Cosa c'è dentro un URL: protocollo, host, path, query e frammento
Un URL non è magia: protocollo, host, path, query e frammento. Ecco come leggerlo pezzo per pezzo, senza panico, anche contro il phishing.
I link lunghi e pieni di simboli strani spaventano. Quando ricevi un messaggio con un indirizzo che occupa tre righe di schermo, l’istinto è trattarlo come magia nera — o come truffa.
In realtà un URL (Uniform Resource Locator) è un indirizzo strutturato. Funziona come un indirizzo postale: c’è un modo per spedire (protocollo), una destinazione (host), una via interna (path), eventuali istruzioni extra (query) e a volte il nome sul campanello (frammento). Imparare a scomporlo visivamente ti fa smettere di subire i link e iniziare a leggerli come fa un tecnico.
In questo articolo smonto l’URL pezzo per pezzo, isolo la parte che conta per la sicurezza (l’host) e faccio un mini-lab nella barra degli indirizzi — su Windows, macOS e Linux — senza panico.
La mappa dell’URL: come è fatto un indirizzo
Prendiamo un URL immaginario ma completo:
https://www.airiparo.it:443/guide/sicurezza?utm_source=newsletter#prerequisiti
Il browser lo divide in scompartimenti. Ecco la mappa.
| Componente | Esempio | Significato reale |
|---|---|---|
| Protocollo La lingua parlata | https:// |
Come il browser parla col server (qui: connessione cifrata). |
| Host (o dominio) Il server di destinazione | www.airiparo.it |
A chi stai dando i dati. È la parte da controllare per primo. |
| Porta Il canale d’ingresso | :443 |
Canale sul server. Spesso invisibile: il browser usa le porte predefinite. |
| Path (percorso) La risorsa logica | /guide/sicurezza |
Quale pagina o risorsa chiedi dentro quel server. |
| Query string Parametri aggiuntivi | ?utm_source=newsletter |
Dati extra: ricerca, filtri, tracciamento campagne. |
| Frammento Ancora locale | #prerequisiti |
Sezione della pagina sul tuo dispositivo; di regola non va al server. |
Ora ogni pezzo nel dettaglio: cosa significa e dove possono nascondersi i rischi.
1. Il protocollo (https://)
Il protocollo è la prima istruzione e termina con ://. Dice al browser come chiedere i dati.
Nel 99% dei casi moderni vedi https:// (Hypertext Transfer Protocol Secure). La S indica connessione cifrata: chi intercetta il Wi‑Fi non legge facilmente password e form. Con solo http:// (senza S) il traffico è in chiaro e, sulla stessa rete, qualcuno potrebbe sniffare i dati.
💡 Consiglio pratico — HTTPS ≠ sito onesto
HTTPS garantisce che comunichi in modo cifrato con quel server. Se il server è di un truffatore, invii dati in modo «sicuro»… al criminale. Il lucchetto dice connessione cifrata, non entità affidabile.
Approfondimento: Cos’è HTTPS e perché il lucchetto del browser non basta.
Altri protocolli che puoi incontrare: mailto: (apre il client email), ftp:// (trasferimento file; sui browser moderni è quasi sparito).
2. L’host e i sottodomini (www.airiparo.it)
Questa è la zona critica. L’host è l’identificativo del server a cui ti colleghi. Se c’è un solo posto dove deve cadere l’occhio contro il phishing, è qui.
L’host inizia subito dopo :// e finisce al primo / (o ai : se c’è una porta esplicita).
Si legge da destra verso sinistra:
.it— estensione (TLD, Top Level Domain)airiparo— dominio di secondo livello (quello registrato e pagato)www— sottodominio
Molti pensano che www sia «il sito». Tecnicamente è solo una convenzione. Un sottodominio può essere qualsiasi cosa: blog.airiparo.it, login.airiparo.it, sicurezza.airiparo.it.
⚠️ Attenzione — L’inganno del sottodominio
Un URL comehttps://paypal.com.conferma-dati.it/non porta a PayPal. Leggendo da destra a sinistra, il dominio reale èconferma-dati.it. «paypal.com» è solo un sottodominio ingannevole. L’host finisce sempre prima del primo slash.
Esiste anche lo userinfo raro prima dell’host: utente:password@host.com. Un tempo serviva all’autenticazione automatica; oggi i browser lo bloccano quasi sempre, perché serviva a mostrare nomi famosi prima della @.
3. La porta (:443)
Subito dopo l’host puoi vedere :443 (o altri numeri). È la porta di rete.
Se l’host è il condominio, la porta è l’interno a cui bussare. Sul web le porte standard sono:
- 80 — HTTP in chiaro
- 443 — HTTPS cifrato
Il browser le nasconde: digitando https://www.google.com sa già di usare la 443. La vedi scritta quando qualcuno usa porte non standard (es. http://localhost:8080 in sviluppo).
4. Il path (/guide/sicurezza)
Il path inizia col primo / dopo l’host e indica la risorsa che vuoi.
Storicamente rispecchiava cartelle sul disco del server. Oggi, con CMS e app web, è quasi sempre una rotta logica: non esiste per forza una cartella fisica guide/ con dentro sicurezza.html; il server interpreta la stringa e costruisce la pagina.
Il trailing slash (/guide/sicurezza/ vs senza barra) un tempo distingueva cartella e file. Oggi molti siti li trattano in modo elastico, ma tecnicamente possono essere due URL distinti.
5. La query string (?utm_source=newsletter)
Dopo il punto interrogativo ? inizia la query string: parametri passati al server come coppie chiave-valore separate da &.
Esempio: ?colore=rosso&taglia=M.
