La reputació de la vostra marca viatja amb cada enllaç que compartiu. Un URL de phishing en el butlletí de l'empresa. Un enllaç que distribueix programari maliciós en una publicació de Slack. Un domini caducat en una col·lecció d'enllaços d'afiliació que un estafador ha comprat sense fer soroll. No són riscos hipotètics: són incidents documentats que han perjudicat la reputació d'organitzacions reals i han minat la confiança dels lectors d'un dia per l'altre.
La puntuació de confiança d'enllaços consisteix a avaluar de manera sistemàtica si un URL és segur, creïble i adequat per compartir-lo abans que surti amb el vostre nom. Aquesta guia explica què fa que un enllaç sigui de confiança, com avaluar-ho, per què la higiene dels enllaços sortints importa més que mai ara que la intel·ligència artificial intervé en la manera de trobar continguts, i com crear un hàbit d'auditoria que protegeixi la marca.
Per què la confiança dels enllaços sortints importa més que mai
Durant molt de temps, la seguretat dels enllaços es veia com un problema dels consumidors: una cosa que les persones havien de vigilar, no una cosa que les marques haguessin de gestionar activament. Això ha canviat molt per tres motius.
La cerca amb IA mostra directament els vostres enllaços. Quan assistents d'IA com AI Overviews de Google, Perplexity o ChatGPT citen el vostre contingut, també en poden mostrar o seguir els enllaços sortints. Ara, un enllaç sortint de poca qualitat o maliciós en un article que heu publicat pot influir en les respostes generades per IA i, per extensió, en la confiança que la gent hi diposita. El contingut que cita fonts fiables i amb autoritat es classifica i apareix millor en la cerca assistida per IA.[1]
Les campanyes de phishing exploten marques de confiança de manera habitual. Els atacants fan servir sovint enllaços curts, cadenes de redireccions compromeses i dominis que imiten els reals perquè els URL maliciosos semblin d'organitzacions legítimes.[2] Si la infraestructura d'enllaços de la vostra marca queda compromesa, o si compartiu un enllaç maliciós sense saber-ho, us convertiu sense voler en un vector de l'atac.
Els butlletins i les col·leccions d'enllaços d'afiliació acumulen enllaços trencats i canvis de domini. Una destinació que enllaceu des de fa dos anys pot haver estat venuda, redirigida a contingut per a adults o convertida en una granja de correu brossa. Els enllaços antics del contingut perenne són especialment vulnerables.[3]
Què mesura una puntuació de confiança d'enllaços?
Sis senyals independents, combinats: HTTPS i validesa del certificat, antiguitat del domini, presència en llistes de bloqueig, transparència de les redireccions, reputació del domini i reputació de la IP. La confiança d'un enllaç no és un sol número, sinó la combinació d'aquests senyals. Entendre cadascun us ajuda a diagnosticar els problemes més de pressa.
1. HTTPS i validesa del certificat TLS
El senyal de confiança més bàsic és si l'enllaç fa servir HTTPS. HTTPS vol dir que la connexió entre el navegador i el servidor es xifra amb TLS, de manera que les dades en trànsit queden protegides contra la intercepció.[4]
Però no n'hi ha prou amb HTTPS. Un lloc de phishing pot obtenir en pocs minuts un certificat TLS gratuït d'una autoritat de certificació com Let's Encrypt, i molts ho fan. Més enllà de la presència d'HTTPS, el que compta és si el certificat:
- S'ha emès per al domini correcte (no per a un domini que l'imita)
- És vàlid ara mateix (no ha caducat)
- L'ha emès una autoritat de certificació reconeguda (no és autosignat)
- No s'ha revocat
Un enllaç que en algun punt de la cadena redirigeix d'HTTPS a HTTP també és un senyal d'alerta: vol dir que el trànsit va sense xifrar en una part del recorregut.[4]
2. Antiguitat i historial de registre del domini
Els dominis registrats fa poc s'utilitzen per al frau de manera desproporcionada. Una investigació de l'empresa de ciberseguretat Palo Alto Networks va trobar que els dominis registrats recentment tenen 10 vegades més probabilitats de ser maliciosos que els consolidats.[5]
L'antiguitat d'un domini es pot comprovar als registres WHOIS, tot i que molts registradors ofereixen ara una protecció de la privadesa que amaga les dates de registre. Un domini registrat en els darrers 60-90 dies i sense una presència web consolidada mereix prudència, sobretot si algú us ha enviat l'URL sense que l'haguéssiu demanat.
