주소창 표기 비교: 브라우저 6종에서 토토사이트 접속주소를 읽는 차이

같은 주소 한 줄, 브라우저마다 다른 요약본이 뜬다

주소창에 찍힌 글자는 실제로 요청된 주소의 전문이 아니라 브라우저가 나름의 규칙으로 다듬어 놓은 요약본이다. 크롬 계열은 앞쪽 스킴과 www를 숨기고, 아이폰 사파리는 경로와 파라미터를 지운 채 등록 도메인만 남기며, 삼성인터넷은 화면 폭이 모자라면 뒷부분을 말줄임표로 잘라낸다. 같은 토토사이트 주소 한 줄을 두 사람이 각자 열었는데도 화면에 남은 글자가 달라 보이는 일이 생기는 이유가 여기에 있다.

표기 차이가 성가신 수준에서 끝나면 다행이지만, 가짜 접속주소를 가려낼 때는 판정 자체를 뒤집는다. 위장 주소는 사람이 놓치기 쉬운 자리에 글자를 심어 둔다. 앞쪽 서브도메인에 익숙한 브랜드명을 붙이거나, 뒤쪽 경로에 진짜 도메인처럼 보이는 단어를 넣거나, 도메인 중간에 생김새가 비슷한 문자를 한 글자 섞는 식이다. 브라우저가 어느 구간을 진하게 보여 주고 어느 구간을 지우느냐에 따라 그 장치가 한눈에 드러나기도 하고 통째로 가려지기도 한다.

정리하면 주소창은 판독 도구이되 배율이 기기마다 다른 도구다. 어느 화면이 무엇을 보여 주고 무엇을 감추는지 미리 알아 두면, 최신주소를 새로 받았을 때 굳이 어느 창을 열어 대조할지 고를 수 있다. 아래 비교는 기본 설정 상태를 기준으로 정리했고, 설정을 손대면 달라지는 항목은 본문에서 따로 짚었다.

브라우저 6종, 주소창이 보여 주는 것과 감추는 것

표에서 가장 눈에 띄는 대비는 파이어폭스와 사파리다. 한쪽은 파라미터 꼬리까지 전부 남기고, 다른 쪽은 슬래시 뒤를 통째로 지운다. 그래서 링크모음에서 복사해 온 주소가 원문 그대로인지 확인하려면 데스크톱 파이어폭스나 전체 URL 표시를 켠 크롬이 낫고, 도메인 철자 하나만 빠르게 훑고 싶을 때는 오히려 군더더기를 지워 주는 사파리가 편하다. 용도에 따라 창을 갈아타는 셈이다.

인앱브라우저 행이 표 맨 아래에 있는 건 순서상 마지막이라서가 아니라, 판정 근거가 0에 가깝기 때문이다. 나머지 다섯 환경은 적어도 도메인 한 조각은 보여 주지만 인앱 화면은 제목만 띄운다. 주소가 보이지 않는 화면에서 내린 진위 판단은 판단이 아니라 짐작이다.

진한 글자로 칠해진 구간이 사실상 결론이다

크롬·엣지·파이어폭스가 주소창 일부만 진하게 칠하는 건 장식이 아니다. 그 구간이 실제 소유권이 걸린 등록 도메인, 즉 확장자 바로 앞 한 덩어리다. major-toto.example.com이 열렸다면 진한 글자는 example.com이고 앞의 major-toto는 회색으로 남는다. 앞쪽에 아무리 익숙한 이름이 붙어 있어도 그 페이지의 주인은 회색이 아니라 검은 글자 쪽이다.

이 규칙 하나만 몸에 익혀도 링크모음에서 자주 마주치는 위장 유형의 절반가량이 정리된다. 실제로 수집해 둔 위장 주소 20여 개를 훑어보면 브랜드명을 서브도메인 자리로 밀어 넣은 형태가 가장 흔하고, 그다음이 경로 첫 칸에 브랜드명을 넣어 슬래시를 점처럼 보이게 만든 형태다. 두 유형 모두 진한 글자 구간만 소리 내어 읽으면 1초 안에 걸러진다. 읽는 순서는 항상 확장자에서 왼쪽으로 한 칸이다.

