Prywatność skracarki linków — na co patrzeć, zanim zaufasz

Wszyscy radzą: weź pierwszą lepszą skracarkę, byle link był krótki. Moim zdaniem to błąd, i to z tych, które wracają do Ciebie po miesiącu, gdy już dawno o sprawie zapomniałeś.

Bo skracarka nie jest neutralnym kawałkiem tekstu. To pośrednik, który stoi między Twoim klientem a stroną docelową i przez ułamek sekundy ma dostęp do wszystkiego, co ten klient ze sobą przyniósł. IP, przeglądarka, język, godzina. Większość darmowych usług żyje właśnie z tego momentu. Nie z reklamy na stronie, nie z subskrypcji. Z handlu tym, co dzieje się pomiędzy.

Wyobraź sobie newsletter do 4000 osób. Wklejasz jeden skrócony link, ludzie klikają, a Ty dwa tygodnie później dowiadujesz się, że dostawca odsprzedaje dane o kliknięciach brokerom. Każda z tych 4000 osób wylądowała w czyimś profilu marketingowym. Bez Twojej wiedzy. Bez ich zgody. I to Ty wysłałeś im ten link.

Co dokładnie znika w tej jednej sekundzie

Kliknięcie najpierw trafia na serwer skracarki, dopiero potem leci pod właściwy adres. W tym czasie dostawca może spokojnie:

• zapisać pełne IP klikającego,
• odczytać User-Agent, Referer i język,
• ustawić własne cookie w swojej domenie,
• doczepić do przekierowania parametry, które rozpozna sieć reklamowa.

Tu jest haczyk, o którym mało kto mówi. To wszystko dzieje się po stronie serwera. Żadne AdBlock ani Privacy Badger w przeglądarce Twojego odbiorcy tego nie ruszy. Decyduje wyłącznie to, jak skracarkę zbudowano. Reszta to teatr.

Trzy pytania, na które dokumentacja albo odpowiada, albo nie

A jeśli nie odpowiada na te trzy pierwsze, to już masz odpowiedź. Tylko nie tę, którą chciałeś.

Co się dzieje z IP? To jest serce sprawy. Są trzy warianty i naprawdę dzieli je przepaść. Surowe IP w bazie to najgorszy scenariusz: pełen adres przypięty do każdego kliknięcia, czyli dane osobowe, które ktoś trzyma, niby zabezpiecza i może nimi obracać. Drugi wariant, brak IP w ogóle, jest bezpieczny, ale traci sens, bo nie masz nawet licznika. I trzeci, hashowane IP, który jest tym rozsądnym środkiem. Adres przechodzi przez jednokierunkowy hash, więc policzysz unikalne kliknięcia, ale nikt nie odtworzy listy nazwisk. W cutty IP są hashowane od razu przy zapisie, zanim cokolwiek wyląduje w bazie. Statystyki masz, profilu konkretnej osoby nie wyciągniesz. Ani Ty, ani ja, ani sąd.

Są cookie i skrypty obcych firm? Otwórz docelową stronę w incognito, włącz DevTools i patrz w Network oraz Application. Czysta skracarka robi jedno przekierowanie 301 albo 302 i koniec. Jeśli zamiast tego widzisz coś takiego:

# tak wygląda zła robota: kilka domen po drodze + cookie marketingowe
Set-Cookie: _ga=...; domain=.skracarka.example
GET https://ads-tracker.example/pixel?ref=...

to wiesz już, na czym ta usługa zarabia. Pixel, cookie reklamowe, lądowanie pośrednie z banerem. Uciekaj.

Gdzie stoją serwery? Nie czepiam się formalności. Jeśli dane lecą poza Unię, wchodzą w grę inne reżimy dostępu służb i inne zasady przekazywania. Skracarka hostowana w UE oznacza, że kliknięcia podlegają europejskiemu prawu i że za danymi stoi administrator, do którego realnie dotrzesz. A nie regulamin napisany pod jurysdykcję, o której nigdy nie słyszałeś.

Reputacja domeny to też prywatność

O tym pamięta mało kto. Współdzielona darmowa końcówka, na której tysiące ludzi hostuje spam i phishing, bywa po prostu blokowana przez filtry pocztowe i antywirusy. Twój czysty, uczciwy link wpada wtedy w to samo sito co reszta śmieci. Własna, markowa domena omija ten problem, bo jej reputacją zarządzasz sam. Nikt jej za Ciebie nie spali.

A VPN? VPN nie wystarczy

Tu zawsze pada ten argument: „przecież mam VPN, blokuję cookie, jestem bezpieczny". No nie do końca. VPN zamaskuje IP, fakt. Ale Referer, godzina, język i samo to, że kliknięto, i tak trafią na serwer skracarki. Klikający broni się tylko częściowo i nie ma na to większego wpływu. Realna decyzja leży po stronie tego, kto wybiera dostawcę. Czyli po Twojej.

Dwie minuty, zanim podepniesz to pod cokolwiek

Krótki rytuał przed kampanią czy newsletterem. Skróć testowy link. Kliknij w incognito z otwartym DevTools. Policz przekierowania (ma być jedno) i zerknij na cookie. Potem przeszukaj dokumentację pod kątem słów „IP", „hash", „retention", „EU". Czegoś brak? Napisz do supportu. Cisza w odpowiedzi to też odpowiedź.

Aha, jedno na koniec. Jeśli rozdajesz link offline, na plakacie albo wizytówce, to kod QR dziedziczy całą prywatność po skracarce, na której go zrobiłeś. Generujesz QR z hashowanym IP i nie zbierasz danych o przechodniach, którzy go skanują. Ludzie o tym zapominają, bo QR „wygląda niegroźnie".

Prywatność nie jest tu funkcją premium. Jest decyzją projektową, którą da się sprawdzić w pięć minut z otwartym DevTools. Jeśli zależy Ci na skracarce, która hashuje IP, hostuje w UE i nie doczepia pikseli, cutty.dev jest jednym z miejsc, gdzie te trzy rzeczy są domyślne, a nie w cenniku. A teraz szczerze: kiedy ostatnio sprawdziłeś, co robi skracarka, której właśnie używasz?