短链接和二维码：不点开也能知道指向哪里

短链接和二维码的毛病是同一个：到了地方你才知道去的是哪儿。普通链接点之前能看到域名，靠域名你能分出真银行和假银行。短链接把域名藏起来了，二维码干脆什么都不给你看，只有一个方块。下面三件事，不用打开任何东西就能提前知道：链接通向哪儿、码里是什么、哪些追踪参数贴在了你身上。全在浏览器里，不用装东西。

为什么域名比小锁重要

人能用来分辨真网站和假网站的只有一样东西：域名，也就是 https:// 和第一个斜杠之间的那段。地址栏里的小锁在这儿帮不上忙，假页面几乎都有小锁，证书现在一分钟就能免费签发。为什么小锁保证的是加密而不是诚实，在VPN 安全吗：五种情况里讲过。

短链接从这道题里抹掉的正是域名。你看到的不是银行的域名而是 t.cn/xxx，只能蒙着眼决定去不去。二维码也一样：相机读出地址就打开，域名要等页面开了你才看得见。

短链接通向哪里

把它贴进短链接指向哪里。工具会走完整条跳转链 (从一个地址自动转到下一个地址)，显示每一步、最终地址和里面的参数。

两点要紧。第一：走这条链的是我们的服务器，不是你的浏览器。数点击的那一方拿不到你的地址、Cookie 和浏览器指纹。短链服务的计数器会加一，但加的这一下是我们的服务器，不是你。

第二：连跳四次不是诈骗的迹象，是普通广告。短链服务把你交给计数器，计数器交给推广联盟，联盟交给商家，每一环顺手贴一个标签。几乎所有推送和带货帖里的链接都长这样。要看的是最后一个地址：域名是谁的，和承诺的像不像。

二维码里是什么

把相机对准一个码，你就是蒙着眼往前走。有人专门利用这一点：在停车缴费机、餐馆桌角、街边海报的真码上，贴一张别人的码。付错了人，事后才知道。美国联邦贸易委员会在给消费者的提醒里写得很直白：有人举报骗子用自己的码贴住停车计时器上的码，建议只有一条：码出现在不该出现的地方，先看地址再打开。国内的停车码、共享单车码、扫码点餐，同一个道理。

看的地方在这儿：读取二维码。上传带码的图片，或者直接在页面上对准相机，就能看到里面是什么：地址、文字、Wi-Fi 密码或者收款信息。图片和相机画面都不会发到任何地方，码是浏览器自带的识别器读的。

坦白说一个限制：这个识别器 Chrome 和基于 Chromium 的浏览器有，包括安卓上的，Safari 和 Firefox 没有。在那些浏览器里页面会直说读不了。我们不想为这个引入一个第三方库。

之后规则还是一样：看域名。码说是缴停车费，域名却陌生，那就不付。邮件里的码指向一个登录页，域名不对，那就是假登录页，仅次于贴纸的第二常见剧本。

跟着你走的标签

链接里问号后面那一截，通常和打开页面没关系。utm_source、utm_medium、utm_campaign、fbclid、gclid 是 UTM 参数 (给广告系统看的签名：你从哪儿来)。去掉它们页面照常打开，但它们会告诉网站你来自哪封推送、哪个横幅、哪个社交平台，并把这次访问和你在广告系统里的档案连起来。

你把这样的链接转给朋友，也就把标签一起转过去了：系统会记下你的朋友「来自你的推送」。干净的链接把尾巴切掉，给你一个干净的地址。要打开或转发的是它。除了标签，还有什么会把你暴露给广告网络，在浏览器指纹是什么里。

反过来的需求也有：把链接、一段文字或者给客人的 Wi-Fi 密码做成自己的二维码。那是把链接变成二维码，同样不用注册、不上传服务器。

我自己怎么做

说实话：推送和带货帖里的链接，一个一个展开没有意义。四次跳转加一堆标签，没错，但那是广告，不是诈骗。值得展开的是两类：要你登录或付款的链接，和陌生人发来的链接。二维码正相反：背后牵着钱的，几乎每次都查。停车的码、桌上的码、账单上的码。「读一下」一秒钟，「追回来」不知道要多久。

检查解决不了什么

展开后域名正当的链接，仍然可能通向一个正当网站上的诈骗帖。检查回答的是「我要去哪儿」，不是「那儿的东西该不该买」。它也拦不住你在「您的账号已被冻结」邮件里的伪造链接引你到真网站后，自己把密码敲进去。这儿管用的不是工具而是习惯：银行从书签打开，不从邮件里打开。

链接展开后是一堆看不懂的东西，把整条链给 AI 看。

帮我判断这个链接安不安全。

它从哪儿来：（邮件 / 聊天 / 广告 / 街上的二维码）。
承诺的是什么：（缴停车费 / 登录账号 / 商品 /
其他）。
跳转链：（把地址一步步贴进来）。
最终域名：（哪个）。

告诉我域名和承诺的一不一致，链里哪儿看着
可疑。信息不够就问我。

一句话总结

• 短链接和二维码把域名藏了起来，而域名是唯一能分辨真假的东西。
• 点之前先展开链接，付之前先读出码，转发之前先去掉标签。
• 三个工具，零注册，你检查的东西不离开你的设备，只有链接本身例外，那是我们的服务器替你去走。