检查网站是否安全

上周我在一个论坛看到有人分享“超低价机票代订”链接，检查点进去页面做得跟某航空公司官网几乎一样。网站唯一不对劲的否安地方是网址：官方域名是 airline.com，这个却是检查 airline-tickets.shop。我随手查了一下这个域名的网站注册时间——三天前。这就是否安最典型的钓鱼网站特征。

网址栏是检查判断网站安全的第一道关口。浏览器地址栏左侧通常会显示一个锁形图标，网站点击它能看到证书信息。否安但锁形图标不等于安全，检查它只代表数据传输是网站加密的，不代表网站运营者是否安好人。一个诈骗网站同样可以申请免费SSL证书，检查照样显示小锁。网站真正要看的否安是域名本身。把域名从右往左读：.com 前面那一截是不是你熟悉的品牌名？有没有多出连字符、多余单词、拼写变体？taobao.com 和 taobao-shop.cn 是两回事，后者跟淘宝没有任何关系。

域名年龄是个硬指标。刚注册几天的域名拿来搭电商站、银行登录页、抽奖活动页，基本可以判定有问题。查询方法很简单，在搜索引擎里搜“whois 域名查询”，随便找一个免费工具，输入域名就能看到注册日期。我自己的习惯是：任何要求输入个人信息或付款的网站，先查域名年龄。超过两年算及格，超过五年算正常，低于三个月直接关掉。

页面内容本身也会露馅。钓鱼网站有个通病——图片模糊。因为它们往往直接截图正规网站，压缩后贴上去，logo边缘发虚，字体跟正文不统一。另一个信号是联系方式。正规电商网站至少会留400电话或在线客服，诈骗网站通常只有一个QQ邮箱或者干脆没有。我遇到过最离谱的一个，页脚写着“版权所有”，后面公司名是空的。

浏览器自带的安全拦截值得留意，但别完全依赖它。Chrome和Edge会对已知的钓鱼站点弹出红色警告页，可新注册的诈骗域名往往还没进黑名单。这时候可以借助第三方工具，比如 VirusTotal，把网址贴进去，它会调用几十个安全引擎同时扫描。如果超过三个引擎标记为恶意，就别犹豫了。另一个实用工具是 URLVoid，能看域名信誉评分和历史记录。

涉及付款的环节要格外警觉。正规支付页面会跳转到银行或支付宝、微信的官方域名，比如 alipay.com 或 95516.com。如果对方让你直接在它的页面上填银行卡号、密码、CVV码，而且页面域名跟银行毫无关系，这就是在直接盗刷。还有一种套路：页面看起来是支付宝，但网址是 alipay.secure-pay.xyz 这类，域名主体根本不是支付宝。

我自己的操作习惯是：不点陌生链接，尤其是短信和邮件里的短链接。需要登录某网站时，手动输入域名或者用书签。手机端更要注意，很多钓鱼页面在移动浏览器里地址栏会被隐藏或缩得很短，一不留神就上当了。安卓用户还可以装一个叫“Netcraft”的扩展，它会在你访问可疑站点时弹提示。

说到底，检查网站安全不需要多高深的技术。看一眼域名，查一下年龄，留意支付跳转，这三步能挡掉九成以上的常见陷阱。剩下的靠常识——如果一个东西好得不像真的，它大概率就不是真的。