打开 Z98 之前，地址栏是灰的、带个“不安全”，和地址栏挂着锁、点开能看到证书信息，这是两种完全不同的处境。前者别急着输账号，后者才值得往下走。
先回答几个最常被问的
**问：我就登一下，http 和 https 差在哪？**
差在中间有没有人能改。http 传的东西是明文，你输的账号密码、点完跳去哪，路上都可能被换掉。https 至少保证你连的这个域名是它自己，内容没被中途动过手脚。所以不是“能不能用”的问题，是“你输的东西会不会被别人拿走”的问题。
**问：那我在搜索里点进去的，算正牌吗？**
不一定。搜索结果排前面的，可能是买了推广的仿站，域名差一两个字母，页面做得一模一样。别用“搜出来第一个”当判断依据，用域名本身判断。
**问：手机上下载的 App，和网页是一个东西吗？**
不一定。网页和 App 是两条入口，任何一条的来源不对，风险都单独存在。网页看域名，App 看装它的地方，两件事分开核对。
**问：证书报错，点“继续访问”行不行？**
不行。证书报错的意思是：这个域名背后的身份没验证过，或者被换了。这时候继续，等于把 https 唯一能给你的那层保护也扔了。关掉，回到你知道的那个入口重新进。
核对路径，就三步
第一步，看域名拼写。把地址栏那串字母逐字读一遍，别扫一眼就过。仿站最爱在相似字形上做手脚，比如把数字和字母互换、多加一个连字符、换个不常见的后缀。你心里要有一个“正确的写法”，对不上就不输任何东西。这一步多数人卡在“看着差不多”，差不多就是不对。
第二步，看有没有锁，以及锁对不对。地址栏左侧有锁形标记，点开能看到证书是发给哪个域名的。如果证书上的名字和你正在访问的域名对不上，哪怕页面再正常，也停。锁不是装饰，它证明的是“你连的确实是这家”。
第三步，看跳转落点。有些链接点进去会先跳一下再到目标页。跳完之后，重新看一遍地址栏——很多坑就藏在跳转后的那个域名上，前面是正牌，落地变成了别的。凡是跳完域名变了的，退回，从你确认过的入口重进。
下载和登录，顺着上面走
下载这块，别从论坛、群文件、网盘转存里拿。这类来源没法核对，文件被替换过你也不知道。优先走你已经在第一步确认过的那个域名上的下载入口，或者它明确指向的应用商店页面。装之前看一眼开发者名称和域名主体是否一致，对不上就取消。
登录这块，如果在 https 页面上输账号，先确认地址栏没变、锁还在。有些站点登录后会跳到另一个域，这时候重新核对一次，别因为“刚才是对的”就默认后面也对。账号这东西，输错地方的代价比多看一眼大得多。
另外提一句 Z98：认它的入口，认的是域名本身，不是页面长相，也不是搜索排名。页面可以仿，域名仿不了完全一样的。
收个尾
地址栏没锁，就先别输。
跳转后域名变了，退回重进。
来源说不清的安装包，不装。
