Ссылку прислал пользователь: как не дать ей увести вашу аудиторию на фишинг

Письмо пришло с адреса, похожего на банковский, и вело на страницу, неотличимую от настоящего входа в личный кабинет. Сотрудник ввёл логин и пароль, увидел «сервис временно недоступен, попробуйте позже» и закрыл вкладку. Через сорок минут с корпоративного ящика ушла рассылка всем контрагентам — с тем же письмом и той же ссылкой.

Вторая история дешевле и тише. На доске объявлений пользователь оставил ссылку на «инструкцию в PDF». Файл действительно скачивался, только вместе с установщиком, который менял стартовую страницу браузера и подставлял свою рекламу поверх чужих сайтов. Модератор ссылку видел. Он её даже открыл — и не увидел ничего подозрительного, потому что подмена срабатывала не для всех и не сразу.

Обе площадки считали, что у них есть модерация. У обеих она сводилась к тому, что человек глазами смотрит на адрес и решает, выглядит ли он прилично. Это не модерация, а лотерея: современная фишинговая страница выглядит лучше оригинала, а вредоносная нагрузка показывается выборочно.

Что вообще значит «плохая ссылка»

Под «плохой ссылкой» разные люди понимают разное, и от этого происходит половина разочарований в любых проверках. Разложим на три различимых случая — ровно те, о которых сервис говорит определённо.

Чего в этом списке нет — и не будет. Сервис не оценивает, честный ли перед вами магазин, придёт ли оплаченный товар и не завышена ли цена. Он не судит о качестве контента и не занимается репутацией бизнеса. Это проверка технической угрозы, а не рейтинг добросовестности.

Где это действительно нужно

Проверка ссылки полезна не везде. Она даёт отдачу там, где адрес приходит извне и попадает к другому человеку — то есть там, где вы отвечаете за чужой клик.

Как читать вердикт (самое важное)

Ответ состоит из вердикта и списка видов угрозы, если угроза найдена. Вердиктов три, и каждый значит меньше, чем кажется на первый взгляд.

Отдельно про unknown. Соблазн приравнять его к «чисто» велик: так проще писать код и так ничего не ломается. Но это ровно та подмена, из-за которой сбой источника превращается в открытую дверь. Правильная обработка — либо повторить проверку позже, либо отправить запись на ручной разбор. Ни то ни другое не стоит денег: unknown не тарифицируется.

Код: одна ссылка и пакет

Одиночная проверка — обычный GET с адресом в параметре. Пакетная принимает массив строк телом запроса: повторы в списке считаются один раз, и платить за них дважды не придётся.

# Один адрес
curl -H "Authorization: Bearer ak_sandbox_demo_mockdata_v1" \
     "https://atlorium.com/api/urlcheck?url=https://example.com/promo"

# Пакет: до 100 адресов телом запроса
curl -X POST \
     -H "Authorization: Bearer ak_sandbox_demo_mockdata_v1" \
     -H "Content-Type: application/json" \
     -d '["https://example.com","http://malware.example.com/x","https://phishing.example.com/login"]' \
     "https://atlorium.com/api/urlcheck/batch"
        

import requests

BASE = "https://atlorium.com"
HEADERS = {"Authorization": "Bearer ak_sandbox_demo_mockdata_v1"}


def is_publishable(url: str) -> bool:
    """Пропускать запись в ленту или отправить на ручной разбор.

    Ключевой момент — обработка unknown. Соблазн вернуть True («источник
    не ответил, ну и ладно») превращает сбой проверки в открытую дверь,
    поэтому неизвестный вердикт уходит модератору наравне с угрозой.
    """
    r = requests.get(f"{BASE}/api/urlcheck", params={"url": url}, headers=HEADERS, timeout=20)
    if r.status_code != 200:
        return False  # не проверили — не публикуем

    data = r.json()
    return data["verdict"] == "clean"


# Пакетный режим: ревизия всей базы ссылок кусками по сто
def check_batch(urls: list[str]) -> dict[str, str]:
    verdicts: dict[str, str] = {}
    for i in range(0, len(urls), 100):
        chunk = urls[i:i + 100]
        r = requests.post(f"{BASE}/api/urlcheck/batch", json=chunk, headers=HEADERS, timeout=60)
        r.raise_for_status()
        for item in r.json()["results"]:
            verdicts[item["url"]] = item["verdict"]
    return verdicts
        

using System.Net.Http.Json;

HttpClient http = new() { BaseAddress = new Uri("https://atlorium.com") };
http.DefaultRequestHeaders.Add("Authorization", "Bearer ak_sandbox_demo_mockdata_v1");

