体験 ／ URLチェッカー
そのURL、本当に公式？
番組のラウンド4でAIに作らせた判定関数と同じルールで判定します。URLの読み取りには、このブラウザ自身の仕組み（WHATWG URL Standard）を使うので、プログラムとブラウザの「読み違い」が起きません。判定はこのページの中だけで行い、入力したURLはどこにも送りません。「公式に一致」は行き先のドメインが一致したという意味で、ページの中身まで安全とは限りません。最後は、公式アプリやブックマークから確かめてください。
判定
—
URLチェッカーの使い方
- 「調べたいURL」に、気になるリンクのURLを貼ります。メールやSMSのリンクは開かずに、URLだけをコピーして貼ってください。
- 「あなたが使う公式ドメイン」に、ふだん使う銀行やお店の公式ドメインを1行に1つ書きます。
- 判定を見ます。「公式に一致」は、行き先（転送先もふくむ）のドメインがリストと一致したという意味です。ページの中身まで安全とは限らないので、ログインや支払いは公式アプリかブックマークから行ってください。
- 「危険（公式ではない）」や「危険（読み取れないURL）」と出たら、そのリンクは開かないでください。
判定はこのページの中だけで行い、入力したURLはどこにも送りません。見た目で見分けにくい偽サイトの例は、偽サイトの見分け方（3秒クイズ）で体験できます。
ラウンド4 URLの抜け道 解説
ブラウザとプログラムで、行き先が変わるURL
同じURLでも、ブラウザとプログラムでは読み方が違うことがあります。攻撃者はそのずれを狙います。各AIには、ブラウザ（WHATWG URL Standard）とまったく同じように読んで「安全／危険」を返すPythonの関数を作らせ、38パターンの隠しテストで採点しました。
① https://[email protected]/ 本当の行き先 → secure-login.example（「@」の後ろ） ② https://secure-login.example\@sakuramirai.example/ ブラウザ → secure-login.example（「\」を区切りとして読む） Pythonの標準ライブラリ → sakuramirai.example（そのまま読むと、こう見える） ③ https://sakuramirai.example/redirect?url=https://secure-login.example/ 公式サイトの転送機能で、外へ連れ出す
「安全」と判定してよいのは、次のすべてを満たすときだけ、というルールです。
- ブラウザと同じようにURLを読み取れること
- https であること
- 「名前@」が付いていないこと
- ポートが標準（指定なし、または443）であること
- 実際の行き先が、公式ドメインそのものか、そのサブドメインであること（IPアドレスは不可）
- 転送先などのパラメーターの行き先も、2〜5を満たすこと
結果は、Claude 4体と Gemini 4 Argon が38点満点、Gemini 3.8 Flash が36点。GPT-6 Astra と GPT-6.1 Sol は「標準ライブラリだけでは、ブラウザと同じ解釈は保証できない」としてコードを出さず0点（確認のための2回目も、Solはコードなし、Astraは「すべて危険」と返す暫定コード）。GPT-6.1 Terra は「すべて危険」と返す暫定コードで、危険な24パターンは正解、安全な14パターンはすべて不正解の24点でした。下の「URLチェッカー」は、このルールのとおりに判定します。