Oggi è anche l’habitat del tracciamento. Da newsletter o social l’URL si allunga con utm_source=, fbclid= e simili: spesso non cambiano la pagina che vedi, ma dicono al sito da quale campagna arrivi.
🚨 Avviso critico — Niente segreti in query
I parametri finiscono in chiaro nei log del server, nella cronologia del browser e possono essere visti da sistemi intermedi. Mai password, token o dati sanitari/personali in query string. Le app scritte bene mandano i dati sensibili in richieste POST (fuori dall’URL), non in GET.
6. Il frammento (#prerequisiti)
Il cancelletto # introduce il frammento.
Particolarità: è un’istruzione per il client (il tuo browser). Nella richiesta HTTP tipica il browser chiede l’URL fino al cancelletto; il server manda la pagina; poi il browser cerca l’ancora (id) e scorre lì.
Nei miei test su stack standard (Apache/Nginx), il frammento non compare nei log di accesso. Per questo è utile nelle SPA per navigare senza ricaricare tutto.
Caso limite: JavaScript lato client può leggere l’hash e poi ritrasmettere qualcosa al server in una chiamata asincrona. Per la lettura visiva dell’URL, resta valida la regola: dopo # = azione locale.
7. Encoding: i caratteri «strani» (%20)
A volte vedi %20, %3F, sequenze strane. Non è malware automatico.
L’URL accetta un set limitato di caratteri (standard di rete). Spazi, accenti e alcuni simboli vengono convertiti (URL encoding). %20 è semplicemente uno spazio. Cercare «scarpe rosse» può diventare ?ricerca=scarpe%20rosse.
Lab: smonta un link nella barra degli indirizzi
Sui telefoni Safari e Chrome spesso mostrano solo l’host. Sul desktop puoi espandere tutto.
Windows
- Apri Chrome, Edge o Firefox.
- Vai su un sito che usi spesso (e‑commerce o ricerca).
- Fai una ricerca qualsiasi (es. «zaino»).
- Clicca una volta nella barra degli indirizzi per selezionare l’URL intero (a volte serve un secondo clic).
- Copia (
Ctrl + C) e incolla in Blocco note.
macOS
- Apri Safari, Chrome o Firefox.
- Stesso percorso: sito → ricerca → clic nella barra.
- Copia (
Cmd + C) e incolla in TextEdit (formato testo).
Linux
- Apri Firefox o Chrome/Chromium.
- Stessi passi: ricerca → clic nella barra → copia (
Ctrl + C) → editor di testo.
Cosa etichettare a occhio
- Trova
://→ protocollo - Trova il primo
/dopo l’host → fine host - Cerca
?→ query / tracciamento - C’è un
#? → frammento locale
Su smartphone (Android / iOS): molti browser mostrano solo l’host. Per vedere l’URL completo: tieni premuto sul link prima di aprirlo (WhatsApp, Mail, SMS) oppure, nella barra, tocca l’indirizzo e scorri a sinistra/destra. Se non riesci a espanderlo, non «fidarti del blu»: usa Condividi → Copia link e incolla in Note.
Opzionale (più tecnico): apri gli strumenti sviluppatore (F12 su Windows/Linux, Cmd + Option + I su macOS) → scheda Network / Rete → aggiorna la pagina → prima richiesta → voce Request URL: lì vedi l’indirizzo non «edulcorato».
Checklist: leggere l’URL per non farsi fregare
Quando arriva un link sospetto (SMS, email, WhatsApp):
- Non fidarti del testo blu. Il testo cliccabile ≠ destinazione. Passa il mouse sopra (o tieni premuto su mobile) e leggi l’URL reale prima di aprire.
- Cerca il primo slash solitario. L’host finisce lì.
- Leggi l’host da destra a sinistra. In
https://amazon.login-sicuro-supporto.com/il dominio reale èlogin-sicuro-supporto.com. - Il lucchetto non ti salva dal phishing. Se il dominio è truffaldino, HTTPS cifra il viaggio… verso il truffatore.
Per i lookalike tipografici (caratteri quasi uguali) c’è il micro Leggere l’URL contro il phishing; qui la regola base resta: host prima di tutto.
Domande Frequenti (FAQ)
Quali sono le parti di un URL?
Protocollo (https://), host/dominio (www.sito.it), path (/cartella/pagina), query string (?parametro=valore) e frammento (#sezione). A volte compare anche la porta (:443).
Che differenza c’è tra host, dominio e path?
Il dominio è il nome registrato (es. airiparo.it). L’host include dominio e sottodomini (es. www.airiparo.it). Il path è ciò che viene dopo e indica la risorsa sul server.
Cos’è la query string?
La parte che inizia con ?. Serve a passare dati alla pagina: ricerche, filtri, codici di campagna (UTM). Non metterci segreti.
A cosa serve il # (frammento) in un link?
È un’ancora locale: il browser scorre a una sezione della pagina già caricata. Di regola non viene inviato al server nella richiesta HTTP iniziale.
Perché alcuni URL hanno %20 o numeri strani?
È l’URL encoding: spazi e caratteri speciali diventano sequenze %…. %20 = spazio. Non è, di per sé, un virus.
Il testo blu del link è sempre uguale all’indirizzo vero?
No. Email e pagine possono mostrare un testo rassicurante e nascondere un URL diverso. Ispeziona sempre la destinazione reale.
HTTPS nel protocollo basta a dire che il link è sicuro?
No. Garantisce cifratura del transito, non l’onestà del server. Anche i siti truffa usano HTTPS. Controlla l’host.
Se vuoi il pezzo sul lucchetto e sul TLS (cosa protegge e cosa no): Cos’è HTTPS e perché il lucchetto del browser non basta.
Se ti interessa cosa parte dopo un consenso cookie (rete e script): Cosa succede quando clicchi «Accetta tutti i cookie».
