01 / 场景
从一台旧 ThinkPad 开始：地址栏里那个多出来的连字符
2025 年 12 月 17 日下午两点四十分左右，我在公司三楼靠窗那台用了六年的 ThinkPad X230 上做一件很平常的事：把一份资料传回自己的 QQ 邮箱。机器是老同事留下的，浏览器还停在 Chrome 96，书签栏里有一个灰色的「QQ登录」快捷方式。我点进去，页面出来了，蓝色主调、企鹅图标、输入框位置都对，但我盯了两秒就发现问题——地址栏里是 qq-login.example.cn，中间多了一个连字符，域名也不是腾讯的。这个页面在模仿「腾讯qq官网入口登录」的视觉，连输入框的圆角都学得很像。
我没有在那个页面输入任何东西，直接关掉标签页，手工键入 qq.com，确认跳转后的域名、证书颁发机构与页面底部的备案信息，前后花了十一分钟。这十一分钟里我做了一件事：把「看起来对的页面」和「确实是官方入口的页面」并排截了图，存进一个叫 entry-check-2025-12 的文件夹。现在那个文件夹里有 9 张截图，我打算慢慢把它们整理成一套普通用户也能用的核验清单。入口这件事，说小了是省几秒，说大了是账号在谁手里。
02 / 记录
核验
三条对照：域名、证书、备案号
我给自己定了三条硬标准，写在便签上贴在显示器边：第一，地址栏根域必须是 qq.com 或 tencent.com，任何前缀后缀都不能替代根域的判断；第二，点击地址栏左侧的锁形图标，证书的颁发对象要能与腾讯的主体对应上，而不是某个 CDN 中间商；第三，页面底部要有可点击的备案信息，且点开后的主体名称前后一致。
三条里最容易骗过眼睛的是第三条，因为仿冒页现在也敢把备案号抄上去，只是点开之后跳到的是另一个域名。真正省事的办法反而是最笨的：不点任何搜索结果的「推广」位，不从聊天记录里的短链接进，只手工敲根域。关于资料索引，我平时会顺手对照 新奥2025年免资料费查询 这类页面里的信息组织方式，看别人怎么把入口说明写清楚。
03 / 细节
设备
Chrome 96 与那条灰色快捷方式
那台 X230 的快捷方式是 2019 年某次装软件时被顺手写进书签栏的，URL 里带着一串推广参数。这类「历史遗留入口」在旧办公机器上极常见，它们的危害不在当下，而在于某天域名过期后被别人接手。我的处理办法是删掉所有带推广参数的 QQ 相关书签，只保留一条手工敲出来的根域，命名写成「QQ 官方入口（手工核验 2025-12-17）」，日期写进名字里，下次看到就知道该不该重新核一次。
顺带说一句，浏览器版本旧本身不是安全问题，真正的风险是旧版本配合旧书签。这一点我在整理 tk49图库资料库 的索引条目时也反复提醒过：资料页的价值在于可核验，而不是看起来齐全。
04 / 个人观点
观点
说实话，把「官网入口」做成搜索词是一种失职
我得说一句可能不太受欢迎的话：一个成熟产品让用户靠搜索「腾讯qq官网入口登录」来找到登录页，这件事本身就是产品设计上的失职。官方入口应当像家门一样稳定、唯一、不需要被搜索。现在的情况是，用户要在结果页里分辨推广位、仿冒站、聚合导航，再靠肉眼判断域名——这是把安全成本转嫁给了最没有判断力的一批人。
我不认为这是靠一篇文章能解决的，但至少可以把核验动作写清楚：手工敲根域、看证书主体、点开备案链接、不从聊天记录跳转。这四步花不了半分钟，比事后申诉账号被盗要便宜得多。相关图片素材的整理思路，我在 免费网站图片库入口 那篇里也提过，入口可信度永远优先于内容丰富度。
05 / 清单
可复用
我贴在显示器边的七条入口核验清单
- 只手工键入根域，不接受任何带参链接。
- 不看搜索结果的「推广」标识位。
- 点锁形图标，核对证书主体，不看锁本身。
- 页面底部备案号必须可点击、可跳转。
- 登录页不索要短信验证码以外的任何附加信息。
- 旧设备上的历史书签全部删除重建。
- 核验日期写进书签名称，每季度重核一次。
这份清单是 12 月 17 日那次核验之后写的，一共改了三版。第三版删掉了「检查页面配色是否一致」这一条，因为仿冒页的配色已经做得比官方还像官方，视觉判断不再可靠。留下的是域名、证书、备案这些可以客观比对的东西。清单不复杂，难的是养成习惯——我自己的做法是把清单第一行设成浏览器新标签页的备注。
如果你也在旧机器上工作，建议现在就去翻一遍书签栏，把带推广参数的入口一次性清掉。
06 / 溯源
时间线
2025 年 12 月 17 日，14:40 到 14:51
这十一分钟我做了记录：14:40 发现仿冒页；14:42 关闭标签并清空地址栏历史；14:45 手工键入根域，确认证书主体；14:48 点开页面底部备案信息，核对主体名称；14:51 截图存档并删掉旧书签。时间点写下来有点琐碎，但正是这些琐碎让「我核验过」和「我以为我核验过」区别开来。
后来我把这套时间线发给了同组的三位同事，其中两位在当天下午清掉了自己书签栏里的类似条目。这个反馈让我觉得记录本身是有用的，哪怕它看起来只是一个人的碎碎念。
07 / 旁证
资料
一份 2024 年的浏览器安全报告，第 37 页
我手边有一份 2024 年发布的浏览器安全年度报告，纸质打印版，第 37 页有一张图表，统计的是钓鱼页面最常见的伪装对象，即时通讯类账号登录页排在第二。报告里有一句话我抄在了笔记本上：「用户对品牌的视觉记忆，正在成为攻击面本身。」这句话有点冷，但准确。仿冒页之所以敢把配色做到九成像，就是因为判定权被交给了视觉。
我不打算在这里复述整份报告，只想说明一件事：入口核验不是偏执，它对应的是有统计数据支撑的、持续存在的风险。
08 / 工具
方法
用一张纸和一支笔做入口核验记录
听起来很土，但我确实在用纸质记录：A5 横线本，每页记一次核验，写日期、设备、核验项、结论。写到第五页的时候我发现一个规律——出问题的入口几乎都来自「别人给我的链接」，没有一次来自我自己手工键入的根域。这个规律比任何工具都直接地告诉我该改什么习惯。
电子记录当然也可以，我用的是一个纯文本文件，按日期分行。之所以还保留纸本，是因为写字这个动作会强迫我把话说完整，不像打字那样容易敷衍。