L'historial del domini també compta. Un domini que abans allotjava contingut legítim però que s'ha venut fa poc, o que s'ha deixat caducar, pot haver estat registrat de nou per algú que en vol aprofitar els enllaços entrants i les posicions als cercadors.
3. Presència en llistes de bloqueig
Les grans organitzacions de ciberseguretat i els fabricants de navegadors mantenen bases de dades de dominis i URL maliciosos coneguts. Google Safe Browsing, per exemple, analitza milers de milions d'URL i manté una llista que s'actualitza contínuament amb llocs de phishing, distribuïdors de programari maliciós i pàgines d'enginyeria social.[6] Firefox, Chrome i Safari consulten aquesta llista abans de carregar una pàgina.
Poder comprovar un enllaç a les principals llistes de bloqueig abans de compartir-lo, i no després que un usuari hi faci clic, és el valor central de les eines d'anàlisi d'enllaços.
Algunes llistes de bloqueig rellevants:
- Google Safe Browsing[6]
- Spamhaus: molt utilitzada per a la reputació de correu i de dominis
- Cisco Talos: informació sobre amenaces per a dominis i IP
- Phishtank: base de dades de phishing mantinguda per la comunitat
- SURBL: llista de bloqueig d'URI de correu brossa que fan servir els filtres de correu
Els navegadors, els clients de correu i les eines de seguretat marquen o bloquegen qualsevol enllaç que aparegui en alguna d'aquestes llistes. Sovint això fa que el butlletí es marqui com a correu brossa o que els correus quedin en quarantena abans d'arribar als lectors.
4. Transparència de les redireccions
Un enllaç de confiança va on diu que va. Un enllaç que diu que porta a trusted-news-source.com però que en realitat passa per tres salts fins a un altre domini no és transparent, i la falta de transparència és un tret característic dels enllaços maliciosos.[2]
Les cadenes de redireccions fan que l'enllaç sigui menys transparent. Cada salt amaga la destinació real i dona a un actor maliciós l'oportunitat d'inserir-hi un pas maliciós. Encara que l'enllaç original fos segur quan l'hi vau afegir, una cadena que passa per un servei de redireccions de tercers vol dir que confieu que aquest servei continuarà sent segur per sempre.
Bona pràctica: comproveu que la destinació final de qualsevol enllaç que compartiu coincideix amb el domini que voleu citar. No us fieu del text visible d'un hiperenllaç: comproveu sempre on porta realment l'URL.
5. Puntuació de reputació del domini
A més de les llistes de bloqueig, diversos proveïdors de seguretat i de lliurament de correu mantenen puntuacions de reputació per a dominis a partir de senyals com les queixes per correu brossa, els avisos de phishing, la relació amb programari maliciós, els patrons de WHOIS i el comportament del trànsit. Aquestes puntuacions són probabilístiques: un domini pot tenir una reputació baixa sense ser explícitament en cap llista de bloqueig, perquè els senyals encara no són concloents.
La reputació del domini és especialment rellevant per als professionals del màrqueting per correu, perquè els ESP (proveïdors de serveis de correu electrònic) la fan servir per decidir si els enllaços sortints del butlletí activaran els filtres de correu brossa, encara que els enllaços en si siguin segurs.
6. Reputació de l'adreça IP
L'adreça IP que allotja el servidor de destinació té la seva pròpia reputació. Un servidor que allotja desenes de dominis, molts dels quals s'han marcat per abús, és un senyal d'alerta encara que el domini concret que enllaceu estigui net.[7]
Els sistemes de seguretat corporatius, els filtres de correu i les implementacions de navegació segura dels navegadors fan servir les dades de reputació de les adreces IP per avaluar el risc a nivell de xarxa.
Comproveu qualsevol enllaç ara mateix
L'eina Link Trust Score que trobareu a continuació avalua un URL amb els senyals principals descrits més amunt (validesa d'HTTPS, transparència de les redireccions, presència en llistes de bloqueig, antiguitat del domini i reputació) i torna una puntuació combinada amb el detall de cada alerta.
