Come Verificare se un Link è Sicuro Prima di Cliccare: Guida 2026

Cliccare su un link sbagliato può costare caro: furto di credenziali, malware, truffe bancarie e violazioni della privacy iniziano quasi sempre da un URL malevolo mascherato bene. In Italia, i dati della Polizia Postale mostrano che il phishing e le frodi online sono aumentati costantemente negli ultimi anni, colpendo sia privati che aziende. La buona notizia è che, con qualche accortezza e i giusti strumenti, puoi verificare se un link è sicuro in meno di trenta secondi.

In questa guida ti mostro esattamente come analizzare un URL sospetto prima di cliccarci sopra, quali servizi gratuiti usare, come riconoscere i segnali tipici di una truffa e cosa fare se sospetti di essere già caduto in trappola.

Cosa significa "link sicuro" e perché è importante verificarlo

Un link sicuro è un URL che porta a una pagina web legittima, ospitata su un dominio affidabile, servita tramite connessione cifrata (HTTPS) e priva di contenuti malevoli come script di tracciamento aggressivo, malware, kit di phishing o reindirizzamenti nascosti. Verificarlo prima di cliccare è la difesa più efficace contro la maggior parte degli attacchi informatici indirizzati agli utenti finali.

La verifica è particolarmente critica in tre scenari: link ricevuti via SMS o WhatsApp da mittenti sconosciuti, email che imitano banche o corrieri (Poste Italiane, SDA, BRT, INPS, Agenzia delle Entrate sono i marchi più imitati), e link accorciati che nascondono la destinazione reale.

7 controlli rapidi da fare prima di cliccare su qualsiasi link

Ecco la checklist che uso personalmente. Puoi eseguirla in pochi secondi senza strumenti tecnici particolari.

Leggi l'URL per intero: passa il mouse sopra il link (senza cliccare) e guarda l'anteprima in basso a sinistra nel browser. Su smartphone, tieni premuto il dito sul link per vedere l'URL completo.
Controlla il dominio principale: il dominio è la parte prima del primo "/" dopo "https://". Se ti aspetti poste.it e vedi poste-it.security-check.com, è una truffa.
Cerca errori di battitura: domini come amaz0n.it, paypa1.com o poște.it (con caratteri cirillici) sono trappole classiche.
Verifica HTTPS e il lucchetto: la mancanza di HTTPS è un campanello d'allarme, anche se il solo lucchetto non garantisce legittimità.
Diffida degli URL accorciati sospetti: bit.ly, tinyurl e simili possono nascondere qualsiasi destinazione.
Attenzione al contesto: hai davvero fatto un ordine? Aspetti davvero quel pacco? Se la risposta è no, il link è probabilmente phishing.
Valuta il tono del messaggio: urgenza ("il tuo account sarà bloccato in 24 ore"), minacce o premi troppo generosi sono red flag classiche.

Migliori strumenti gratuiti per verificare un link sospetto

Se i controlli manuali non ti bastano, ci sono servizi online affidabili che analizzano gli URL usando database di minacce aggiornati in tempo reale. Ecco quelli che consiglio.

VirusTotal

VirusTotal (virustotal.com) è lo standard de facto. Incolla l'URL nella barra di ricerca e in pochi secondi ottieni il verdetto di oltre 70 motori antivirus e servizi di reputazione. Se anche solo 3-4 motori segnalano il link come malevolo, evitalo. È gratuito, non richiede registrazione e funziona anche da smartphone.

Google Safe Browsing

Vai su transparencyreport.google.com/safe-browsing/search e incolla l'URL. Google mantiene uno dei database di siti pericolosi più grandi al mondo ed è la fonte usata da Chrome, Firefox e Safari per bloccare automaticamente i siti a rischio.

URLVoid e Sucuri SiteCheck

URLVoid (urlvoid.com) aggrega informazioni da oltre 30 blacklist e mostra dati su chi ha registrato il dominio e quando. Sucuri SiteCheck (sitecheck.sucuri.net) esegue una scansione tecnica del sito cercando malware iniettato, defacement e blacklist attive.

PhishTank

PhishTank (phishtank.org) è un database collaborativo specializzato in phishing verificato dalla community. Utile per verificare campagne di phishing recenti che imitano marchi italiani.

Come espandere un link accorciato senza cliccarlo

Gli URL abbreviati sono comodissimi per il marketing e i social, ma nascondono la destinazione reale. Per vederla senza aprire il link:

Vai su unshorten.it o checkshorturl.com.
Incolla il link accorciato nella barra di ricerca.
Il servizio ti mostrerà l'URL completo di destinazione, spesso con un'anteprima della pagina e una valutazione di sicurezza.
Se l'URL espanso sembra sospetto, non aprirlo e segnala il link originale.

