Décodeur de liens courts

Décoder un lien court (dit aussi « unshorten ») consiste à suivre une adresse raccourcie de t.cn, bit.ly, TinyURL, etc. jusqu'à sa vraie destination. Un service de liens courts conserve la correspondance entre un code court et l'URL longue d'origine : quand quelqu'un visite le lien court, il répond par une redirection HTTP 3xx qui envoie le navigateur vers la véritable page. Cet outil interroge le lien court saut par saut depuis le serveur, suit l'en-tête Location de chaque redirection et restitue l'URL finale accompagnée de la chaîne complète de redirections, du nombre de sauts, du code HTTP de chacun et de la durée totale. C'est utile pour vérifier où mène réellement un lien inconnu avant de cliquer, contrôler qu'un lien promotionnel que vous avez configuré résout correctement et déboguer une configuration de redirections. Deux limites méritent d'être connues : ne fonctionnent que les redirections portées par HTTP — les redirections dans la page (Meta Refresh ou JavaScript) lui sont invisibles —, et l'URL décodée n'est pas un certificat de sécurité : un lien de phishing redirige parfaitement normalement, le domaine de destination mérite donc toujours votre propre vigilance.

Un lien court n'est rien de plus qu'un service web qui répond par une redirection. La spécification HTTP (RFC 9110, anciennement RFC 7231) définit la famille des 3xx : 301 et 308 signifient un déménagement définitif de la ressource, 302, 303 et 307 un transfert temporaire. Dans tous les cas, la vraie destination voyage dans l'en-tête de réponse Location — le code de statut lui-même ne transporte aucune adresse. Un service de liens courts enregistre la correspondance code court → URL longue dans une base de données, la consulte une fois par requête et son travail s'achève dès qu'il renvoie un 3xx accompagné d'un en-tête Location. C'est pourquoi un lien court peut être si court, et pourquoi le décoder revient simplement à suivre les en-têtes Location.

Le décodage s'exécute côté serveur. Le client HTTP est configuré pour ne jamais suivre automatiquement les redirections : à chaque requête, il examine le code de statut — s'il s'agit d'un 3xx, il demande ensuite la valeur de Location (qui peut être un chemin relatif, résolu contre l'URL courante comme le permet la RFC 7231) ; tout autre code signifie que la page finale est atteinte. Chaque saut revalide que la cible est une adresse publique, afin qu'un lien malveillant ne puisse pas orienter la sonde vers un réseau interne (SSRF) ; la chaîne est plafonnée à 10 sauts, au-delà elle est déclarée boucle de redirection et stoppée. Chaque saut lit uniquement les en-têtes de réponse et ferme la connexion sans télécharger le corps de la page : la durée totale correspond donc pour l'essentiel à la somme des allers-retours réseau — quelques centaines de millisecondes en règle générale.

La limite de détection compte tout autant : Meta Refresh (<meta http-equiv="refresh">) et les redirections JavaScript vivent dans le contenu de la page et ne produisent aucun code HTTP — un serveur qui ne lit que les en-têtes ne peut pas les voir. Ces redirections « invisibles » ne surviennent qu'une fois la page réellement rendue par un navigateur. Enfin, certains services varient leur réponse selon le User-Agent ou la région du visiteur ; ce service interroge avec un User-Agent de navigateur générique afin que la chaîne affichée se rapproche de ce que verrait un visiteur réel.

• Un code 3xx (301/302/303/307/308) plus l'en-tête Location constituent tout le mécanisme de redirection ; la destination ne voyage que dans cet en-tête.
• Les redirections permanentes 301/308 sont mises en cache par les navigateurs et moteurs de recherche ; les temporaires 302/307 réinterrogent le service à chaque visite.
• Suivi saut par saut : à chaque 3xx, l'adresse de Location est demandée jusqu'à un code différent ; un plafond de 10 sauts protège contre les boucles.
• Location peut être un chemin relatif (autorisé par la RFC 7231) et est résolu contre l'URL du saut courant en une adresse absolue.
• Chaque saut ne lit que les en-têtes et ferme aussitôt la connexion, sans télécharger le corps de page — un décodage typique prend quelques centaines de millisecondes.
• Protection SSRF : chaque saut revalide l'adresse cible et refuse les plages privées/loopback, pour qu'un lien hostile ne puisse pas sonder un réseau interne.
• La même origine interdit au navigateur de lire les en-têtes de sites arbitraires : le décodage entre sites doit passer par un serveur.