पुनीकोड (Punycode) वाले नकली डोमेन को पहचानने के लिए लिंक कॉपी करें, उसमें से सिर्फ़ डोमेन नाम रखें और उसे Punycode में बदलें। अगर कोई नाम जो सिर्फ़ सामान्य अंग्रेज़ी अक्षरों में होना चाहिए, जैसे irctc.co.in या paypal.com, बदलने के बाद xn-- से शुरू होता है, तो उसमें किसी दूसरी लिपि के अक्षर छिपे हैं और वह असली साइट नहीं है। हमारा मुफ़्त Punycode कन्वर्टर यह काम एक क्लिक में करता है, बिना अकाउंट के, किसी भी ब्राउज़र से।
इस लेख के सारे रूपांतरण 2 नवंबर 2026 को किए गए, या तो कन्वर्टर में लाइव या उसी PHP फ़ंक्शन से जो हमारे सर्वर पर चलता है (idn_to_ascii, ICU 71.1)। ब्राउज़र का व्यवहार Chrome 156 में और Chromium व Mozilla के प्रकाशित IDN नियमों से जाँचा गया।
डोमेन में xn-- का मतलब क्या है
डोमेन नाम लगभग किसी भी भाषा के अक्षरों में हो सकते हैं: भारत.भारत, münchen.de, пример.рф। लेकिन DNS सिर्फ़ ASCII अक्षर, अंक और हाइफ़न समझता है, इसलिए हर ऐसा हिस्सा Punycode में सहेजा जाता है, जिसकी शुरुआत xn-- से होती है। भारत.भारत असल में xn--h2brj9c.xn--h2brj9c है।
धोखा यहीं होता है। रूसी (सिरिलिक) लिपि में कुछ अक्षर बिल्कुल अंग्रेज़ी जैसे दिखते हैं: а (U+0430), е, о, р, с, ѕ। इनसे लिखा डोमेन स्क्रीन पर किसी ब्रांड जैसा दिखता है, पर DNS में वह बिल्कुल अलग नाम है जिसे कोई भी रजिस्टर कर सकता है। इसे IDN होमोग्राफ़ अटैक कहते हैं। स्क्रीन पर दिखने वाले अक्षर धोखा दे सकते हैं, एन्कोडिंग नहीं। इसलिए Punycode में बदलना सबसे भरोसेमंद जाँच है।
अभी कोई लिंक जाँचें: डोमेन को Punycode कन्वर्टर में पेस्ट करें और Punycode/ASCII में बदलें चुनें।
30 सेकंड में डोमेन कैसे जाँचें
- लिंक कॉपी करें, ख़ुद टाइप न करें। कंप्यूटर पर राइट-क्लिक करके Copy link address चुनें। फ़ोन पर लिंक को दबाकर रखें और Copy चुनें। ख़ुद टाइप करेंगे तो नकली अक्षर अनजाने में ठीक हो जाएँगे।
- सिर्फ़ डोमेन रखें।
https://हटा दें, और अगर पहले स्लैश से पहले कहीं@है तो@समेत उससे पहले का सब कुछ हटा दें। डोमेन के बाद का पाथ (/login) रहने दे सकते हैं। - बदलें। इसे Punycode कन्वर्टर में पेस्ट करें, Punycode/ASCII में बदलें चुनें और सबमिट करें।
- नतीजा पढ़ें। अगर डोमेन वैसा ही लौटता है, तो सारे अक्षर सामान्य ASCII हैं। अगर किसी अंग्रेज़ी ब्रांड नाम का कोई हिस्सा अब
xn--से शुरू होता है, तो पेज बंद कर दें।
असली उदाहरण: कन्वर्टर क्या दिखाता है
हर पंक्ति वही है जो आपको किसी ईमेल, SMS या WhatsApp संदेश में दिखेगा। नकली डोमेन इस टेस्ट के लिए बनाए गए हैं, इन्हें न खोलें।
| आपको क्या दिखता है | नतीजा | मतलब |
|---|---|---|
аpple.com | xn--pple-43d.com | नकली: पहला अक्षर सिरिलिक है। लाइव टेस्ट। |
