Разбор адреса: читаем до второй косой черты

Вся проверка ссылки помещается в одно правило: значение имеет только то, что стоит сразу после имени площадки. Всё остальное — украшение.

Как устроен адрес

Адрес читается слева направо, и части в нём неравноценны. Слабое место человеческого внимания в том, что мы читаем адрес как слово целиком, а решает в нём один короткий кусок.

Правило, которое можно применять не думая: дочитайте адрес до второй косой черты после имени площадки и остановитесь. Если там не то имя — дальше смотреть незачем.

Пять способов подменить адрес

Как это делают на телефоне

На телефоне адресная строка короткая и обрезает середину — именно там прячут подмену. Два рабочих приёма.

1. Разверните адрес. Нажатие на строку показывает её целиком, включая начало.
2. Проверяйте начало, а не конец. Конец адреса чаще всего честный: подделке важно, чтобы вы дочитали до знакомых слов и успокоились.
3. Копируйте вместо перехода. Ссылку из переписки удобнее скопировать и посмотреть, чем открыть и смотреть после.

Проще всего — не пользоваться чужими ссылками

Постоянный адрес файла короткий, не содержит номера версии и всегда ведёт в нужный репозиторий: его можно один раз сохранить в закладках и больше не проверять чужие ссылки вовсе. Как он устроен.

Почему мы читаем адрес именно так

Правило «до второй косой черты» кажется произвольным, но оно следует из устройства адресов. Слева направо адрес сужается: сначала площадка, потом владелец внутри неё, потом его репозиторий, потом раздел. Чем правее, тем меньше смысла в проверке — эти части контролирует тот, кто уже прошёл проверку слева.

Подделки строят на обратной интуиции: человеку кажется, что чем длиннее и «технологичнее» адрес, тем он серьёзнее. На деле длинный хвост ничего не добавляет, а служит только для того, чтобы вы устали читать раньше, чем дойдёте до важного.

Три привычки, которые снимают вопрос

1. Одна закладка вместо поиска. Постоянный адрес файла сохраняется один раз и не устаревает (как он устроен).
2. Не переходить по ссылкам из переписки. Не потому, что вам желают зла, а потому, что отправитель обычно сам взял её где-то.
3. Сомневаетесь — наберите вручную. Адрес репозитория короткий: площадка, владелец, название. Набранный руками адрес подделать невозможно.

Откуда берутся подменённые ссылки

Почти никогда — не из злого умысла того, кто её прислал. Типичная цепочка выглядит так: человек ищет приложение, попадает на каталог программ, скачивает оттуда, остаётся доволен и дальше рассылает знакомым ту же ссылку. Проверять её никто не думает, потому что «у меня же работает».

Работоспособность действительно ничего не доказывает: подменённая сборка тоже работает, иначе в ней не было бы смысла. Именно поэтому проверка привязана к источнику, а не к результату (что делает чужая сборка).

Короткая памятка

• Смотрите начало адреса, а не конец. Подделке нужно, чтобы вы устали читать;
• Защищённое соединение ничего не значит. Оно есть у всех;
• Сокращённые ссылки не проверяются вовсе. Просите полный адрес;
• Длинный адрес — не признак серьёзности. Значение имеет одно слово;
• Лучший приём — не переходить по чужим ссылкам: постоянный адрес сохраняется один раз.

Памятка выглядит очевидной, пока не столкнёшься с ней в реальном сообщении: ссылка приходит в потоке дел, читается по диагонали и открывается автоматически. Поэтому единственная привычка, которая действительно работает, — последний пункт.

Как это работает в мессенджере

Мессенджеры показывают ссылки красиво: заголовок страницы, картинка, короткая подпись. Настоящий адрес при этом либо не виден, либо стоит мелким шрифтом сбоку.

Это удобно для чтения и неудобно для проверки: карточка ссылки собирается по данным страницы, то есть по тому, что о себе написал сам сайт. Совпадение заголовка с ожидаемым не значит ничего.

Практический выход простой — не открывать ссылку из карточки, а скопировать её и посмотреть адрес. Или, что ещё быстрее, взять файл по своей закладке (какой она должна быть).

Одно исключение из правила

Правило «читаем до второй косой черты» работает для репозиториев. В магазинах адрес устроен иначе: там за принадлежность отвечает не владелец в пути, а идентификатор приложения (что это) и имя издателя в самой карточке.

Поэтому проверка в магазине выглядит иначе — вы читаете не адрес, а строку под названием. Разница небольшая, но её стоит держать в голове, чтобы не искать в магазинном адресе то, чего там нет.