퓨니코드를 펼쳐 주는 브라우저와 그대로 두는 브라우저

라틴 문자 사이에 키릴 문자나 그리스 문자를 섞은 도메인은 눈으로는 거의 구분되지 않는다. 브라우저들은 이런 혼용을 감지하면 xn--으로 시작하는 퓨니코드 원문으로 되돌려 보여 주는 정책을 두고 있는데, 감지 조건과 예외 처리가 제품마다 다르다. 특정 조합에서는 한 브라우저가 xn--을 노출하는데 다른 브라우저는 멀쩡한 알파벳처럼 그려 주는 상황이 실제로 나온다.

그래서 주소창에 xn--이 떴다면 그건 오류 표시가 아니라 경고음에 가깝다. 정상적인 한글 도메인도 퓨니코드로 표시될 수 있으니 무조건 가짜라는 뜻은 아니지만, 라틴 알파벳으로만 이뤄졌다고 믿었던 주소에서 xn--이 나왔다면 그 안에 다른 문자 체계가 섞여 있다는 뜻이다. 이때는 주소를 메모장에 붙여넣어 원문 형태를 확인하고, 같은 주소를 다른 브라우저에서도 한 번 더 열어 표기가 갈리는지 본다.

모바일 화면 폭과 글꼴이 만드는 사각지대

세로 모드 스마트폰 주소창에 들어가는 글자는 대체로 28자 안팎이다. 이보다 긴 주소는 어딘가가 잘리고, 삼성인터넷과 크롬 모바일은 보통 뒤쪽을 잘라 낸다. 문제는 캠페인 파라미터나 리다이렉트 흔적처럼 판정에 쓸모 있는 정보가 대개 뒤쪽에 몰려 있다는 점이다. 주소창을 한 번 탭해 편집 모드로 들어가면 전문이 펼쳐지니, 모바일에서 대조할 때는 이 동작을 습관으로 만들어 두는 편이 낫다.

글꼴도 변수다. 주소창에 쓰이는 산세리프 글꼴에서는 rn 두 글자가 m처럼 보이고, 대문자 I와 소문자 l이 같은 세로줄로 그려지며, 숫자 0과 알파벳 O의 구분도 흐릿하다. iOS와 안드로이드가 쓰는 기본 글꼴이 다르기 때문에 아이폰에서는 티가 나던 차이가 안드로이드에서는 사라지기도 한다.

대조가 필요한 순간에는 주소를 복사해 메모 앱이나 코드 편집기처럼 고정폭 글꼴을 쓰는 곳에 붙여넣는 방법이 가장 확실하다. 글자 폭이 일정해지면 rn과 m의 차이가 눈에 들어오고, 공백이 섞여 들어왔는지도 함께 드러난다.

인앱브라우저에는 애초에 판정할 재료가 없다

메신저나 SNS 안에서 링크를 누르면 열리는 화면은 상단에 페이지 제목만 띄우는 경우가 많다. 제목은 사이트 운영자가 임의로 적는 문자열이라 위조 비용이 사실상 0이다. 진짜 주소를 흉내 낸 문자열을 제목 자리에 박아 두면 이용자는 주소를 확인했다고 착각한 채 아이디와 비밀번호를 입력하게 된다.

해결은 단순하다. 화면 구석의 더보기 메뉴에서 외부 브라우저로 열기를 누르는 것이다. 이 한 번의 동작으로 주소창이 있는 환경으로 넘어가고, 그제야 등록 도메인과 경로를 읽을 수 있다. 인앱 화면에서 로그인 폼을 먼저 마주쳤다면 입력은 멈추고 브라우저를 옮긴 뒤 다시 판단한다.

