你收到一条私信，检查点开一看，站点是链接某个多年不联系的老同学发来的：“快帮我看看，这个链接是否安不是诈骗？我点进去差点输了银行卡号。”链接长得像淘宝促销页，检查域名却是站点一串乱码。我复制到浏览器里，链接没打开页面，否安先看了一眼地址栏——好家伙，检查域名是站点“ta0ba0-secure.com”。这种把字母换成数字的链接把戏，十年前就骗不了人了，否安可每年还是检查有人栽在上面。

检查链接安不安全，站点说白了就三步：看域名、链接看证书、看行为。域名是最直接的。真正的淘宝是“taobao.com”，京东是“jd.com”。骗子会注册“taobao-login.com”或者“jd-pay.net”这种打擦边球的。你盯着网址栏看三秒，如果域名里带着“-”、“.”特别多，或者数字和字母混得奇怪，基本可以关掉了。我见过最离谱的，把“paypal”拼成“paypa1”，那个“1”是数字一，字体小一点根本分辨不出来。

第二步看证书，这个稍微专业点，但操作起来很简单。点一下地址栏左边的小锁图标，浏览器会弹出证书信息。正规网站会显示“连接是安全的”，证书颁发机构是DigiCert、GlobalSign这类大厂。如果是“连接不安全”的红色警告，或者证书是自签名的，那别犹豫，直接退出。有个朋友跟我抬杠，说钓鱼网站也有证书。没错，骗子花几十块钱也能买一个，但那种证书通常只保域名，不保公司信息。你点开证书详情，看“组织”一栏，如果写着“Unknown”或者一串乱码，基本就是假的。

可光看这两步还不够。有些链接本身没问题，但点进去之后的页面是仿冒的。这时候就看行为——它问你要什么。正常登录页面只问账号密码，顶多加个验证码。如果页面跳出来让你填手机号、身份证号、银行卡号、CVV码，四个要素凑齐了，那就是在收割你。银行不会在网页上让你输CVV，那玩意儿是线下刷卡用的。我见过最拙劣的仿冒，页面做得像模像样，但提交按钮一按，跳出来“系统维护中”，实际上你的信息已经发出去了。

有人嫌麻烦，说我就点个链接，哪来这么多讲究。那给你个笨办法：把链接复制到备忘录里，把“http://”或者“https://”后面到第一个“/”之间的部分单独拎出来看。这个就是域名。如果这个域名你不认识，或者看着眼熟但拼法不对，那就别点。别信什么“微信安全中心”“银行风控部门”发来的链接，这些机构从来不会通过短信让你点链接处理账户问题。真要出了事，他们会打电话，或者让你去柜台。

我自己的习惯是，收到任何链接，先停三秒。这三秒不是犹豫，是给大脑一个反应时间。骗子的套路就是让你着急，一急就顾不上看细节。“您的账户将被冻结”“您的快递丢失需要理赔”——这些话术的核心是制造焦虑。你一旦冷静下来，把链接往搜索引擎里一丢，搜“域名+骗局”，八成能查到前人的血泪帖。上个月有个同事收到“人力资源社会保障部”的补贴申领链接，点进去填了身份证，第二天银行卡被刷走两千。事后查那个域名，注册时间还不到一个星期。

检查链接不是技术活，是习惯活。就像过马路看红绿灯，你不需要懂交通法，只要养成那个动作。下次再有人发你链接，别急着点，先复制域名看一眼。花不了十秒钟，但能省下你半年的工资。