上周我收到一条短信，验证说我的网站银行账户存在异常，附了一个链接。验证点开之后页面做得跟真的网站一模一样，连银行logo的验证像素都挑不出毛病。但我注意到地址栏里那串域名——末尾是网站".xyz"而不是银行官方的".com.cn"。这就是验证最直接的破绽。验证网站真假，网站第一步永远是验证看域名，不是网站看页面长什么样。

域名这东西，验证骗不了人。网站浏览器地址栏里那串字符是验证网站的真实身份，页面内容可以随便抄，网站域名抄不了。验证比如真正的淘宝是taobao.com，如果有人发给你taobao.com.tk或者taobao-shop.cn，那基本可以判定有问题。有个简单的判断方法：从右往左读域名，最右边的部分（顶级域名）和紧挨着它的那一段（主域名）才是真正的主人。taobao.com.tk这个域名，真正的主人是tk，不是taobao。

还有一个容易忽略的地方——https锁标志。很多人觉得有小锁就安全，其实不是。现在申请一个免费SSL证书只要几分钟，骗子也能给自己的钓鱼网站加上小锁。小锁只能说明数据传输是加密的，不代表这个网站是合法的。别看到锁就放心。

那怎么进一步确认？我通常做两件事。

查备案。国内正规运营的网站，底部一般有ICP备案号，格式像"京ICP备XXXXXXXX号"。把这个号拿到工信部备案系统（beian.miit.gov.cn）里查一下，看备案主体和网站内容是否对得上。有些钓鱼网站也会伪造备案号，但一查就露馅——要么查不到，要么备案主体是某个完全不相关的公司。

查域名年龄。这个方法稍微技术一点，但很管用。用Whois查询工具（很多网站提供免费查询）看一下域名注册时间。一个号称是"某某银行官方活动"的网站，域名是三天前刚注册的，这本身就说不通。正规企业的官网域名通常注册了五年以上。我见过一个假冒某电商平台的钓鱼站，域名注册时间显示"2天前"，连隐藏都懒得做。

页面细节也能看出问题。钓鱼网站往往在奇怪的地方露出马脚。比如"关于我们"页面写得含糊其辞，联系方式只有一个QQ邮箱，公司地址写得很模糊。再比如，点击页面上的"隐私政策"或"用户协议"，链接是死的，或者跳回首页。正规网站不会在这些地方偷懒。

另外说一个我自己的习惯：遇到任何要求输入密码、验证码、银行卡号的页面，我不会直接点链接进去，而是手动在浏览器里输入官方域名，或者用官方App操作。多花三十秒，省掉大麻烦。短信里的链接、邮件里的按钮、聊天窗口发来的网址，一律不直接点。

浏览器本身也会给提示。Chrome和Firefox对已知的钓鱼网站会弹出红色警告页，写着"此网站可能试图欺骗您"。看到这个页面别犹豫，直接关掉。但要注意，浏览器数据库更新有延迟，新注册的钓鱼域名可能还没被收录，所以没有警告不代表安全。

说到底，验证网站真假靠的是习惯，不是某一次的小心。域名对不对、备案查不查得到、域名注册了多久、页面细节有没有敷衍——这几条过一遍，大部分假网站都藏不住。花两分钟做这些检查，比事后追回损失容易得多。