我电脑屏幕上弹出一个提示框：“此网站的何打安全证书已过期，继续访问可能面临风险。安全”下面有两个选项——“返回安全页面”和“高级设置”。何打我点了高级设置，安全又跳出一行小字：“仍要访问”。何打这行字藏得挺深，安全得眯着眼睛找。何打我点了它，安全页面刷了一下，何打一张泛黄的安全旧电影海报铺满屏幕。那是何打个专门收录上世纪七十年代香港功夫片的私人影库，站长是安全个退休的老影迷，域名是何打十年前注册的，证书早忘了续费。安全

这类“不安全”网站，何打其实分两种。一种是真危险，挂着木马，等着你输入银行卡密码。另一种只是没升级HTTPS协议，或者证书过期了，内容本身没毒。前者像暗巷里蒙着脸的人，后者更像老居民楼里不装防盗门的住户——门是开着，但屋里没值钱东西。问题在于，浏览器没法替你区分这两种，它只会一视同仁地亮红灯。

真要在红灯亮起时硬闯，你得先学会观察。地址栏旁边有个小锁图标，点开能看到连接详情。如果显示“连接不安全”，但网站内容只是文字和图片，没有登录框、支付入口，那风险基本可控。我常去一个翻译古籍的论坛，它连HTTPS都没有，整个站还是HTTP裸奔，但版主是几个大学老师，上传的扫描件全是公共版权书籍。你在这种地方能丢什么？顶多丢个用户名和密码，而那个密码我从来不跟银行用同一个。

真正要命的是那些让你输入敏感信息的“不安全”页面。有一次我点进一个仿冒的银行登录页，地址栏确实显示“不安全”，但页面做得跟真的一模一样，连客服电话都是对的。我差点输了卡号，最后瞄了一眼网址——是“bank-secure-login.com”这种鬼名字，真银行哪会这么起名。记住，证书过期能忍，域名可疑必须跑。

还有个土办法，我用了好多年。不确定一个网站是否安全时，先复制它的网址，扔到搜索引擎里查一下。如果是个钓鱼站，通常会有网友在论坛里骂过。如果是正经网站，搜索结果里会有它的名字和介绍。这招比任何安全软件都管用，因为搜索引擎的爬虫比你更早发现恶意站点。

打开不安全的网站，说到底是个权衡。你为了看一篇绝版论文、一部冷门电影、一个已经停止维护的软件下载页，就得接受它没有加密传输的事实。我的做法是：用浏览器自带的隐私模式打开，关掉所有插件，访问完立刻关掉整个窗口。隐私模式不会保存历史记录，第三方Cookie也被拦截，相当于给自己套了个透明雨衣——雨是淋不到了，但要是天上掉砖头，雨衣也没用。

有一次我为了找个老款打印机的驱动，硬闯了一个俄罗斯网站。页面全是乱码，下载按钮旁边闪着刺眼的“不安全”警告。我咬着牙点下载，结果驱动是好的，打印机顺利复活。后来想想，那网站大概就是个退休工程师的个人博客，连广告都没挂。倒是那些看起来很安全的下载站，每次装完都给我塞一堆全家桶软件。

浏览器厂商把“不安全”三个字标得越来越醒目，像超市里给临期食品贴的黄色标签。可临期食品不等于坏掉，有些东西过了保质期照样能吃，只是口感差点。网站也一样，证书过期不代表内容有毒，但你必须自己承担那一口的风险。打开之前先问一句：这网站值得我冒险吗？如果值得，那就点“仍要访问”，然后保持清醒——别在里面输密码，别下载可执行文件，看完就走。

最后说个实在的：如果你连“不安全”三个字代表什么都没搞清，那就别点。好奇心得配着常识用，不然迟早栽跟头。