先看网址，而不是看设计
逼真的外观，恰恰是最容易伪造的东西。照搬一个 logo、配色和版式只需要几分钟，所以第一件事是检查浏览器地址栏里的网址。逐个字母地读一遍域名，和你预期的那个对比。常见的伎俩包括：调换、重复或替换字母，比如把字母 l 换成数字 1、把字母 o 换成数字 0；用连字符加上 login、secure、support 之类的额外单词；换一个不同的后缀，比如某个国家代码；以及使用其他字母表中与拉丁字母长得一模一样的字符。
要看清网址中哪一部分才是真正的域名。关键是紧挨在后缀（比如 com 或国家代码）左边的那个名字，而且它位于第一个单斜杠之前。如果一个网址以知名品牌开头，后面跟着一个点，再接一个陌生的名字，那它其实属于那个陌生的名字。排在最前面的品牌名只是一个子域名，而域名的所有者想把它设成什么都可以。
最稳妥的习惯是自己输入网址或者用书签访问重要网站，而不是点击邮件、消息或搜索广告里的链接。骗子确实会购买广告，让它出现在真实搜索结果的上方，所以排在搜索页顶部的链接本身并不能证明什么。
HTTPS 和小锁图标究竟意味着什么
HTTPS 表示浏览器与网站之间的连接是加密的，并且证书是为这个域名签发的。它能防止你输入的内容在传输途中被人读取，对于任何要求输入密码或支付信息的页面，这都是必不可少的。没有 HTTPS 的网站，绝不应该收到这两样东西。
HTTPS 不能告诉你的是，域名背后的人是否诚实。证书可以免费、自动签发，钓鱼网站和正规网站一样会照常使用它，一些浏览器也正因如此不再显示小锁图标。请把 HTTPS 看作最低要求，而不是网站可靠的标志。
务必认真对待浏览器的警告。整页提示证书错误，或者提示该网站因钓鱼、恶意软件被举报，这些警告都事出有因，请直接关闭标签页，而不是点击继续访问。你也可以在地址栏中打开证书详情，看看它覆盖的是哪个域名、由谁签发。
弄清网站是谁在运营
值得信赖的企业会告诉你它是谁。找一找“关于我们”页面、有效的联系方式和法律页面：使用条款、隐私政策，以及关于退款或争议处理的清晰说明。要真正读一读，而不只是确认它们存在。真实的条款会写明运营方、说明服务如何运作，并且与网站其他地方的说法一致。从别的公司照抄来的模板文字，有时甚至还留着那家公司的名字，就是一个强烈的警告信号。
检查联系方式是否符合这类业务的常理。支持表单、使用网站自有域名的邮箱地址以及帮助中心，都属于正常情况。如果一个网站只能通过匿名的即时通讯账号联系，或者联系页面干脆是空的，那么一旦出了问题，你将求助无门。
你还可以用公开的 WHOIS 或 RDAP 查询工具，查看域名是什么时候注册的。隐藏所有者信息很常见，本身并不可疑，因为很多注册商默认就会隐藏；但如果一个网站自称历史悠久，域名却是刚刚注册的，这种矛盾就值得留意。面向中国大陆用户的网站通常还会在页面底部展示 ICP 备案号，你也可以到官方的备案查询系统核对一下。
用挑剔的眼光看评价
用网站名称加上“评价”“投诉”“骗局”等关键词搜索一下，看看独立点评平台、论坛和社区里的说法，比如知乎、小红书上的讨论。网站自己展示的好评是网站自己挑出来的，参考价值不大。
要看规律，而不是只看星级。真实的评价长短不一、语气各异，会提到具体细节，也会有一些抱怨，最好还能看到商家是如何回应处理的。警告信号包括：同一时间段内突然冒出一大批简短的五星好评、评价者没有任何其他记录，以及大量用户反映同一个问题，比如订单一直没有到货。
全新的网站可能只是还没有评价。这并不能证明它是骗局，但意味着你应该先小额尝试，更多地依靠本文提到的其他检查方法。
仔细看对方要求你如何付款
支付方式能说明很多问题。银行卡支付和成熟的支付服务通常都提供某种形式的争议处理机制。转账到个人银行账户或个人收款码、礼品卡和直接的加密货币转账一般都无法撤回，钱一旦付出去就很难再要回来。如果一个网站极力引导你使用无法撤回的支付方式，或者对绕开正常结账流程的付款给予优惠，那就是在把全部风险转嫁给你。
如果某个平台确实接受无法撤回的支付方式，关键就在于它如何处理问题。弄清楚你付款后钱去了哪里、卖家什么时候才真正收到钱，以及订单出错时会怎样处理。可靠的平台会在你注册之前，就在帮助页面或条款中回答这些问题；如果你找不到答案，这本身就是一个警告。
绝不要在通过意外链接打开的页面上输入银行卡信息；如果结账页面索要付款根本用不到的信息，比如你的邮箱密码或银行卡照片，也要格外警惕。
针对交易平台的额外检查
在交易平台上，平台和卖家是不同的主体，所以两者都需要评估。了解卖家在开卖之前是否经过审核、商品是否经过审查、卖家主页会显示哪些信息，以及出了问题如何解决。如果一个平台任由交易脱离它自己的系统进行，那么交易一旦出问题，你就无处求助。
以 rStock 为例，看看这些方面具体是怎样处理的。rStock 是一个由独立店铺出售账号等数字商品的交易平台，店铺必须经过平台批准才能开始销售，每个商品在上架前也都要经过审核。买家使用 rStock 余额付款，余额通过支付服务商 Cryptomus 以加密货币充值；付款会先被暂时保留，不会立即结算给店铺。交付之后有一段有限的时间可以发起争议，店铺会先作出回应，如果双方无法达成一致，可以请平台审核员介入。店铺主页会显示销量、评分和保险金余额，也就是店铺存放在平台上的一笔资金；赞助推广位都会明确标注。
无论你使用哪个交易平台，都要在第一次下单之前，而不是出了问题之后，把它的规则读一遍；购买任何品牌的账号或服务时，也请遵守该品牌的使用条款。
一看到就该收手的危险信号
有些信号严重到单凭一条就足以让你停止考虑。如果网站索要你的密码、双重验证码或加密货币钱包的助记词，要求你安装远程控制软件或浏览器扩展才能继续，或者试图把沟通和付款转移到私人聊天工具上，请立即离开。
其他危险信号还包括：倒计时和催你立刻行动的压力、远低于市场行情的价格、好得令人难以置信的承诺、无缘无故要求提供身份证件的注册表单，以及大量失效链接、错别字或点进去什么都没有的页面。单个小瑕疵并不能证明就是诈骗，但几个同时出现，就是一个明确的信号。
即使网站通过了检查，也要安全注册
通过了这些检查，风险会降低，但不会消失。请使用密码管理器生成的独立密码。额外的好处是，密码管理器不会在仿冒域名上自动填入你保存的登录信息，这让它成了一个实用的钓鱼探测器。
如果网站提供双重验证，就把它打开；只提供服务真正需要的信息，并考虑为网购和注册单独准备一个邮箱地址或别名。注册完成后，检查确认邮件是否来自你注册时的同一个域名，并保留收据和订单确认信息，直到确认一切都没有问题为止。