短縮URLは危険？安全性の確認方法と有効期限を解説
短縮URLを受け取った側・作る側それぞれが気をつけるべき安全性のポイントと、短縮URLの有効期限・失効後の挙動をまとめて解説します。
短縮URLは危険なのか
短縮URLそのものが危険というわけではありませんが、リンク先が短い文字列に置き換わることで、クリックするまでどこへ転送されるか分からなくなる点がリスクの本質です。
この性質を悪用し、フィッシングサイトやマルウェア配布サイトへの誘導に短縮URLが使われることがあります。ただし、短縮URLサービス自体が悪意を持っているわけではなく、あくまで「転送の仕組み」を第三者が悪用できてしまう点に注意が必要です。
受け取った短縮URLを開く前に確認すること
- 知らない送信者や、身に覚えのないSNS投稿・メールに記載された短縮URLは、安易にクリックしない
- クリックした後の画面でログイン情報・クレジットカード情報・個人情報の入力を求められたら、表示されているドメインが本物と一致しているか確認する
- ブラウザやセキュリティソフトが警告を表示した場合は、内容を確認せずに閉じる
- 展開後のURLを事前に確認したい場合は、短縮URLサービス側が用意している「プレビュー」機能や、外部の展開確認サービスを使う方法もある（本ツールにはプレビュー機能はありません）
短縮URLを作る側が気をつけること
- 短縮URLは「秘密のリンク」ではなく、URLを知っている人なら誰でもアクセスできる公開リンクです。ログイン不要でアクセスできる決済ページや、個人情報を含むページのURL、有効期限付きの署名付きURLを短縮することは避けてください
- 転送先URLは短縮URL作成サービスのサーバーに保存されます。yorozuの場合、転送先URLはCloudflare KVに保存されるほか、安全性チェックのためGoogle Web Risk APIへも送信されます
yorozuの短縮URLの安全対策とその限界
yorozuの短縮URL作成ツールでは、Cloudflare Turnstileにより作成時に人間による操作である可能性が高いかどうかを判定し、ボットによる大量作成を抑制しています。あわせてGoogle Web Risk APIで、転送先URLが既知のフィッシング・マルウェアサイトのリストに含まれていないかを作成時点で確認しています。
ただしこれらの対策には限界があります。Web Risk APIのチェックは作成時点のものであり、作成後にサイトの内容が書き換えられた場合や、まだリストに登録されていない新しい脅威サイトについては検知できません。
また、Turnstileも「人間であること」を証明するものではなく、あくまでボットらしい挙動を抑制する仕組みです。安全対策は不正利用のハードルを上げるものであり、100%の安全性を保証するものではない点にご留意ください。
短縮URLの有効期限と、期限切れ後の挙動
yorozuで作成した短縮URLは、作成日から365日間有効です。この期間はCloudflare KVに保存する際のデータ保持期間（TTL）として設定されています。
期限切れ後、または存在しない短縮URLにアクセスすると、いずれの場合も同じ404エラーが返るため、「期限切れなのか」「そもそも存在しない短縮URLなのか」を外部から見分けることはできません。
また、転送先URL自体が期限切れ・削除されている場合は短縮URLが有効でも正しく開けない点、不適切な利用が確認された場合は365日を待たずに無効化することがある点、短縮URLの可用性（常にアクセスできること）を保証するものではない点にもご注意ください。
まとめ
短縮URLは便利な反面、転送先が見えないという性質上リスクも伴います。受け取る側は送信元や遷移後の画面を確認する習慣を、作る側は公開リンクである前提で機密性の高いURLを避けることを心がけましょう。
yorozuの短縮URL作成ツールはTurnstileとWeb Risk APIによる対策を行っていますが、これらは不正利用のハードルを上げるものであり、絶対的な安全性を保証するものではない点をご理解のうえご利用ください。