Molte piattaforme di accorciamento moderne includono già protezioni integrate. Ad esempio, servizi come Lunyb scansionano automaticamente le destinazioni per bloccare link a siti di phishing o malware conosciuti, offrendo un livello di sicurezza in più sia a chi crea il link sia a chi lo clicca. Se lavori con link professionali, puoi approfondire nella nostra guida alle migliori piattaforme di gestione link 2026.

I segnali tipici di un link di phishing

Riconoscere i pattern usati dai truffatori ti rende praticamente immune al 90% degli attacchi. Ecco i più comuni in Italia.

Domini che imitano marchi conosciuti

I criminali registrano domini simili a quelli reali sfruttando piccole differenze visive: poste-italiane.com invece di poste.it, agenziaentrate-rimborso.net invece di agenziaentrate.gov.it, intesa-sanpaolo.info invece di intesasanpaolo.com. Ricorda: le istituzioni italiane usano quasi sempre domini .it o .gov.it.

Sottodomini ingannevoli

Un URL come poste.it.verificaconto.xyz non appartiene a Poste Italiane. Il dominio reale è verificaconto.xyz; "poste.it" è solo un sottodominio scelto per ingannarti. Leggi sempre l'URL da destra verso sinistra fino al primo "/".

Estensioni di dominio sospette

Estensioni come .tk, .top, .xyz, .click, .cn, .ru sono legittime ma frequentemente abusate dai truffatori perché economiche e senza controlli. Diffida se un presunto ente italiano ti scrive da uno di questi domini.

Richieste di dati sensibili

Nessuna banca, PA o corriere ti chiederà mai via link di inserire PIN, password complete, codici OTP, dati della carta di credito o SPID. Se un link ti porta a un form che richiede queste informazioni, chiudilo immediatamente.

Tabella comparativa: strumenti per verificare i link

Strumento	Cosa analizza	Gratuito	Ideale per
VirusTotal	70+ motori antivirus e reputazione	Sì	Verifica generale rapida
Google Safe Browsing	Database Google di siti malevoli	Sì	Controllo phishing e malware
URLVoid	30+ blacklist, dati WHOIS	Sì	Analisi reputazione dominio
Sucuri SiteCheck	Malware iniettato, defacement	Sì	Verifica siti web compromessi
PhishTank	Database phishing verificato	Sì	Riconoscere truffe recenti
Unshorten.it	Espansione URL accorciati	Sì	Link brevi sospetti

Come verificare un link su smartphone

Su mobile è più facile cadere in trappola perché la barra degli indirizzi è più corta e spesso non mostra l'URL completo. Ecco come proteggerti:

Tieni premuto sul link senza rilasciare: iOS e Android mostreranno l'URL completo in anteprima insieme all'opzione "Copia".
Copia il link invece di aprirlo.
Incollalo su VirusTotal o Google Safe Browsing dal browser.
Attiva la protezione di Chrome/Safari: Impostazioni > Sicurezza > Navigazione sicura (livello "Migliorato" se disponibile).
Diffida degli SMS con link brevi: gli SMS di phishing (smishing) sono il vettore d'attacco più cresciuto in Italia negli ultimi due anni.

Protezioni a livello di rete: browser, DNS ed estensioni

Oltre alla verifica manuale, puoi aggiungere strati di protezione automatici che filtrano i link malevoli prima ancora che tu li veda.

DNS pubblici con filtro anti-malware

Cambiare i server DNS del router o del dispositivo con provider che filtrano i domini malevoli è una delle protezioni più efficaci e gratuite. Opzioni popolari: Quad9 (9.9.9.9), Cloudflare Family (1.1.1.3) e NextDNS. Bloccano automaticamente le connessioni a siti di phishing e malware noti a livello di rete.

Browser con protezione integrata

Brave, Firefox e Chrome hanno tutti protezioni anti-phishing integrate basate su Google Safe Browsing o database proprietari. Assicurati che siano attive nelle impostazioni di sicurezza.

Estensioni consigliate

Per il desktop, estensioni come uBlock Origin (blocca script e domini malevoli), Bitdefender TrafficLight e Malwarebytes Browser Guard aggiungono un ulteriore filtro senza rallentare la navigazione.