Proveu-la gratis, sense registre
Puntuació de confiança de l'enllaç
Puntueu qualsevol URL segons la llegibilitat i els patrons sospitosos.
On és més alt el risc dels enllaços sortints?
Als butlletins, a les col·leccions d'enllaços d'afiliació, als articles perennes antics, a les publicacions socials fetes amb enllaços curts i al xat intern. No tots els enllaços de l'organització comporten el mateix risc. Aquests són els llocs que cal auditar primer.
Butlletins per correu electrònic
Els enllaços dels butlletins són la superfície més perillosa per diversos motius. En primer lloc, arriben a tota la llista de subscriptors alhora: un sol enllaç maliciós pot fer perdre la confiança de milers de lectors simultàniament. En segon lloc, els ESP analitzen els enllaços sortints a la recerca de senyals de reputació, de manera que un enllaç poc fiable pot fer que tot el butlletí acabi al correu brossa. I en tercer lloc, un butlletí és difícil de retirar un cop enviat.
Freqüència d'auditoria: analitzeu tots els enllaços sortints d'un butlletí abans d'enviar-lo. És innegociable per a les marques de sectors regulats (finances, salut, serveis jurídics), on un enllaç maliciós també podria generar responsabilitats de compliment normatiu.
Col·leccions d'enllaços d'afiliació i de socis
Els enllaços d'afiliació sovint passen per diverses capes de redireccions (el vostre enllaç curt, una xarxa d'afiliació, una redirecció del comerciant) i la destinació final pot canviar sense avís si s'acaba una relació d'afiliació o si el comerciant canvia l'estructura dels seus URL. Els dominis de destinació també es poden vendre o deixar caducar.
Freqüència d'auditoria: revisió mensual de tots els enllaços d'afiliació actius, amb supervisió automàtica dels canvis de destinació sempre que es pugui.
Contingut perenne del blog
Els articles escrits fa 2-5 anys poden contenir desenes d'enllaços sortints a recursos, estudis, eines i llocs de socis. Moltes d'aquestes destinacions s'hauran mogut, hauran caducat o hauran canviat de propietari. Un article del 2019 que enllaça una empresa emergent ja desapareguda, amb el domini registrat de nou com a granja de correu brossa, és un problema real i freqüent.
Freqüència d'auditoria: revisió trimestral de les pàgines perennes amb més trànsit. Feu servir el vostre verificador d'enllaços o una eina com Screaming Frog per detectar errors 404 i cadenes de redireccions a gran escala, i després reviseu a mà les destinacions més arriscades.
Publicacions a les xarxes socials (sobretot les que fan servir enllaços curts)
Els enllaços curts són pràctics, però per la manera com funcionen amaguen la destinació final. Els actors maliciosos ho aprofiten per compartir enllaços perillosos que semblen venir de dominis curts legítims. Abans de compartir un enllaç curt en una publicació oficial de la marca, comproveu que porta a la destinació prevista.[2]
Slack, Teams i altres plataformes de comunicació interna
Les comunicacions internes sovint queden fora de l'auditoria d'enllaços. Però la plantilla fa clic als enllaços de Slack i Teams amb molta confiança, i els atacants ho saben. Els atacs d'enginyeria social sovint comencen amb un enllaç «d'aparença segura» enviat des d'un compte compromès o fent-se passar per un proveïdor.
Amb quina freqüència cal auditar els enllaços sortints?
Abans de cada enviament del butlletí, cada mes per als enllaços d'afiliació i cada trimestre per a les pàgines perennes. L'objectiu no és investigar a mà cada enllaç que compartiu, cosa que no és realista. L'objectiu és un sistema lleuger i repetible que detecti els casos de més risc.
Per a una sola persona o equips petits
- Abans de cada enviament del butlletí: enganxeu cada enllaç sortint a l'eina Link Trust Score. Marqueu per a una segona revisió qualsevol enllaç amb una puntuació per sota del llindar.
- Cada mes: reviseu els 10 dominis més enllaçats en tot el vostre contingut. N'hi ha cap que s'hagi venut? Algun problema d'HTTPS? Alguna entrada nova en una llista de bloqueig?
