短.be短链接虽然便利性高，但存在链接目标不可见这一安全隐患。OWASP (Open Web Application Security Project) 的 Cheat Sheet (截至 2026 年 10 月) 将"未验证的重定向和转发"视为 Web 应用重定向到不可信输入中所含网址的问题，转发至所提交网址的短链接也与这一问题相关。本文将基于技术依据解说短链接的安全风险与对策。
作为短链接的安全风险，可以举出链接目标网址被隐藏这一点。普通网址可以通过域名在一定程度上判断链接目标的可信度。然而，短链接的目标不明，可能被恶意利用引导至钓鱼网站或恶意软件分发网站。由于短链接可以隐藏跳转目标，有时会被用作钓鱼攻击的掩护。
以下介绍 3 种典型的钓鱼攻击模式。第一，在伪装成正规服务的邮件中嵌入短链接，引导至虚假登录页面。由于短链接隐藏了域名，收件人难以区分正规网站。第二，在 SNS 帖子或私信中包含短链接，引导至恶意软件下载页面。第三，还有将恶意短链接嵌入二维码并在公共场所张贴的"QRishing"手法。
预览功能是短链接安全的基本对策。也有短链接服务提供可以事先确认链接目标信息的预览功能。通过预览可以确认跳转目标网址、页面标题、OGP 信息、是否使用 HTTPS 等，可作为辨别可疑链接的线索。
确认 HTTPS 是重要的安全检查点。如果链接目标未使用 HTTPS，通信内容存在被窃听的风险。特别是涉及登录信息或个人信息输入的页面链接，先确认是否使用 HTTPS，更容易保护所输入的内容。
技术对策方面，也可以利用 CSP (Content Security Policy) 头和 Referrer 策略的设置。也有利用 CSP 头的 navigate-to 指令限制页面跳转目标域名的思路。不过，navigate-to 在现行的 CSP 规范中无法得到确认，因此将其作为辅助思路较为现实。将 Referrer 策略 (Referrer-Policy 头) 设置为 strict-origin-when-cross-origin 后，向短链接服务等其他源发出请求时，发送的 Referrer 不超过源，因此重定向来源页面的路径和查询不会发送给第三方。
利用密码保护功能可以限制短链接的访问。分享机密性高的信息时，使用带密码的短链接，并通过其他通信手段 (电话、其他消息应用等) 分享密码，可以增强安全性。
设置有效期也可以用作安全对策。为短链接设置有效期，可以降低不再需要的链接被长期滥用的风险。从安全角度来看，也有将重定向网址的有效期控制在必要长度的思路。
缺点方面，安全对策过于严格会降低便利性，存在权衡关系。强制显示预览会成为点击率下降的原因，在营销用途中可能适得其反。根据用途灵活调整安全级别是重要的。机密信息的分享应同时使用密码保护和有效期，营销用途则将预览功能作为可选项提供，这是较为现实的平衡方案。
作为组织的安全策略，可以考虑制定仅使用可靠短链接服务的规则。不点击来源不明的短链接、内部分享仅使用经批准的服务、定期开展安全教育等，提升整个组织的安全意识是重要的。