浏览器地址栏左边那个小锁图标，不安很多人根本不看。全网看了也不一定懂。不安去年冬天我帮邻居老张处理一件事，全网他收到银行短信说账户异常，不安点进短信里的全网链接，页面跟银行官网长得一模一样——logo、不安配色、全网客服电话，不安连页面底部的全网备案号都抄了过去。他输了卡号和密码。不安三分钟后，全网卡里两万七千块被分成四笔转走。不安

那个网站没有小锁。全网地址栏光秃秃的不安，http后面连个s都没有。但老张说，他根本没注意。

这就是问题所在。不安全网站不是那种满屏弹窗、赌场广告的粗糙货色了。现在的钓鱼站做得比真的还像真的。你打开一个假淘宝，搜索框能正常用，商品详情页有评价有销量，甚至点“联系客服”还能弹出对话框——对面是真人，拿着话术本跟你聊。唯一的破绽在URL里：taobao.com被换成了taobao.com.cn，或者taob0.com，数字0代替字母o。你不盯着地址栏看三秒，根本发现不了。

我自己的习惯是，任何要输密码的页面，先看域名主部分。@符号后面的才是真实地址，前面全是障眼法。比如 http://www.icbc.com.cn@evil-site.xyz 这种，浏览器实际访问的是evil-site.xyz。还有人用连字符，icbc-com.cn，看着像官方，其实是第三方注册的。这些把戏不新鲜，但每天还是有人中招。

http和https的区别，说烂了。但很多人不知道的是，https也不代表安全。钓鱼站可以申请免费证书，Let's Encrypt几分钟就签发。所以小锁只说明“传输加密”，不说明“这站是好人”。我见过一个假苹果登录页，https证书齐全，页面做得比真的还精致。输入Apple ID后跳转到一个“验证失败，请重试”的页面，反复让你输。输三次，密码就到手了。

真正让我警惕的是那种“半真半假”的网站。比如一个论坛，大部分帖子正常，但某个资源下载链接指向exe文件。你点下载，浏览器提示“此类型文件可能损害计算机”，你点了保留。运行后，它静默安装一个浏览器插件，劫持你的搜索主页，把百度跳转到带推广ID的地址。这种不算“黑站”，但绝对不安全。它不偷你密码，它偷你的流量，偷你的注意力，偷你每一次搜索背后的广告费。

还有一个细节：很多不安全网站没有favicon，就是标签页上那个小图标。或者图标模糊、错位。正规站不会犯这种错。你打开一个“京东”页面，标签页显示一个默认的空白文档图标，那基本可以关了。这招我试过很多次，准得很。

最危险的是那种你主动想上的站。比如找免费PDF、找破解软件、找“在线看”的影视资源。你知道它可能不干净，但你觉得“我就看看，不输入任何东西”。然后页面弹出一个“您的Flash版本过低，请更新”——下载的是一个伪装成Flash安装包的木马。或者“点击验证您不是机器人”，点完跳转到一个挖矿脚本页面，你的CPU瞬间跑满。这些站不会偷你密码，它们直接消耗你的设备。

老张那件事最后报了警，钱没追回来。他后来问我，怎么判断一个网站安不安全。我说，最简单的办法：如果你是从短信、邮件、陌生人群里点进来的链接，默认它不安全。关掉，自己手动输官网地址。多花十秒钟，省掉两万七。

还有，浏览器地址栏如果显示“不安全”三个字，别忽略。那是浏览器在替你踩刹车。你非要踩油门，它拦不住。但至少你知道自己在往哪开。