// Одиночная проверка перед публикацией комментария.
UrlThreatResult? single = await http.GetFromJsonAsync<UrlThreatResult>(
    $"/api/urlcheck?url={Uri.EscapeDataString(url)}");

// Публикуем ТОЛЬКО при явном «чисто»: unknown означает «не проверили»,
// и приравнивать его к разрешению — значит сделать сбой источника лазейкой.
bool publish = single?.Verdict == "clean";

// Пакет: ревизия каталога партнёрских ссылок.
HttpResponseMessage response = await http.PostAsJsonAsync("/api/urlcheck/batch", urls);
UrlThreatBatch? batch = await response.Content.ReadFromJsonAsync<UrlThreatBatch>();

record UrlThreatResult(string Url, string Verdict, string[] ThreatTypes, DateTime CheckedAtUtc);
record UrlThreatBatch(UrlThreatResult[] Results, int Total, int ThreatCount, int UnknownCount);
        

const BASE = "https://atlorium.com";
const HEADERS = { Authorization: "Bearer ak_sandbox_demo_mockdata_v1" };

async function checkUrl(url) {
  const r = await fetch(`${BASE}/api/urlcheck?url=${encodeURIComponent(url)}`, { headers: HEADERS });
  if (!r.ok) return { verdict: "unknown" };
  return r.json();
}

async function checkBatch(urls) {
  const r = await fetch(`${BASE}/api/urlcheck/batch`, {
    method: "POST",
    headers: { ...HEADERS, "Content-Type": "application/json" },
    body: JSON.stringify(urls.slice(0, 100)),
  });
  const data = await r.json();
  // Ссылки, из-за которых стоит будить модератора.
  return data.results.filter((x) => x.verdict !== "clean");
}
        

{
  "url": "http://malware.example.com/x",
  "verdict": "threat",
  "threatTypes": ["malware"],
  "checkedAtUtc": "2026-09-01T09:14:22Z",
  "message": "",
  "elapsedMs": 184
}
        

Как встроить, чтобы не сломать себе площадку

Проверка ссылки — быстрая операция, но она всё-таки сетевая, и от того, куда её поставить, зависит, поможет она или начнёт мешать.

Проверяйте на публикации, а не на каждом показе. Ссылка в комментарии проверяется один раз при сохранении, а не при каждой отрисовке страницы. Иначе популярная ветка превращается в поток одинаковых запросов, а время ответа страницы начинает зависеть от внешнего сервиса.

Перепроверяйте по расписанию, а не по клику. Ссылка, чистая в момент публикации, может испортиться позже — именно так работает подмена в партнёрских сетях. Ночной прогон активных ссылок пакетом закрывает этот сценарий, ничего не замедляя днём.

Считайте вердикт сигналом, а не приговором. Автоматическое удаление по вердикту threat звучит логично ровно до первого ложного срабатывания на ссылке крупного партнёра. Разумнее: скрыть из ленты, поставить в очередь на разбор, уведомить автора. Решение принимает человек, а сервис экономит ему время на просмотре тысяч нормальных ссылок.

Разворачивайте сокращатели заранее. Проверяется тот адрес, который вы прислали. Если это короткая ссылка сервиса сокращения, вердикт будет про неё, а не про конечную страницу. Разверните её у себя и проверьте конечный адрес — или проверьте оба.

Границы: чего проверка не делает

Не заменяет антивирус. Проверка говорит о репутации адреса, а не о том, что происходит на устройстве. Файл, скачанный по чистой ссылке, всё равно проверяет антивирус — это разные рубежи, и один не отменяет другой.

Не оценивает добросовестность бизнеса. Интернет-магазин, который берёт предоплату и не отправляет товар, технической угрозы не несёт: он не раздаёт вирусы и не подделывает чужой сайт. Вердикт по нему будет «чисто», и это правильный ответ на заданный вопрос. Вопрос про добросовестность — к проверке контрагента по ЕГРЮЛ, а не сюда.

Не проверяет сертификат. Просрочка сертификата, самоподписанный сертификат, несовпадение домена — отдельная тема, и для неё есть отдельный сервис. Здесь адрес с битым сертификатом получит «чисто», если за ним не числится угрозы.

Не гарантирует полноту. Ни одна база угроз не знает обо всех вредоносных страницах мира — особенно о поднятых час назад. Проверка резко сокращает поток очевидно плохих ссылок и не отменяет остальных мер: обучения сотрудников, двухфакторной аутентификации, подтверждения платежей.

Частые вопросы

curl -H "Authorization: Bearer ak_sandbox_demo_mockdata_v1" \
     https://atlorium.com/openapi/url_ru.json