Link encurtado esconde o destino: quando evitar e como medir campanha sem ele

Seu cliente recebe um SMS: "Seu boleto venceu, regularize em encurt.io/x7Kq2". Pode ser você. Pode ser um golpista que copiou o seu texto. Ele não tem como saber antes de tocar no link, porque o endereço curto apagou a única pista que importa: o domínio. A resposta curta: em conteúdo seu, publique a URL com o seu domínio visível. Se precisa medir campanha, coloque os parâmetros na própria URL. Se precisa de um link curto (SMS, material impresso), crie o redirecionamento no seu domínio, como loja.com.br/r/boleto, nunca num encurtador genérico.

E do outro lado, quando é você quem recebe um link curto e quer saber para onde ele vai, dá para descobrir o destino sem abrir no navegador. O comando está mais abaixo.

Por que o encurtador tira a pista do domínio

Um encurtador é um serviço que guarda uma tabela "código curto, URL longa" e responde com um redirecionamento HTTP (301 ou 302) com o cabeçalho Location apontando para o destino. O navegador segue sozinho. Quem vê o link antes do clique só enxerga o domínio do encurtador, que é o mesmo para o seu site, para o golpe e para qualquer outro link.

Isso tem três consequências. A pessoa perde a principal defesa contra phishing, que é olhar o domínio. Você treina o seu público a clicar em link opaco "porque a empresa manda assim", e o golpista aproveita esse hábito. E o seu link passa a depender de um terceiro: se o encurtador sair do ar ou mudar a regra, links impressos e publicados deixam de funcionar. O próprio encurtador do Google, o goo.gl, parou de criar links anos atrás e o Google anunciou o fim de boa parte dos redirecionamentos antigos. Quem tinha imprimido esses links em embalagem ficou sem destino.

Existe ainda a questão de privacidade: cada clique passa pelo servidor do encurtador, que registra IP, navegador, horário e o destino. Você entrega ao terceiro um histórico de quem clicou no quê, muitas vezes sem que isso esteja na sua lista de fornecedores.

Como publicar links sem esconder o destino

1. No site, use a URL final. Link interno não precisa de encurtador. Se a URL é longa demais, o problema é a URL, não o link.
2. Meça com parâmetros na URL real. Parâmetros UTM (utm_source, utm_medium, utm_campaign) funcionam na URL verdadeira, sem máscara.
3. Em e-mail, mostre o domínio no texto. "Acesse loja.com.br/pedidos" é melhor que "clique aqui".
4. Precisa de link curto? Use o seu domínio. Um caminho fixo, como /r/boleto, que redireciona para uma lista fechada de destinos.
5. Use 302 para campanha. Assim você pode mudar o destino depois sem o navegador ter guardado o redirecionamento permanente. Para endereços que nunca mudam, 301 serve.
6. Nunca encurte aviso de segurança. Redefinição de senha, boleto, alerta de login: domínio visível, sempre.

Exemplo: link curto no seu domínio com nginx

A loja quer um endereço curto para o SMS da campanha de outubro e para um QR code no folheto. Em vez de encurtador, dois blocos no nginx:

location = /r/outubro {
    return 302 https://loja.com.br/ofertas/outubro?utm_source=sms&utm_medium=sms&utm_campaign=outubro-2026;
}

location = /r/folheto {
    return 302 https://loja.com.br/ofertas/outubro?utm_source=folheto&utm_medium=impresso&utm_campaign=outubro-2026;
}

O SMS mostra loja.com.br/r/outubro: curto, e com o domínio que o cliente reconhece. A ferramenta de análise recebe os mesmos parâmetros que receberia do encurtador. E a lista de destinos é fechada, no seu controle: ninguém consegue usar o seu domínio para mandar visitante a outro site. Se você estiver pensando em aceitar o destino por parâmetro, como /r?url=..., leia antes por que URL aberta não é redirecionar. Para mais detalhes sobre códigos e boas práticas, veja redirecionar URL do jeito certo. E se você precisa mesmo construir um encurtador, o post encurtador de URL sem abuso cobre o lado de quem opera o serviço.

Teste depois de recarregar o nginx:

curl -sI https://loja.com.br/r/outubro

A resposta precisa trazer HTTP/2 302 (ou HTTP/1.1 302) e o location com a URL completa.

Como descobrir para onde um link curto vai sem clicar

O mesmo curl serve para inspecionar um link suspeito. A opção -I pede só os cabeçalhos e, sem -L, o curl não segue o redirecionamento:

curl -sI https://encurt.io/x7Kq2

Procure a linha location:. Se ela aponta para outro encurtador, repita com o novo endereço, um passo de cada vez. Alguns serviços respondem diferente a pedidos só de cabeçalho ou mostram uma página intermediária; nesse caso, não insista abrindo no navegador do trabalho. Muitos encurtadores conhecidos também oferecem uma página de prévia do destino; procure na ajuda do serviço como acessá-la.

Ensine isso ao suporte. "Recebi um link estranho em nome da empresa" vira uma verificação de dez segundos em vez de um palpite.

E-mail: o rastreamento de clique também esconde

Ferramentas de e-mail marketing costumam reescrever cada link para contar cliques: o texto diz loja.com.br/pedidos, mas o href aponta para o domínio da ferramenta. Na campanha comercial, você pode aceitar isso conscientemente. Em e-mail transacional e de segurança, desligue o rastreamento de clique; a maioria das ferramentas permite fazer isso por mensagem ou por tipo de envio. O link de redefinição de senha deve apontar direto para o seu domínio.

Erros comuns

• Encurtador genérico em SMS de cobrança. O cliente não distingue o seu link do golpe, e o golpe passa a copiar o seu formato.
• Link curto impresso de terceiro. Se o serviço acabar ou mudar de regra, o folheto vira papel sem destino.
• Redirecionador próprio com destino aberto. O seu domínio passa a servir de disfarce para phishing alheio.
• 301 em link de campanha. Navegadores guardam o redirecionamento permanente e você não consegue trocar o destino para quem já clicou.
• Rastreamento de clique em e-mail de senha. O link sensível passa por um domínio que o cliente não conhece.
• "Confie no remetente". Nome de remetente se falsifica fácil; domínio visível no link é a pista que sobra.

Checklist

• Links internos do site usam a URL final, sem encurtador.
• Campanhas são medidas com parâmetros na URL verdadeira.
• Links curtos usam o seu domínio e uma lista fechada de destinos.
• Redirecionamentos de campanha usam 302.
• E-mails de senha, cobrança e alerta não têm rastreamento de clique.
• O suporte sabe usar curl -sI para conferir um link suspeito.
• Nenhum material impresso depende de encurtador de terceiro.

Pegue o último SMS ou e-mail que a sua empresa mandou para clientes: o domínio da empresa aparece no link antes do clique, ou o cliente precisa adivinhar?