irсtc.co.in | xn--irtc-m6d.co.in | नकली: बीच वाला с सिरिलिक है और पढ़ने लायक हिस्से से ग़ायब हो जाता है। |
ѕbi.co.in | xn--bi-doc.co.in | नकली: ѕ सिरिलिक है। |
аррӏе.com | xn--80ak6aa92e.com | नकली और पूरा सिरिलिक। यही डोमेन Xudong Zheng ने 2017 में इस हमले को दिखाने के लिए रजिस्टर किया था। |
भारत.भारत | xn--h2brj9c.xn--h2brj9c | असली IDN: देवनागरी डोमेन के लिए xn-- सामान्य है। |
ａｐｐｌｅ.com (फ़ुल-विड्थ) | apple.com | धोखा नहीं: फ़ुल-विड्थ अक्षर सामान्य ASCII बन जाते हैं, ब्राउज़र में भी ऐसा ही होता है। |
g00gle.com | g00gle.com | बदला नहीं, फिर भी नकली: शून्य ASCII हैं, कोई IDN जाँच इसे नहीं पकड़ती। |
आख़िरी हाइफ़न से पहले वाला पढ़ने लायक हिस्सा सिर्फ़ ASCII अक्षर रखता है। अगर वहाँ ब्रांड के अक्षर कम हैं (irtc, bi), तो वही अक्षर बदले गए हैं।
हमेशा इसी दिशा में बदलें, उल्टी दिशा में नहीं
अगर कोई आपको xn-- वाला पता भेजे, तो उसे डिकोड करना ज़्यादा काम का नहीं। हमने xn--80ak6aa92e.com को IDN/टेक्स्ट में बदलें से चलाया तो аррӏе.com मिला, जो ज़्यादातर फ़ॉन्ट में apple.com जैसा ही दिखता है। डिकोड करने पर वही दिखता है जो ठग आपको दिखाना चाहता है। जो दिख रहा है उसे एन्कोड करने पर असलियत दिखती है।
ब्राउज़र हर बार क्यों नहीं बचाता
- Chrome, Edge और Brave (Chromium) डोमेन के हर हिस्से को अलग से जाँचते हैं। Chromium की प्रकाशित IDN नीति के मुताबिक़, जो हिस्सा लैटिन, सिरिलिक या ग्रीक को मिलाता है वह
xn--रूप में दिखता है, और पूरी तरह सिरिलिक हिस्सा जो अंग्रेज़ी जैसा दिखे वह भी, सिवाय उन एक्सटेंशन के जहाँ सिरिलिक सामान्य है, जैसे.ru,.ua,.bgया.kz।аррӏе.comजैसे मामले Chrome वर्ज़न 58 (2017) से पकड़ता है। - Firefox लिपियों का मिश्रण रोकता है, लेकिन Mozilla का प्रकाशित IDN एल्गोरिदम जानबूझकर उन डोमेन को अनुमति देता है जो पूरी तरह किसी मिलती-जुलती लिपि में लिखे हों। हमेशा
xn--रूप देखने के लिएabout:configखोलें औरnetwork.IDN_show_punycodeकोtrueकरें। - बाक़ी हर जगह (ईमेल, SMS, WhatsApp, PDF, सोशल मीडिया बायो) लिंक बस किसी फ़ॉन्ट में लिखा टेक्स्ट है, जिसे कोई नहीं जाँचता। ऐसे डोमेन इन्हीं रास्तों से आते हैं, और कन्वर्टर यहीं काम आता है।
लिंक को Notepad में पेस्ट करने से भी कुछ पता नहीं चलता: कॉपी-पेस्ट यूनिकोड अक्षरों को वैसे ही रखता है। और ताले का निशान कोई सबूत नहीं है। नकली डोमेन को भी किसी और डोमेन की तरह वैध सर्टिफ़िकेट मिल सकता है (Zheng का डेमो HTTPS पर चलता था), जो xn-- नाम के लिए जारी होता है। सर्टिफ़िकेट क्या साबित करता है और क्या नहीं, यह SSL सर्टिफ़िकेट कैसे जाँचें में देखें।