- Quan us arriba un enllaç de fora de l'organització: comproveu sempre els enllaços curts, els dominis desconeguts i els enllaços de socis nous abans de compartir-los, tant internament com externament.
Per a equips de màrqueting o de continguts més grans
- Integreu la comprovació d'enllaços en el flux editorial. Exigiu la verificació de la puntuació de confiança de tots els enllaços externs abans de publicar un article.
- Automatitzeu la supervisió dels canvis de destinació. Diverses plataformes de gestió d'enllaços ofereixen una supervisió de l'estat dels enllaços que us avisa quan una destinació deixa de funcionar, canvia de manera significativa o torna un error. Estendre-la als canvis de reputació és el pas següent lògic.
- Afegiu l'anàlisi d'enllaços a la llista de comprovació prèvia a l'enviament de correus. La majoria d'ESP no busquen automàticament enllaços maliciosos: aquesta responsabilitat és del remitent.
- Registreu i reviseu els avisos d'abús. Si algun dels vostres enllaços genera queixes d'usuaris per destinacions inesperades, investigueu-ho de seguida i actualitzeu o retireu l'enllaç.
Com és un bon enllaç: llista de comprovació de confiança
| Senyal | Indicador de confiança |
|---|---|
| Protocol | HTTPS de principi a fi, sense cap salt HTTP a la cadena |
| Certificat TLS | Vàlid, no caducat, emès per al domini correcte |
| Autoritat de certificació | CA reconeguda (DigiCert, Sectigo, Let's Encrypt, etc.) |
| Antiguitat del domini | Consolidat, no registrat en els darrers 90 dies |
| Historial del domini | Sense historial d'abús, correu brossa o allotjament maliciós |
| Llistes de bloqueig | No apareix a Google Safe Browsing, Spamhaus ni Phishtank |
| Reputació de la IP | Neta: el servidor no és en una infraestructura amb historial d'abús |
| Cadena de redireccions | Transparent, porta al domini final esperat |
| Destinació final | Coincideix amb el recurs previst, no és un domini inesperat |
| WHOIS / registre | Registrador i dades de registre coherents amb l'organització |
Una nota sobre les dades personals i la privadesa en l'auditoria d'enllaços
Quan passeu un URL per una eina de confiança d'enllaços, normalment l'eina fa peticions a l'URL de destinació i a bases de dades de reputació en nom vostre. Tingueu en compte que:
- El servidor de destinació registrarà la petició (inclosa l'adreça IP)
- Algunes bases de dades de reputació són comercials i poden registrar els URL consultats
- Els enllaços interns sensibles (protegits amb autenticació) no els passeu per eines externes
Per als enllaços interns, confieu en les eines de seguretat de la vostra xarxa i no en serveis d'anàlisi externs.
Referències
[1] Google Search Central. (2024). Creating helpful, reliable, people-first content. https://developers.google.com/search/docs/fundamentals/creating-helpful-content
[2] Anti-Phishing Working Group (APWG). (2024). Phishing Activity Trends Report, Q4 2024. https://apwg.org/trendsreports/
[3] Pew Research Center. (2024). When Online Content Disappears. https://www.pewresearch.org/data-labs/2024/05/17/when-online-content-disappears/
[4] Rescorla, E. (2018). RFC 8446: The Transport Layer Security (TLS) Protocol Version 1.3. IETF. https://www.rfc-editor.org/rfc/rfc8446
[5] Palo Alto Networks Unit 42. (2019). New Domains: Malicious Intent by Design. https://unit42.paloaltonetworks.com/new-domains-malicious-intent-by-design/
[6] Google LLC. (2024). Safe Browsing APIs. https://developers.google.com/safe-browsing/v4
[7] Fielding, R., Nottingham, M., & Reschke, J. (2022). RFC 9110: HTTP Semantics. IETF. https://www.rfc-editor.org/rfc/rfc9110
Darrera actualització: maig de 2026. Vegeu també el glossari d'escurçament d'enllaços: SSL/TLS/HTTPS, phishing, domini d'imitació, llista de bloqueig, reputació del domini, navegació segura, anàlisi d'enllaços, dades personals (PII).