手上这个「51」，到底是不是你要找的那家

01第一件事：从右往左读域名

域名的归属由右边决定，不是左边。浏览器在解析一个域名时，是从最右边的顶级域一层层往左找的，所以最后两段才是这个站真正归谁，前面挂多少个眼熟的词都不代表什么。

• 子域是安全的。passport.51.com 的主域是 51.com，属于自家登录入口。详见51.com 档案页。
• 路径里的词不算。某陌生站.com/51job/login 这种，51job 出现在路径里，和 51job.com 没有关系。
• 相似字形要当心。数字 1 和字母 l、数字 0 和字母 o、以及多一个字母少一个字母的写法，在手机的小字号下几乎看不出来。

02第二件事：核对备案主体

在中国大陆使用境内接入服务提供非经营性互联网信息服务，一般需要办理 ICP 备案；经营性服务还涉及许可要求。境外网站不能仅凭没有ICP备案就判为仿冒，备案号通常印在网站首页底部。这给了你一个很实用的交叉验证点：备案主体的公司名称，应该和这个站自称的运营方一致。

1. 翻到首页最底部，找形如「某ICP备某号」的那串字符和它旁边的公司名。
2. 把这个公司名记下来，和站点自己在「关于我们」里写的公司名对比。
3. 两者对不上，不等于一定有问题（存在集团内不同主体的情况），但你得知道这个差异，并且在填任何敏感信息之前把它弄清楚。
4. 应备案的境内站点缺少可核查备案信息，或所列备案查询链接失效，需要进一步核验；境外网站不适用同一判断。

本站不提供任何代查服务，也不替你判断某个具体备案号的真伪。备案信息的权威查询渠道是主管部门的官方系统。

03第三件事：看证书颁发给了谁

地址栏那把锁只说明连接是加密的，不说明对面是谁。这是最常被误解的一点：仿冒站同样可以申请到证书，锁照样显示。有用的信息在证书详情里——点开那把锁，看证书的颁发对象。

• 看「颁发给」的域名。它应该和你地址栏里的域名一致。
• 有些证书会写组织名称。如果写了，看是否指向你预期的那家公司。没写也不一定有问题，但就少了一个验证点。
• 浏览器报证书错误时，不要点「继续访问」。尤其是在登录页和支付页。

04第四件事：App 要反查开发者

如果你要找的是 App 而不是网页，顺序应该反过来：先在官方应用商店找到 App，再从它的详情页看官方网站，而不是先搜域名再找下载链接。

• 看开发者署名。详情页里的开发者名称是商店审核过的，比页面上写的「官方」二字可靠。
• 别从二维码或聊天里发来的链接装包。绕过应用商店安装的包，来源无法验证。
• 同名 App 可能有好几个。图标和名字都能仿，开发者名称和商店里的历史版本记录不好仿。

05第五件事：注意你是从哪进来的

很多事故不是因为判断错了，而是因为根本没判断——顺手点了一个链接就填了信息。两个习惯能挡掉大部分风险：

• 要登录、要付钱的页面，自己从地址栏进。不从搜索结果的广告位进，不从别人转发的链接进。常用的站存成书签。
• 短信验证码不给任何人。没有例外。正规机构的客服不会要，要的就是骗子。这一条和域名、证书都无关，但它是最后一道闸。

06核验清单

勾选状态只保存在你当前这个浏览器里

对着手上那个站逐条过一遍。只要有一条对不上，就先停下来，别继续填信息。

• 1. 我核对过完整域名和公共后缀边界不能一律只看最后两段；.com.cn、.co.uk 等公共后缀需要连同左侧注册名称一起辨认。
• 2. 域名拼写我逐字母核对过特别注意 1 和 l、0 和 o，以及多一个或少一个字母的情形。
• 3. 首页底部的备案主体和它自称的公司一致对不上就先弄清为什么，再决定要不要继续。
• 4. 证书的颁发对象和地址栏域名一致点开地址栏那把锁看详情。浏览器报证书错误时不点继续访问。
• 5. 如果是 App，我是从官方应用商店装的，并核对了开发者名称没有从聊天链接或二维码旁路安装。
• 6. 登录和支付页是我自己从地址栏或书签进入的不走广告位，不走转发链接。短信验证码不提供给任何人。