वो ग़लतियाँ जिनसे जवाब ग़लत आता है
पूरा URL पेस्ट करना
कन्वर्टर सिर्फ़ डोमेन की उम्मीद करता है। लाइव टेस्ट में https://аpple.com/login का नतीजा xn--https://pple-49j.com/login आया, जिसका कोई मतलब नहीं। IDN/टेक्स्ट में बदलें मोड में https://xn--80ak6aa92e.com/ बिना बदले लौटा, यानी साफ़ लगा। पहले https:// हटाएँ। पाथ से फ़र्क़ नहीं पड़ता: аpple.com/login से xn--pple-43d.com/login मिलता है।
@ वाली चाल
https://accounts.google.com@аpple.com/ में @ से पहले का सब कुछ यूज़रनेम है। असल में खुलने वाली साइट аpple.com है। पूरी स्ट्रिंग पेस्ट करेंगे तो नतीजा बिगड़ जाता है (accounts.google.xn--com@pple-46g.com), इसलिए सिर्फ़ @ के बाद वाला हिस्सा जाँचें।
डोमेन को ग़लत तरफ़ से पढ़ना
डोमेन का असली मालिक उसका आख़िरी हिस्सा तय करता है। аpple.com.evil.example से xn--pple-43d.com.evil.example मिलता है, पर सामान्य अक्षरों में भी apple.com.evil.example उसी का है जिसके पास evil.example है। डोमेन को दाएँ से बाएँ पढ़ें। भारत में सरकारी साइटें आम तौर पर .gov.in पर ख़त्म होती हैं।
एक साथ कई डोमेन
एक बार में एक डोमेन बदलें। अलग-अलग लाइनों में दो डोमेन डालने पर नतीजा बिगड़ जाता है (पहली लाइन .xn--com पर ख़त्म हुई), क्योंकि लाइन ब्रेक को लेबल का हिस्सा मान लिया जाता है।
ख़ाली नतीजा
ग़लत Punycode, जैसे xn--zz.com, देने पर नतीजे का बॉक्स ख़ाली आता है और कोई एरर नहीं दिखता (लाइव टेस्ट)। ख़ाली का मतलब सुरक्षित नहीं, बल्कि यह कि लेबल अमान्य है, और लिंक में यह ख़ुद शक की बात है।
सिर्फ़ सामान्य अक्षरों वाले नकली डोमेन
m की जगह rn, l की जगह 1, o की जगह 0, या sbi-kyc-update.com जैसे जोड़े गए शब्द पूरी तरह ASCII हैं और बिना बदले लौटते हैं। ऐसे मामलों में Whois लुकअप करें (किसी ब्रांड का असली डोमेन आम तौर पर सालों पुराना होता है, फ़िशिंग डोमेन अक्सर कुछ हफ़्ते पुराना) और हमारी गाइड कोई वेबसाइट असली है या नहीं कैसे जाँचें पढ़ें।
कब xn-- बिल्कुल सामान्य है
सिर्फ़ xn-- होना ख़तरे का निशान नहीं है। हिंदी और दूसरी भारतीय भाषाओं के डोमेन में यह आम है: भारत.भारत का रूप xn--h2brj9c.xn--h2brj9c है। रूसी टेस्ट डोमेन пример.рф का रूप xn--e1afmkfd.xn--p1ai है। चेतावनी सिर्फ़ तब है जब xn-- किसी ऐसे नाम में दिखे जो सिर्फ़ अंग्रेज़ी अक्षरों में लिखा जाना चाहिए, जैसे कोई बैंक, IRCTC या बड़ा ऑनलाइन स्टोर।
अगर नकली डोमेन मिल जाए
- उस पेज पर कुछ भी टाइप न करें। असली साइट बुकमार्क से या पता ख़ुद टाइप करके खोलें। बैंक के लिए आधिकारिक ऐप बेहतर है।
- अपने पासवर्ड मैनेजर पर ध्यान दें: वह सिर्फ़ बिल्कुल सही डोमेन पर लॉगिन भरता है। अगर वह आपका सेव किया लॉगिन नहीं दिखाता, तो डोमेन मेल नहीं खाता।
