360浏览器弹出一个红色警告，说某个网站“危险”，任网你点“继续访问”之后它还在地址栏挂个红叉。何信这事我遇到过好几次，任网有一次是何信访问一个地方银行的官网，另一次是任网某个开源软件的文档站。烦归烦，何信但你想过没有，任网360凭什么判断一个网站值不值得信任？何信

它手里攥着一份巨大的“网站信誉库”。这东西不是任网一天建成的。360安全卫士装机量上亿，何信每天有海量用户在使用过程中产生数据——哪些网址被频繁访问、任网哪些网址被举报、何信哪些网址挂马、任网哪些网址搞钓鱼。何信这些数据回传到云端，经过清洗和交叉验证，就形成了对每个域名的“信誉评分”。评分高的，比如baidu.com、taobao.com，直接放行；评分低的，或者压根没见过的，就进入待定区，弹窗问你。

但信誉库只是第一层。真正让我觉得有意思的是它的“主动探测”机制。360有一批爬虫和沙箱环境，会模拟普通用户去访问那些可疑网站。爬虫进去之后看什么？看页面有没有挂iframe指向恶意域名，看有没有自动下载.exe文件，看有没有伪装成登录框骗取账号密码。一旦触发规则，这个域名就被打上“恶意”标签。我拆过一个被360拦截的钓鱼站，页面做得跟某银行登录页一模一样，但提交表单的action指向一个境外IP。这种站，人眼可能被骗，但沙箱里跑一遍就露馅了。

还有一条线是用户举报。你在360浏览器里点“举报此网站”，后台就收到一条信号。单条举报可能被忽略，但如果短时间内同一个域名被不同IP的用户大量举报，权重就会飙升。360内部有个阈值，我记得看过一份专利文件，提到“举报密度”和“举报多样性”两个指标——意思是不能光看数量，还得看举报者是不是来自不同地区、不同运营商。刷举报？没那么容易。

那问题来了：一个刚上线的新网站，没被访问过，没被举报过，也没被爬虫抓过，360怎么处理？答案是“默认不信任”。这听起来很粗暴，但符合安全逻辑。你新注册一个域名，第一天就搞个登录页让用户输密码，360不拦你拦谁？我自己的博客刚换域名那会儿，就被360拦了三天。后来我提交了备案信息、域名持有证明，还发了邮件给360的申诉邮箱，大概过了48小时才解封。这个过程挺磨人的，但也说明它的信任不是随便给的。

申诉通道本身也是信任机制的一部分。你主动证明“这个网站是我的，内容合法”，360人工审核之后会把域名加入白名单。白名单不是永久的——如果你的网站后来被黑，挂了恶意代码，白名单会被撤销。我认识一个做外贸站的朋友，他的站被入侵之后跳转到博彩页面，360第二天就重新拦截了。他打电话给客服，客服说“你先把漏洞补了，再提交申诉”。

技术层面之外，360还跟一些第三方机构合作，比如CNNIC、反钓鱼联盟。这些机构提供的黑名单会直接同步到360的库里。所以有时候你发现一个网站被360拦了，但360自己也没抓过它——可能是别家安全厂商先发现了，数据共享过来的。

说到底，360信任一个网站，是“数据+行为+人工”三层过滤的结果。它不追求100%准确，因为根本做不到。误拦一个正常网站，用户骂两句，点“继续访问”就过去了；漏放一个恶意网站，用户中了招，那就是真金白银的损失。两害相权取其轻，它宁可错杀。你嫌它烦，但它确实拦住了不少东西。我那次访问假银行站，要不是360弹窗，我可能真会输密码。所以现在我看到红色警告，第一反应不是骂，而是先关掉页面，去搜一下这个域名到底是不是官方的。

信任这东西，在安全软件眼里不是“我觉得你靠谱”，而是“我暂时没发现你不靠谱”。听起来挺悲观的，但这就是现实。