리다이렉트가 멈춘 뒤의 주소창을 읽는다

주소모음에서 받은 링크는 중간 경유지를 한두 번 거치고 최종 페이지에 닿는 경우가 흔하다. 이때 판정 대상은 클릭한 주소가 아니라 이동이 완전히 멈춘 뒤 주소창에 남은 문자열이다. 페이지 로딩 표시가 사라지고 2~3초 정도 더 기다린 다음 읽어야 하는데, 자바스크립트로 한 번 더 튀는 구조에서는 로딩이 끝난 것처럼 보이고도 주소가 한 차례 더 바뀌기 때문이다.

브라우저별로 이 흔적이 남는 방식도 다르다. 서버 측 301 이동은 뒤로 가기 기록에 경유지를 남기지 않아 깔끔하게 최종 주소만 보이지만, 메타 리프레시나 스크립트 이동은 기록을 그대로 쌓아 뒤로 가기를 눌러도 같은 자리로 되돌아오는 루프를 만든다. 뒤로 가기가 먹히지 않는다면 서버가 정식으로 주소를 옮긴 게 아니라 페이지 안에서 밀어낸 구조라는 신호로 읽는다.

한 줄을 네 화면에 동시에 올려 본 밤

지인이 단체방에 올린 접속주소 한 줄을 두고 의견이 갈린 적이 있다. 한 사람은 아이폰에서 열어 보고 깔끔하다고 했고, 다른 사람은 노트북에서 열었다가 뭔가 이상하다고 했다. 같은 문자열인데 결론이 달랐으니 화면을 맞춰 보는 수밖에 없었고, 데스크톱 크롬과 파이어폭스, 아이폰 사파리, 안드로이드 삼성인터넷 네 곳에 같은 주소를 차례로 붙여넣었다.

사파리에는 확장자를 포함한 도메인 한 덩어리만 떴다. 삼성인터넷에는 앞쪽 스무 글자쯤이 보이고 나머지가 말줄임표로 접혔다. 크롬에서는 진한 글자 구간이 기대했던 이름이 아니라 처음 보는 단어였고, 파이어폭스로 옮겨서야 슬래시 뒤에 익숙한 브랜드명이 통째로 들어가 있는 구조가 드러났다. 진짜 이름은 경로 안에 있었고 소유자는 전혀 다른 도메인이었던 것이다.

여기서 남은 교훈은 어느 브라우저가 우월하다는 게 아니라, 판정용 창을 미리 정해 두라는 쪽에 가깝다. 이후로는 새 주소를 받으면 무조건 전체 URL이 보이는 데스크톱 창에 한 번 붙여넣고 진한 글자 구간부터 읽는다. 걸리는 시간은 10초 남짓인데, 그날처럼 단체방에서 20분을 소모하는 일은 사라졌다.

주소창만으로 결론이 나지 않을 때

철자도 맞고 진한 글자 구간도 기억하던 것과 같은데 화면 구성이 어딘가 낯설다면 주소창은 거기서 할 일을 다 한 셈이다. 다음 단계는 자물쇠 아이콘을 눌러 인증서 발급 대상과 발급 시점을 확인하고, 발급일이 며칠 전으로 찍혀 있다면 도메인 변경 공지 시점과 맞춰 보는 것이다. 두 날짜가 어긋나면 주소는 같아도 뒤에 붙은 서버가 바뀌었을 가능성을 의심한다.

그래도 판단이 서지 않으면 로그인 정보는 넣지 않은 채 창을 닫고, 평소 쓰던 확인 경로를 통해 주소를 다시 받아 대조한다. 주소창 판독은 위장을 걸러 내는 1차 관문이지 최종 승인 도장이 아니다. 표기 규칙을 알아 두는 목적도 결국 어느 화면의 말을 얼마나 믿을지 스스로 정하는 데 있다.