我有个朋友，何防做跨境电商的范网，一天早上发现公司账户里少了18万。何防不是范网被偷了密码，是何防钓鱼邮件伪装成物流公司，让他点了个链接，范网在假网站上输入了后台账号。何防整个过程不到五分钟。范网那封邮件其实漏洞百出——发件人域名是何防logistics-track.net而不是DHL.com，但那天他刚好有三个包裹在途，范网脑子一热就点了。何防

这就是范网网站安全最残酷的真相：技术漏洞往往不是突破口，人的何防判断才是。防范网站，范网防的何防不只是黑客，还有你自己的手滑和贪心。

先说最基础的——HTTPS。看地址栏那个小锁，现在连Chrome都会直接标红“不安全”。但锁了不代表安全，钓鱼网站也能搞到SSL证书。真正要看的，是域名本身。比如“paypal.com”和“paypa1.com”，数字1和字母l在浏览器地址栏里几乎一样。我见过有人用肉眼分辨不出来，最后被转走了两千块。办法只有一个：把常用网站存书签，别从邮件、短信里的链接进。

密码管理这事，我懒得讲大道理。就说一个事实：2023年泄露的密码库里，“123456”依然排第一。你觉得自己没那么蠢？那好，你所有网站都用同一个强密码，比如“ZhangSan2024!”，只要一个论坛被拖库，黑客拿这个密码去试你的邮箱、网银、社交账号——这叫撞库，成功率比你想象的高得多。密码管理器确实麻烦，但比每个月改一次密码省心。我自己的做法是：银行、邮箱用独立密码，其他网站全交给生成器，记不住就记不住，反正我也不用背。

别小看浏览器插件。免费PDF转换器、视频下载助手，很多是带后门的。我同事装了个“购物比价”插件，半年后发现自己浏览记录被卖给了三家广告公司。插件权限一给，它就能读取你所有网页内容。装插件前看一眼开发者是谁，下载量多少，评论里有没有人骂。这花不了三十秒。

公共Wi-Fi是重灾区。咖啡馆里那个“Free_WiFi_5G”，可能是隔壁桌小哥用手机开的热点，专门截你的登录请求。你以为自己在刷微博，实际上账号密码明文飘在空气里。真要连，开VPN。不开VPN就别登任何需要输密码的页面——包括微信网页版。别问我怎么知道的，我在机场丢过一个社交账号。

最后说点反直觉的。有些网站会主动弹窗问你要不要“记住密码”，千万别点。浏览器保存的密码，一旦电脑中木马，等于把保险柜钥匙贴在门上。还有，手机上那些“清理大师”App，很多会把你存的密码上传。我不是说所有工具都坏，但你得明白：免费的生意，你才是产品。

写了这么多，核心就一句话：网站安全拼的不是技术，是习惯。每次输密码前停三秒，看一眼地址栏，问自己一句——这真的是我要访问的那个网站吗？多这三秒，能挡掉九成的坑。剩下的，交给运气吧，反正黑客也挑软柿子捏，你不是最软的那个就行。