Cos'è un dominio e perché sapere leggerlo ferma le truffe

Cosa vuol dire dominio, in una riga: è il nome vero di un sito, e sta sempre nello stesso punto: è l'ultima parte prima della prima barra. In poste.it/servizi/spedizioni il dominio è poste.it. In poste.it.verifica-conto.net/accedi il dominio è verifica-conto.net, che non ha niente a che vedere con le Poste.

Saperlo leggere è la competenza più utile che esista contro le truffe scritte, e si impara in cinque minuti.

Dove guardare, esattamente

Un indirizzo internet si legge da sinistra a destra, ma il pezzo che conta si trova partendo dalla prima barra e tornando indietro.

Prendiamo https://www.agenziaentrate.gov.it/portale/home. Si cerca la prima barra dopo https://, e si guarda cosa c'è subito prima: www.agenziaentrate.gov.it. Di questo, il nome vero è la parte finale: agenziaentrate.gov.it.

Tutto quello che sta a sinistra del nome vero può essere scritto da chiunque. Tutto quello che sta dopo la barra, anche. L'unico pezzo che nessuno può falsificare è quello, perché va comprato e registrato.

È per questo che le truffe mettono i nomi conosciuti prima: intesa-sanpaolo.sicurezza-conto.com ha «intesa-sanpaolo» ben visibile, ma il nome vero è sicurezza-conto.com.

Un trucco per non sbagliare mai

Si legge l'indirizzo all'indietro, partendo dalla prima barra.

In sicurezza.intesasanpaolo.com/accesso: dalla barra si torna indietro e si prendono due pezzi separati dal punto, cioè intesasanpaolo.com. Quello è il nome vero, ed è della banca.

In intesasanpaolo.sicurezza-verifica.com/accesso: dalla barra si torna indietro e i due pezzi sono sicurezza-verifica.com. Quello è il nome vero, e non è della banca.

I due indirizzi contengono le stesse parole. Cambia solo l'ordine, ed è tutto lì.

Le estensioni che dicono qualcosa

L'ultimo pezzetto, quello dopo l'ultimo punto, si chiama estensione, e non tutte sono uguali.

.gov.it è riservata alla pubblica amministrazione italiana, e non si può comprare liberamente. Un indirizzo che finisce così è quasi sempre un buon segno.

.it è italiana e richiede un'identificazione di chi la registra, quindi dà qualche garanzia in più.

.com, .net, .info, .online, .top si comprano in pochi minuti, da chiunque, per pochi euro. Non vuol dire che siano sospette, perché moltissimi siti seri le usano. Vuol dire che di per sé non provano niente.

Il criterio pratico: un ente pubblico italiano che scrive da un .info è un problema. Un negozio che sta su un .com non lo è.

Il sottodominio: quello che confonde

È la parte davanti al nome vero, separata da un punto, e serve a organizzare sezioni diverse dello stesso sito.

posta.aziendaqualunque.it e negozio.aziendaqualunque.it sono due sezioni dello stesso posto, perché il nome vero non cambia.

Questo è utile e legittimo, ed è anche quello di cui approfittano le truffe: sapendo che molti leggono solo la prima parola, mettono lì il nome che rassicura.

Un altro trucco frequente è il trattino al posto del punto: poste-it.com sembra poste.it, ma è un altro sito. Il punto separa, il trattino no.

Perché questa competenza vale più di un antivirus

Le truffe scritte che arrivano oggi, in Italia, finiscono quasi tutte nello stesso punto: una pagina che chiede la password, il codice arrivato per SMS, o il numero della carta.

Non c'è virus, non c'è programma malevolo, non c'è niente che un antivirus possa fermare. C'è una persona che scrive i propri dati dentro una pagina, convinta di essere altrove.

L'unica cosa che interrompe quella catena è guardare il nome vero del sito prima di scrivere qualcosa. Ed è un controllo che non richiede strumenti, non costa niente e non si aggiorna mai.

Su come sono fatti quei messaggi, ne abbiamo scritto in perché i truffatori scrivono male.

Gli indirizzi accorciati

Meritano un paragrafo, perché sono il modo più semplice di nascondere il nome vero.

Un indirizzo accorciato è una cosa come bit.ly/3xk2p oppure tinyurl.com/abcde: un servizio prende un indirizzo lungo e ne dà uno corto, che rimanda al primo. Sono nati per una ragione onesta, cioè far stare i collegamenti dentro i messaggi brevi, e li usano anche le aziende serie. Noi stessi ne usiamo uno nostro, doveclicco.it/vai/, e il nome vero lì resta visibile.

Il problema è che in un indirizzo accorciato il nome vero non si vede. Si vede il nome del servizio che accorcia, non quello del sito di destinazione.

La regola che ne esce è pratica: un indirizzo accorciato dentro un messaggio che parla di soldi, conti, pacchi o codici non si clicca. Non perché sia per forza una truffa, ma perché toglie l'unica informazione che permetterebbe di giudicare.

Se serve davvero controllarlo, esistono servizi che mostrano dove porta un indirizzo corto senza aprirlo. Ma nella pratica quotidiana la strada migliore resta un'altra: si ignora il collegamento e si apre il sito scrivendo l'indirizzo da soli.

Cosa c'entra tutto questo con la posta elettronica

Le stesse regole valgono per l'indirizzo di chi manda una email, con una differenza che vale la pena conoscere.

Un indirizzo email è fatto di due pezzi separati dalla chiocciola: il nome della casella e, dopo, il dominio. In servizioclienti@banca.it il dominio è banca.it, ed è quello che dice da dove arriva davvero il messaggio.

Il nome che compare in grande, quello che il telefono mostra come mittente, è invece scrivibile a piacere: può dire «Assistenza Banca» anche se l'indirizzo vero è tutt'altro. Per vederlo si clicca il nome del mittente e si apre il dettaglio.

È lo stesso principio del nome del mittente negli SMS, e porta alla stessa conclusione: si guarda il pezzo dopo la chiocciola, non quello scritto in grande.

Come si guarda sul telefono

Sul telefono l'indirizzo è più difficile da leggere, perché la riga è corta e spesso mostra solo l'inizio. Ci sono due modi.

Prima di aprire. Se il collegamento arriva in un messaggio, si tiene il dito premuto sopra senza cliccarlo: compare un riquadro con l'indirizzo per intero. Da lì si legge e si chiude.

Dopo aver aperto. Si clicca una volta la riga dell'indirizzo in cima al browser: si allarga e mostra tutto. Su molti telefoni, per risparmiare spazio, viene nascosta quando si scorre la pagina, e basta scorrere verso l'alto per farla riapparire.

Un'ultima avvertenza: il lucchetto accanto all'indirizzo non dice che il sito è onesto. Dice solo che la comunicazione è cifrata, e ce l'hanno anche i siti finti, perché ottenerlo non costa niente. Il lucchetto non sostituisce la lettura del nome.

Come si insegna, in due minuti

Funziona molto meglio farlo con un esempio vero che spiegarlo a parole.

Si prende un messaggio sospetto, di quelli che arrivano a tutti, e si guarda l'indirizzo insieme. Si chiede: «dove finisce il nome del sito?». Si conta all'indietro dalla prima barra. E si scopre insieme che il nome vero non è quello della banca.

La scoperta la fa la persona, non tu, ed è per questo che resta. Fatta due o tre volte, quel controllo diventa automatico. È lo stesso principio di fammelo tu che fai prima: chi guarda non impara, chi clicca sì.