上周同事发来一个短链接，检测说点开就能领某电商平台的网址百元券。我多看了一眼——域名是安全http://t.cn-verify-login.xyz，跟微博短链毫无关系。检测没点。网址后来用检测工具扫了一下，安全页面里藏着伪装成登录框的检测钓鱼脚本。这种事现在太常见了，网址网址安不安全，安全肉眼根本看不出来，检测得靠工具。网址

最顺手的安全是 VirusTotal。你把网址粘进去，检测它会调用七十多个杀毒引擎和网站信誉库同时扫描。网址我习惯先看“DETECTION”那一栏，安全如果超过三个引擎标红，基本可以判定有问题。它还附带域名注册时间、IP 归属地、SSL 证书信息。有个细节挺实用：如果域名注册不到一个月，又用了免费 SSL 证书，哪怕引擎没报毒，我也建议你别点。VirusTotal 免费版足够日常用，缺点是扫描结果偶尔有误报，尤其是小众但正常的网站。

国内的话，腾讯安全网址检测和百度网址安全中心更接地气。腾讯那个入口在“腾讯电脑管家”官网里，输入网址后会告诉你有没有被举报过、是否含木马。百度网址安全中心类似，会显示“危险”“未知”“安全”三档。我拿一个已知的赌博站试过，腾讯直接标红，百度显示“该网站可能包含欺诈信息”。这两家对中文钓鱼页面的识别比 VirusTotal 快，毕竟样本主要来自国内用户举报。

但工具不是万能的。有次我遇到一个刚注册的域名，所有引擎都显示“未发现威胁”——因为还没人举报。这时候得看其他信号。比如用 whois 查域名年龄，用 nslookup 看 IP 是否跟正规大厂共享。更直接的办法：把网址里的关键词拆开。像 apple-id-verify.com 这种，正规苹果域名绝不会这么拼。再比如 http://www.icbc.com.cn.security-check.info，真正域名是最后那个 .info，前面全是伪装。

浏览器自带的功能也别浪费。Chrome 和 Edge 在地址栏左侧有个小锁或“不安全”标记，点开能看到证书颁发给谁。如果证书是 Let's Encrypt 签的，但网站自称是银行，直接关掉。Firefox 的“隐私保护”模式还会拦截已知的跟踪器和挖矿脚本，算是一道额外防线。

说个真实案例。上个月帮亲戚看一个“快递理赔”链接，域名是 http://sf-express-refund.top。VirusTotal 上只有两个引擎报毒，但腾讯检测已经标红。我查了 whois，域名注册于三天前，注册商是 Namecheap，服务器 IP 在俄罗斯。这些信息拼在一起，结论很明确。亲戚差点填了银行卡号。

日常养成两个习惯：一，不点短信或邮件里的短链接，先复制出来用检测工具扫；二，看到要求输入密码、验证码、支付信息的页面，手动敲一遍官网域名，别从任何跳转链接进。工具能帮你筛掉大部分坑，但最后那一下点击，还是得靠自己的判断。

(责任编辑：综合)