- लिंक की शिकायत Google Safe Browsing (safebrowsing.google.com, Report phishing) पर और नकल किए गए ब्रांड से करें। अगर पैसे या जानकारी चली गई हो, तो तुरंत 1930 पर कॉल करें या cybercrime.gov.in पर शिकायत दर्ज करें।
- अगर लिंक QR कोड में आया था, तो पहले उसे QR कोड रीडर से डिकोड करें, फिर डोमेन जाँचें। बाक़ी जानकारी QR कोड सुरक्षित है या नहीं कैसे जाँचें में है।
अभी कोई संदिग्ध लिंक है? उसका डोमेन Punycode कन्वर्टर में चलाएँ। यह मुफ़्त है और अकाउंट की ज़रूरत नहीं; विज़िटर को रोज़ 5 बार इस्तेमाल मिलता है, और मुफ़्त अकाउंट (कोई स्पैम नहीं) यह सीमा हटा देता है। छोटे किए गए लिंक के लिए URL रीडायरेक्ट चेकर बिना खोले बताता है कि वे कहाँ ले जाते हैं, और DNS लुकअप दिखाता है कि डोमेन कहाँ पॉइंट करता है।
अक्सर पूछे जाने वाले सवाल
URL में xn-- का मतलब क्या है?
यह Punycode लेबल का निशान है: डोमेन के उस हिस्से का ASCII रूप जिसमें ग़ैर-ASCII अक्षर हैं। xn-- के बाद का हिस्सा उन अक्षरों को एन्कोड करता है। लिंक जाँचने के लिए जो नाम दिख रहा है उसे एन्कोड करें और मिलाएँ।
क्या हर xn-- डोमेन धोखा है?
नहीं। देवनागरी, सिरिलिक, चीनी या उच्चारण-चिह्न वाले अक्षरों के डोमेन जायज़ तौर पर xn-- इस्तेमाल करते हैं। यह चेतावनी सिर्फ़ तब है जब यह ऐसे नाम में दिखे जो सिर्फ़ अंग्रेज़ी अक्षरों में होना चाहिए, जैसे कोई बैंक या बड़ा ब्रांड।
मेरा ब्राउज़र कुछ डोमेन को xn-- रूप में क्यों दिखाता है?
Chrome, Edge, Firefox और Safari किसी डोमेन के जोखिम भरा लगने पर xn-- रूप दिखाते हैं, जैसे जब उसमें लैटिन और सिरिलिक अक्षर मिले हों। Chromium ब्राउज़र ग़ैर-सिरिलिक एक्सटेंशन पर पूरी तरह सिरिलिक नकल भी पकड़ते हैं। Firefox उन्हें यूनिकोड में दिखाता है, जब तक आप network.IDN_show_punycode चालू न करें।
क्या ताले का निशान साबित करता है कि साइट असली है?
नहीं। नकली डोमेन को कुछ ही मिनटों में वैध HTTPS सर्टिफ़िकेट मिल सकता है। ताला सिर्फ़ यह बताता है कि कनेक्शन उसी डोमेन से एन्क्रिप्टेड है, और वह डोमेन नकली भी हो सकता है।
टेक्स्ट एडिटर में लिंक पेस्ट करने पर xn-- क्यों नहीं दिखता?
कॉपी-पेस्ट यूनिकोड अक्षरों को ज्यों का त्यों रखता है, इसलिए सिरिलिक а अब भी लैटिन a जैसा दिखता है। सिर्फ़ असली रूपांतरण, जैसे हमारे कन्वर्टर में Punycode/ASCII में बदलें, एन्कोड किया हुआ नाम दिखाता है।
क्या Punycode कन्वर्टर मुफ़्त है?
हाँ। यह मुफ़्त है और अकाउंट की ज़रूरत नहीं; यह सिर्फ़ आपका पेस्ट किया टेक्स्ट बदलने के लिए हमारे सर्वर पर भेजता है। विज़िटर को रोज़ 5 रूपांतरण मिलते हैं, और मुफ़्त अकाउंट (कोई स्पैम नहीं) यह सीमा हटा देता है।
