Outlook Safelink Decoder

Safelink 解码器可解析和提取由安全链接保护服务包裹的原始 URL。许多企业邮件安全产品（Microsoft Defender for Office 365 / ATP Safe Links、Proofpoint URL Defense、Mimecast URL Protect、Cisco Email Security 等）会对收到的邮件中的所有链接进行重写——将原始 URL 包裹在安全扫描服务的域名下。该工具解析这些包裹 URL，提取查询参数中编码的真实目标链接，帮助安全分析师了解邮件用户即将访问的实际目标。

Safelink 解码器在安全运营中是实用利器。SOC 分析师在处理用户上报的可疑邮件时，所有链接都被公司邮件网关重写为 safelinks.protection.outlook.com 包裹格式——需要解码才能看清真实目的地。威胁情报分析师在分享 IOC 时可能收到包裹后的 URL，需要解码还原为原始的恶意域名或钓鱼页面地址。开发安全自动化 SOAR playbook 时，解码 Safe Links 是分析流程中的关键步骤。个人用户收到带有 safelinks 前缀的链接时，也可以用解码器确认是否安全后再点击。

配合 URL 安全化处理 对解码后的可疑 URL 进行无害化处理，或使用 数据提取器 从解码结果中提取域名、IP 等关键信息。

不同的安全链接服务使用不同的编码方案：

• Microsoft Safe Links：URL 格式为 https://<region>.safelinks.protection.outlook.com/?url=<encoded-url>&data=...。原始 URL 经过 URL 编码存储在 url 参数中，直接 URL 解码即可还原。
• Proofpoint URL Defense：URL 格式为 https://urldefense.proofpoint.com/v2/url?u=<encoded-url>&d=...。原始 URL 同样在 u 参数中。支持 v2 和 v3 两种版本。
• Mimecast URL Protect：使用 Mimecast 的专有域包裹链接，原始 URL 通过 Base64 或其他编码存储在参数中。
• URL 双重编码：部分服务对原始 URL 进行多次 URL 编码——需要递归解码直到不再包含 %XX 转义字符。

• 多层包裹：一封邮件可能被多个安全产品先后处理——第一层是 Mimecast 的包裹，里面是 Microsoft Safe Links 的包裹，再里面才是真实 URL。需要循环解码。
• 扫描时效性：安全链接的"实时点击检查"只在用户点击时生效。邮件送达时生成的包裹 URL 在数小时或数天后可能因链接过期而失效。
• 原始 URL 修改：部分安全服务会在解码后的 URL 中附加追踪参数或修改 scheme——解码器应尽力还原为清洁的原始 URL。
• 不对用户透明：大多数用户不知道他们的链接被安全服务重写了——当他们尝试"复制链接地址"时得到的是包裹 URL。这就是为什么解码器对用户也很重要。

在分析安全服务包裹的可疑链接、处理用户上报的钓鱼邮件、或在 SOAR 自动化 playbook 中解码 URL 时使用此工具。对于需要编程化批量解码的场景，推荐使用 safelinks-decoder（Python）或编写针对已知安全服务域名的 URL 解码函数——核心逻辑只是 URL 解码参数提取。