HTTPS 只表示你與該網域的連線已加密，不能證明網域屬於真正服務。登入、下載、連接錢包或簽署前，應從右向左閱讀主機名稱，並透過書籤、官方 App 或多個官方管道交叉驗證。
了解各項因素#
詐騙者可為假網域取得有效 TLS 憑證，也能仿冒 Logo 與頁面。真正證據是可註冊網域、發布管道與交易內容，不是鎖頭圖示。
判斷框架#
核對「誰控制網域、你如何到達、網站要求什麼」。任何一項無法獨立確認，都不應交出帳密或簽章。
依受控順序操作#
- 從右向左閱讀完整主機名稱，找出真正可註冊網域。
project.example.com.attacker.tld的控制者是attacker.tld，不是畫面前方的品牌字樣。
- 與專案官方文件逐字比較拼字。 留意互換字母、額外連字號、相似 Unicode 字元、短網址及多出來的單字。
- 瀏覽器出現警告時查看憑證與最終目的地。 憑證錯誤、名稱不符或重新導向到陌生網域時，應立即停止。
- 避開搜尋廣告、社群回覆與未展開的短連結。 從既有官方文件、已驗證程式庫或 App 商店頁面獨立開啟服務。
- 完成兩個獨立來源核對後再儲存書籤。 往後從書籤進入，仍要在簽署前核對鏈、合約、金額與權限。
常見陷阱#
- 看到 HTTPS 或鎖頭就視為官方。 TLS 只保護你與目前網域之間的連線，釣魚站也能取得有效憑證。
- 品牌字樣出現在無關網域的子網域。 應辨認可註冊網域，而不是只看網址最左側或頁面 Logo。
- 點擊置頂搜尋廣告或縮網址。 排名與廣告審核都不是身分證明，應改從已知官方來源重新開啟。
- 網站聲稱錢包損壞，要求輸入助記詞。 正常網站不需要根憑證做修復；輸入後應視為助記詞已外洩。
驗證完成的標準不是頁面能正常載入，而是網域、發布來源與實際請求都可由獨立證據重現。任何一項不一致都應關閉頁面。
確認結果#
不要只相信瀏覽器沒有跳出警告。關閉頁面後從另一個已驗證來源重新開啟，確認最終網域、重新導向及錢包請求仍完全一致。
| 檢查點 | 證據 | 停止條件 |
|---|---|---|
| 找出可註冊網域 | 完整 URL 與官方文件 | 品牌只在子網域 |
| 獨立開啟官方服務 | 書籤或官方 App | 來源僅為訊息連結 |
| 核對實際請求 | 解碼的鏈、合約與權限 | 要求助記詞或私鑰 |
需要通報時可保存完整 URL、網域、時間與已遮蔽敏感資料的截圖；不得提交助記詞、私鑰、密碼或驗證碼作為證據。
常見問題#
釣魚網站可以有有效憑證嗎？
可以。憑證只證明連線至該網域，不證明網域合法。
瀏覽器還會顯示鎖頭嗎？
不同瀏覽器介面不同；無論圖示如何，都不能取代網域驗證。
官方網域重新導向怎麼辦？
核對最終網域是否在官方文件中記載，並警惕跨到陌生網域的登入或錢包請求。
相關指南#
參考資料#
風險提示： 有效 SSL 憑證不能證明網站、前端或智慧合約安全。
編輯標準
本文以教育與可靠來源為基礎。安全措施、交易所規則及法律要求可能變動，採取重要操作前請透過相關官方管道核實。
