Expansor de links curtos

Expandir um link curto (o chamado "unshorten") é seguir um endereço encurtado de serviços como t.cn, bit.ly ou TinyURL até o destino real. O serviço de encurtamento guarda em um banco de dados a correspondência entre o código curto e a URL longa original: quando alguém visita o link curto, ele responde com um redirecionamento HTTP 3xx que leva o navegador à página verdadeira. Esta ferramenta consulta o link curto do servidor, etapa por etapa, segue o cabeçalho Location de cada redirecionamento e apresenta a URL final junto com a cadeia completa de redirecionamentos, a quantidade de etapas, o código de status de cada uma e o tempo total. É útil para verificar para onde um link desconhecido realmente leva antes de clicar, conferir se um link promocional configurado por você resolve corretamente e depurar configurações de redirecionamento. Vale conhecer dois limites: funcionam apenas os redirecionamentos transportados pelo HTTP — redirecionamentos dentro da página (Meta Refresh ou JavaScript) são invisíveis para a ferramenta —, e a URL expandida não é um atestado de segurança: um link de phishing redireciona com toda a normalidade, então o domínio de destino sempre merece sua própria avaliação.

Um link curto não é nada além de um serviço web que responde com um redirecionamento. A especificação HTTP (RFC 9110, antes RFC 7231) define a família 3xx: 301 e 308 indicam mudança definitiva do recurso, enquanto 302, 303 e 307 são temporários. Em todos os casos, o destino real viaja no cabeçalho de resposta Location — o código de status por si só não carrega endereço algum. O serviço de encurtamento guarda a correspondência entre código curto e URL longa em um banco de dados, consulta-a uma vez por requisição e cumpre sua missão no momento em que devolve um 3xx com um cabeçalho Location. É por isso que links curtos podem ser tão curtos — e por que expandi-lo se resume a seguir os cabeçalhos Location.

A expansão roda no servidor. O cliente HTTP é configurado para nunca seguir redirecionamentos automaticamente: a cada resposta ele examina o código de status — se for um 3xx, o valor do Location (que pode ser um caminho relativo, resolvido contra a URL atual conforme permite a RFC 7231) é solicitado em seguida; qualquer outra coisa significa que a página final foi alcançada. Cada etapa revalida que o alvo é um endereço público, para que um link malicioso não consiga apontar a sondagem para uma rede interna (SSRF), e a cadeia é limitada a 10 etapas — acima disso, é declarado loop de redirecionamento e interrompida. Cada etapa lê apenas os cabeçalhos de resposta e fecha a conexão sem baixar o corpo da página; o tempo total é, na essência, a soma das idas e vindas de rede de cada etapa — normalmente algumas centenas de milissegundos.

O limite de detecção importa tanto quanto o resto: Meta Refresh (<meta http-equiv="refresh">) e redirecionamentos por JavaScript vivem dentro do conteúdo da página e não geram código de status HTTP nenhum — um servidor que lê só os cabeçalhos não os enxerga. Esses redirecionamentos "invisíveis" só acontecem quando um navegador realmente renderiza a página. Por fim, alguns serviços variam a resposta conforme o User-Agent ou a região do visitante; este serviço consulta com um User-Agent genérico de navegador para que a cadeia exibida se aproxime do que um visitante real veria.

• Um código 3xx (301/302/303/307/308) mais o cabeçalho Location constituem todo o mecanismo de redirecionamento; o destino viaja apenas nesse cabeçalho.
• Redirecionamentos permanentes 301/308 são cacheados por navegadores e mecanismos de busca; os temporários 302/307 consultam o serviço a cada visita.
• Seguimento etapa por etapa: a cada 3xx, o endereço do Location é solicitado até chegar um status diferente; um limite de 10 etapas protege contra loops.
• Location pode ser um caminho relativo (permitido pela RFC 7231) e é resolvido contra a URL da etapa atual em um endereço absoluto.
• Cada etapa lê apenas os cabeçalhos e fecha a conexão de imediato, sem baixar o corpo da página — uma expansão típica leva algumas centenas de milissegundos.
• Proteção SSRF: cada etapa revalida o endereço de destino e rejeita faixas privadas/loopback, para que um link hostil não possa sondar uma rede interna.
• A política de mesma origem impede o navegador de ler cabeçalhos de sites arbitrários; por isso a expansão entre sites precisa passar por um servidor.