Layanan & Tools

Punycode Converter

Membongkar penulisan asli sebuah domain dan mengenali domain tiruan sebelum tautannya diklik.

± 5 menitPerlu login

Nama domain boleh memakai huruf non-Latin, sedangkan DNS hanya mengenal ASCII. Jembatannya adalah punycode: münchen.de disimpan sebagai xn--mnchen-3ya.de. Celahnya, huruf о Sirilik tampak persis seperti o Latin — cukup untuk membuat alamat palsu yang di layar terbaca sama dengan alamat resmi. Alat ini membongkar penulisan sebenarnya dari sebuah domain sebelum Anda mengekliknya.

  1. 1

    Buka alatnya

    Sidebar: Layanan → Tools, lalu pada kelompok Keamanan pilih Punycode Converter. Bisa juga lewat pintasan Tools di Dashboard.

  2. 2

    Tempel domain atau tautannya

    Kolom ini menerima nama domain maupun URL utuh. Bagian selain nama domain — skema, jalur, tanda tanya, nomor port, bahkan bagian sebelum @ pada alamat email — dibuang otomatis, dan halaman memberi tahu bagian mana yang akhirnya diperiksa.

    Formulir konversi
    Nama domain atau URLjogjaprоv.go.id
    Konversi

    Tidak ada data yang dikirim

    Seluruh konversi dan pemeriksaan berjalan di browser Anda. Domain yang Anda tempel — termasuk tautan phishing yang baru Anda terima — tidak dikirim ke server mana pun dan tidak tercatat di mana pun.

  3. 3

    Pilih arah konversi bila perlu

    Bawaannya Otomatis: domain yang memuat huruf non-Latin diubah ke punycode, domain yang berawalan xn-- dikembalikan ke Unicode. Tombol Unicode → Punycode dan Punycode → Unicode memaksa satu arah tertentu. Mengganti arah langsung menghitung ulang hasilnya, jadi panel di bawah tidak pernah menampilkan hasil arah yang lama.

  4. 4

    Baca kedua bentuk domainnya

    Hasil selalu ditampilkan lengkap dalam dua baris — bentuk Unicode dan bentuk punycode — dan baris yang merupakan hasil konversi Anda ditandai hasil konversi. Tombol salin ada di ujung tiap baris.

    Hasil konversi
    Unicodejogjaprоv.go.id
    Punycode (ASCII)xn--jogjaprv-tbh.go.id
    Baris punycode inilah yang benar-benar dituju browser saat tautan diklik.

    Kalau domainnya seluruhnya ASCII, kedua baris akan sama persis dan halaman menyebutkan hal itu — bukan tanda alat sedang bermasalah.

  5. 5

    Baca verdict keamanannya

    Ada tiga kemungkinan, dan alasannya selalu ditulis dengan kata, bukan hanya warna:

    Tiga tingkat verdict
    Tidak ditemukan indikasi domain tiruanPerlu diperiksaBerisiko — kemungkinan domain tiruan

    Berisiko muncul saat satu label mencampur dua aksara (misalnya Latin + Sirilik), saat sebuah label ditulis penuh dengan aksara non-Latin namun terbaca sebagai kata Latin, atau saat ditemukan karakter tak terlihat. Perlu diperiksa muncul untuk domain non-ASCII yang wajar, seperti huruf beraksen pada domain Eropa.

    Bila penulisannya menyamar, halaman menambahkan baris Sekilas terbaca sebagai berisi ejaan ASCII yang ditiru domain itu — di contoh ini jogjaprov.go.id, padahal alamat sebenarnya xn--jogjaprv-tbh.go.id.

    Verdict aman bukan berarti situsnya aman

    Pemeriksaan di sini hanya menilai penulisan nama domainnya. Domain ASCII biasa pun bisa dipakai untuk phishing. Kalau tautannya datang dari pesan yang tidak Anda harapkan, jangan diklik dan laporkan ke tim CSIRT DIY lewat menu Bantuan.

  6. 6

    Telusuri karakter dan labelnya

    Tabel Karakter yang perlu diperhatikan memuat setiap karakter non-ASCII beserta code point-nya. Code point inilah bukti yang bisa Anda teruskan ke petugas — bentuk hurufnya justru bagian yang tidak bisa dipercaya. Karakter tak terlihat tidak digambar, melainkan ditulis tak terlihat pada kolom pertama.

    Karakter yang perlu diperhatikan
    KarakterCode pointAksaraCatatan
    оU+043ESirilikMirip huruf "o"

    Tabel Rincian per label memecah domain per label — bagian yang dipisahkan titik — karena punycode dikodekan per label, bukan per domain utuh. Di situ terlihat label mana yang sebenarnya bermasalah.

Kebiasaan yang dianjurkan

  • Periksa tautan sebelum diklik, bukan setelah halamannya terbuka.
  • Curigai tautan yang mendesak Anda memasukkan password @jogjaprov.go.id, walau tampilannya meyakinkan.
  • Salin bentuk punycode-nya saat melapor ke petugas — bentuk itu tidak bisa disamarkan.

Kalau bermasalah

"Masukkan nama domain terlebih dahulu"
Kolom masih kosong, atau yang Anda tempel hanya berisi jalur URL tanpa nama domain. Tempel alamat lengkapnya.
"Nama domain memuat titik ganda atau titik di awal"
Ada titik berlebih pada teks yang ditempel, biasanya sisa potongan kalimat. Rapikan hingga tersisa nama domainnya saja.
"Label punycode memuat karakter yang tidak sah" atau "Label punycode terpotong"
Teks berawalan xn-- itu bukan punycode yang sah — kemungkinan tersalin sebagian. Salin ulang alamat lengkapnya.
Kenapa domain Jepang atau Korea tidak ditandai berisiko?
Bahasa tersebut memang ditulis dengan beberapa aksara sekaligus, jadi kombinasi Han dengan kana atau Hangul dihitung wajar. Yang ditandai adalah campuran yang tidak punya alasan bahasa, seperti Latin dengan Sirilik.
Hasil konversi saya berbeda dengan yang ditampilkan browser
Alat ini menerapkan pemetaan huruf besar-kecil dan normalisasi NFC seperti browser, bukan seluruh aturan IDNA2008. Untuk kasus yang tidak lazim, sampaikan domainnya ke tim CSIRT DIY.
Tombol salin tidak berfungsi
Sebagian browser menolak akses clipboard di luar koneksi aman. Blok teksnya lalu salin manual.

Istilah

IstilahArti
PunycodeCara menuliskan nama domain non-ASCII memakai huruf ASCII, ditandai awalan xn--.
LabelBagian nama domain di antara dua titik. jogjaprov.go.id punya tiga label.
HomographDomain yang memakai huruf mirip agar terbaca sama dengan domain lain.
Code pointNomor resmi sebuah karakter di Unicode, ditulis U+043E dan sebagainya.

Panduan lain di kelompok ini