threats, 2008, USENIX Association
• C. Grier, T. Kurt, V. Paxson, and M. Zhang. @spam: the underground on 140 characters or less, Proceedings of the 17th ACM conference on Computer and communications security, 2010
• Liste complète des raccourcisseurs d’URLS en septembre 2009 : Blog.go2.me, 2009 : Exhausting review of link shorteners, https://docs.google.com/spreadsheets/d/1UFJs1gA2lPiZDfB_zOAx-9Gig5j5zD7SkShpEyaeH_4/pub