短連結和二維碼：不點開也能知道指向哪裏

短連結和二維碼的毛病是同一個：到了地方你才知道去的是哪兒。普通連結點之前能看到域名，靠域名你能分出真銀行和假銀行。短連結把域名藏起來了，二維碼乾脆什麼都不給你看，只有一個方塊。下面三件事，不用開啟任何東西就能提前知道：連結通向哪兒、碼裏是什麼、哪些追蹤參數貼在了你身上。全在瀏覽器裏，不用裝東西。

為什麼域名比小鎖重要

人能用來分辨真網站和假網站的只有一樣東西：域名，也就是 https:// 和第一個斜槓之間的那段。地址欄裏的小鎖在這兒幫不上忙，假頁面幾乎都有小鎖，證書現在一分鐘就能免費簽發。為什麼小鎖保證的是加密而不是誠實，在VPN 安全嗎：五種情況裏講過。

短連結從這道題裏抹掉的正是域名。你看到的不是銀行的域名而是 t.cn/xxx，只能蒙着眼決定去不去。二維碼也一樣：相機讀出地址就開啟，域名要等頁面開了你才看得見。

短連結通向哪裏

把它貼進短連結指向哪裏。工具會走完整條跳轉鏈 (從一個地址自動轉到下一個地址)，顯示每一步、最終地址和裏面的參數。

兩點要緊。第一：走這條鏈的是我們的伺服器，不是你的瀏覽器。數點按的那一方拿不到你的地址、Cookie 和瀏覽器指紋。短鏈服務的計數器會加一，但加的這一下是我們的伺服器，不是你。

第二：連跳四次不是詐騙的跡象，是普通廣告。短鏈服務把你交給計數器，計數器交給推廣聯盟，聯盟交給商家，每一環順手貼一個標籤。幾乎所有推送和帶貨帖裏的連結都長這樣。要看的是最後一個地址：域名是誰的，和承諾的像不像。

二維碼裏是什麼

把相機對準一個碼，你就是蒙着眼往前走。有人專門利用這一點：在停車繳費機、餐館桌角、街邊海報的真碼上，貼一張別人的碼。付錯了人，事後才知道。美國聯邦貿易委員會在給消費者的提醒裏寫得很直白：有人舉報騙子用自己的碼貼住停車計時器上的碼，建議只有一條：碼出現在不該出現的地方，先看地址再開啟。內地的停車碼、共享單車碼、掃碼點餐，同一個道理。

看的地方在這兒：讀取二維碼。上傳帶碼的圖片，或者直接在頁面上對準相機，就能看到裏面是什麼：地址、文字、Wi-Fi 密碼或者收款資訊。圖片和相機畫面都不會發到任何地方，碼是瀏覽器自帶的識別器讀的。

坦白説一個限制：這個識別器 Chrome 和基於 Chromium 的瀏覽器有，包括安卓上的，Safari 和 Firefox 沒有。在那些瀏覽器裏頁面會直説讀不了。我們不想為這個引入一個第三方庫。

之後規則還是一樣：看域名。碼説是繳停車費，域名卻陌生，那就不付。郵件裏的碼指向一個登入頁，域名不對，那就是假登入頁，僅次於貼紙的第二常見劇本。

跟着你走的標籤

連結裏問號後面那一截，通常和開啟頁面沒關係。utm_source、utm_medium、utm_campaign、fbclid、gclid 是 UTM 參數 (給廣告系統看的簽名：你從哪兒來)。去掉它們頁面照常開啟，但它們會告訴網站你來自哪封推送、哪個橫幅、哪個社交平台，並把這次訪問和你在廣告系統裏的檔案連起來。

你把這樣的連結轉給朋友，也就把標籤一起轉過去了：系統會記下你的朋友「來自你的推送」。乾淨的連結把尾巴切掉，給你一個乾淨的地址。要開啟或轉發的是它。除了標籤，還有什麼會把你暴露給廣告網絡，在瀏覽器指紋是什麼裏。

反過來的需求也有：把連結、一段文字或者給客人的 Wi-Fi 密碼做成自己的二維碼。那是把連結變成二維碼，同樣不用註冊、不上傳伺服器。

我自己怎麼做

説實話：推送和帶貨帖裏的連結，一個一個展開沒有意義。四次跳轉加一堆標籤，沒錯，但那是廣告，不是詐騙。值得展開的是兩類：要你登入或付款的連結，和陌生人發來的連結。二維碼正相反：背後牽着錢的，幾乎每次都查。停車的碼、桌上的碼、賬單上的碼。「讀一下」一秒鐘，「追回來」不知道要多久。

檢查解決不了什麼

展開後域名正當的連結，仍然可能通向一個正當網站上的詐騙帖。檢查回答的是「我要去哪兒」，不是「那兒的東西該不該買」。它也攔不住你在「您的帳戶已被凍結」郵件裏的偽造連結引你到真網站後，自己把密碼敲進去。這兒管用的不是工具而是習慣：銀行從書籤開啟，不從郵件裏開啟。

連結展開後是一堆看不懂的東西，把整條鏈給 AI 看。

幫我判斷這個連結安不安全。

它從哪兒來：（郵件 / 聊天 / 廣告 / 街上的二維碼）。
承諾的是什麼：（繳停車費 / 登入帳戶 / 商品 /
其他）。
跳轉鏈：（把地址一步步貼進來）。
最終域名：（哪個）。

告訴我域名和承諾的一不一致，鏈裏哪兒看着
可疑。資訊不夠就問我。

一句話總結

• 短連結和二維碼把域名藏了起來，而域名是唯一能分辨真假的東西。
• 點之前先展開連結，付之前先讀出碼，轉發之前先去掉標籤。
• 三個工具，零註冊，你檢查的東西不離開你的設備，只有連結本身例外，那是我們的伺服器替你去走。