Cosa fare se hai già cliccato su un link sospetto

Se sospetti di essere caduto in una trappola, agisci subito seguendo questi passaggi in ordine:

Disconnetti il dispositivo da internet per bloccare eventuali download in corso o esfiltrazione di dati.
Non inserire alcuna credenziale nella pagina aperta, anche se sembra legittima.
Cambia immediatamente le password dei servizi potenzialmente compromessi, iniziando da email e home banking. Usa un dispositivo diverso e sicuro.
Attiva l'autenticazione a due fattori ovunque possibile.
Esegui una scansione antivirus completa con Windows Defender, Malwarebytes o un antivirus di fiducia.
Controlla i movimenti bancari nelle 48 ore successive e blocca la carta se necessario.
Segnala l'incidente alla Polizia Postale tramite commissariatodips.it, e se hai subito un danno economico sporgi denuncia formale.

Se il link era parte di una truffa telefonica o SMS, leggi anche la nostra guida completa per segnalare un numero di truffa.

Consigli extra per proteggere la tua famiglia

La sicurezza digitale è un tema familiare. Anziani e bambini sono i bersagli preferiti dai truffatori perché meno abituati a riconoscere i segnali di allarme. Ecco alcune abitudini da instillare:

Regola d'oro: mai cliccare su link ricevuti da mittenti sconosciuti, nemmeno per curiosità.
Insegna ai familiari a digitare l'indirizzo del sito direttamente nel browser invece di seguire link, specialmente per banche e PA.
Attiva la protezione anti-phishing sul router di casa tramite DNS filtrati: proteggi tutti i dispositivi connessi con una configurazione unica.
Concorda una parola d'ordine familiare per verificare messaggi urgenti che chiedono soldi o dati, anche se sembrano provenire da familiari.
Controlla periodicamente le autorizzazioni delle app installate sui dispositivi dei minori.

GDPR, Garante Privacy e link non sicuri

Se gestisci un sito web o una newsletter aziendale, sappi che secondo il GDPR e le linee guida del Garante per la Protezione dei Dati Personali sei responsabile della sicurezza dei link che invii ai tuoi utenti. Un link compromesso che espone dati personali può costituire un data breach da notificare entro 72 ore. Usare piattaforme di gestione link con scansione integrata e statistiche verificabili — come approfondiamo nella recensione di TinyURL e nella recensione di T2M — riduce significativamente il rischio.

FAQ: Domande frequenti sulla verifica dei link

Il lucchetto HTTPS garantisce che un sito è sicuro?

No. Il lucchetto indica solo che la connessione tra il tuo browser e il sito è cifrata, non che il sito sia legittimo. Oggi oltre l'80% dei siti di phishing usa HTTPS perché i certificati SSL sono gratuiti (Let's Encrypt). Controlla sempre il dominio, non solo il lucchetto.

Posso fidarmi dei link accorciati?

Dipende dalla piattaforma e dal contesto. I link accorciati da servizi affidabili con scansione integrata (come Lunyb) sono generalmente sicuri, ma qualsiasi link breve andrebbe espanso con unshorten.it se ricevuto da mittenti sconosciuti. Non fidarti mai di un link breve arrivato in un SMS non richiesto.

Quanto è affidabile VirusTotal?

Molto affidabile per identificare minacce note, ma può avere falsi negativi su attacchi zero-day (campagne di phishing appena lanciate non ancora in database). Se anche 3-5 motori su 70 segnalano un URL come malevolo, considera il link pericoloso. Se sono tutti puliti ma il contesto è sospetto, resta comunque prudente.

Come faccio a sapere se il sito della mia banca è quello vero?

Non cliccare mai su link a banche ricevuti via email o SMS. Digita l'indirizzo direttamente nel browser (es. intesasanpaolo.com) o usa l'app ufficiale scaricata da App Store/Google Play. Le banche italiane non ti chiederanno mai codici OTP, PIN completi o credenziali via link.

I link su WhatsApp sono sicuri?

WhatsApp non scansiona automaticamente i link. Un link inviato da un contatto conosciuto può comunque essere pericoloso se il contatto è stato compromesso o inganato. Applica gli stessi controlli di email e SMS: verifica il dominio, espandi i link brevi e diffida di richieste di dati sensibili.

Conclusione

Verificare un link prima di cliccare richiede pochi secondi ma può risparmiarti settimane di grattacapi. Memorizza almeno due strumenti (io consiglio VirusTotal e Google Safe Browsing), attiva le protezioni integrate del tuo browser, considera un DNS filtrato a livello di rete e coltiva il sano dubbio verso qualsiasi comunicazione non richiesta. La tecnologia offre difese formidabili, ma la tua attenzione resta l'antivirus più efficace.