绿锁和备案：能证明什么，不能证明什么

这两个东西经常被当成「这网站是真的」的凭证，它们其实都不是。

绿锁只说明一件事：你和这台服务器之间的传输是加密的，路上没人能偷看。它不说明这台服务器值得信任——任何域名都能申请到一张合法的证书，包括打算做坏事的那些。备案号也是类似的情形：它说明有一个登记动作发生过，不说明页面上的内容是真的。

看右边那一列，你会发现真正要判断的那几件事，绿锁一件都没回答。它回答的是「传输是否安全」，不是「对方是否可信」——这两件事经常被当成同一件。

点地址栏那个锁图标，可以查到这张证书绑定的是哪个域名。

• 域名一致 证书绑定的域名和地址栏里的一致，说明这张证书确实是为这个域名签发的——这是它唯一能说明的事。
• 域名不一致 这就是浏览器会跳警告的原因。域名和证书对不上，通常意味着中间有东西在转发或者替换。
• 组织信息 有的证书里会带组织名称。带了不代表可信，只说明申请的时候提供了某项信息；没带也不能说明它是假的。

结论是：证书这一栏能做的判断，只是「地址栏和证书有没有对上」。对上了不说明可信，对不上说明有问题。它的作用是发现异常，不是发放信任。

有一种例外情况需要知道：站点证书过期忘了续期，也会跳同样的警告。但这属于运营方自己的问题，而你在现场无法区分「只是忘了续期」和「有人在中间」。所以处置是一样的——先停下，换一个确认过的入口，不要在那个警告页面上继续。

网站上经常出现一些看起来很有分量的说法。判断它们的办法不是看写得多正式，而是看这句话由谁来说、能不能在别处查证：

• 「本站是官方」「唯一指定入口」

  自己写的。任何一个站都可以写这一句，包括不是官方的那些。不是证据。

• 「已运行多年」「服务多少用户」

  数字类声明不可核，这类站也不会有第三方来给它背书。不是证据。

• 「有截图」「有人反馈」

  截图可以做，反馈可以安排。不是证据。真正有价值的是那种独立、具体、时间分布合理的用户记录——那属于内容层面的判断，在信息本身怎么核。

• 免责声明里写的年龄限制与法律说明

  这些是运营方自己的表述，用来界定它的服务范围。它有意义，但它不是「这个站是真的」的证明。

把这一页和假站那一页合起来看会更清楚：能核的那几样都很朴素——地址栏、跳转链、证书绑定对象、有没有向你要东西；不能核的那几样都写得很漂亮。