無料URL安全性チェックツール：このリンクが安全か確認

最初のステップは展開です。URLはU2Lのステートレスな展開エンドポイントに送られ、エンドポイントはリダイレクトを無効にした状態でGETリクエストを送信して、各レスポンスを記録します。ステータスが301、302、303、307、308のいずれかでLocationヘッダーがある場合は、そのヘッダーを現在のURLを基準に解決し（RFC 9110では相対的なLocationの値が認められています）、同じ処理を繰り返します。上限は15ホップで、タイムアウトは最初のリクエストが5秒、以降のリクエストは各3秒です。Locationヘッダーのない3xxレスポンスについては、meta-refreshやアンカーのリンク先がないかを調べます。表示されるホップの一覧はこのチェーンをそのまま示したもので、ホップごとにURL、ステータスコード、所要時間（ミリ秒）が表示されます。ステータスコード200のページ上のJavaScriptによるリダイレクトは実行されないため、スクリプトでリダイレクトするページは、そのページ自体がリンク先として表示されます。

2つ目のステップは評判の確認で、最後のホップに対してだけ実行します。ホスト名は、DNS-over-HTTPSで2回名前解決します。1回はcloudflare-dns.com（通常の1.1.1.1リゾルバー）、もう1回はsecurity.cloudflare-dns.com（1.1.1.2リゾルバー）です。1.1.1.2のサービスは、Cloudflareのマルウェア・フィッシングの脅威フィードに含まれるホスト名に対して、実際のアドレスの代わりに0.0.0.0を返します。ツールが「ブロック」と報告するのは、通常のリゾルバーが実際のAレコードを返し、セキュリティリゾルバーが0.0.0.0しか返さなかった場合だけです。まったく名前解決できないホスト名は「未確認」と報告し、「ブロック」とすることはありません。並行して、完全なURLをPhishTankのcheckurl APIに送信します。データベースに登録され、有効（valid）とマークされているURLはフィッシングサイトです。登録されたもののレビュアーに却下されたURLは「問題なし」として扱い、HTTPエラーやタイムアウト（6秒）は「未確認」と報告します。

3つ目のステップはドメイン年齢の確認です。登録可能ドメイン（sub.example.co.uk ではなく example.co.uk）を、rdap.orgで照会します。rdap.orgは、汎用TLDでWHOISに代わったIETF標準のRDAPのブートストラップサービスです。登録イベントの日付を、日数単位の年齢に換算します。国別コードTLDの中にはRDAPを公開していないものがあり、その場合、ドメイン年齢の行には「情報なし」と表示され、年齢に依存するヒューリスティックは単に該当なしになります。これらの照会結果は一切保存しません。APIは中継するだけで、5分間のキャッシュヘッダーを付けているため、同じリンクを繰り返しチェックしても情報源に過度な負荷がかかりません。

4つ目のステップは、お使いのブラウザ内で実行されます。リンク先のURLをブラウザ標準のURL APIで解析します。URL APIは国際化ドメイン名のホスト名もPunycodeに変換するため、元のリンクがUnicodeで表示されていても、xn--のラベルが見えるようになります。続いて、8つのヒューリスティックでホスト名とパスを評価します。具体的には、スキームがHTTPSではない、ホスト名がIPv4またはIPv6のアドレスそのもの、ホスト名にxn--のラベルがあるかラテン文字とキリル文字・ギリシャ文字が混在している、登録可能ドメインがそのブランドのものではないホスト名に有名なブランド名（paypal・microsoft・netflixなど）が含まれている、登録から90日未満のドメインのホスト名にlogin・verify・secure・walletといった紛らわしい単語が含まれている、ホスト名のラベルが4つを超えている、URLの@の前にユーザー名が含まれている、URLが異常に長くbase64のようなデータを含んでいる、という8項目です。最終的な判定は、4つのステップすべてを組み合わせて決まります。評判チェックの情報源のいずれかがリンク先を検出した場合は「危険」、2つ以上のヒューリスティックに該当したか、登録から30日未満のドメインに紛らわしいキーワードがある場合は「注意」、それ以外は「既知の脅威なし」です。