账号该在哪登录

这一页只有一条底线，其余都是它的推论：只在你能确认身份的入口上输账号。

“能确认身份”的意思是——你手上有可比对的东西，比如你保存过的书签、你记得的主域名、或者官方公告里写出来的入口。如果答案只是「它看起来很像」「它排在前面」「别人发的」，那就还没到能输的时候。

五种必须立刻停手的情形

在一个你从没确认过的域名上被要求登录
入口页的功能就是把送人进去，它本身不需要你在它这一层输密码。做到这一步的，你要问的不是「它像不像官方」，而是「它为什么要在我这里收集」。
登录之后又冒出一个「再验证一次」的页面
尤其是这个页面要你重新输一遍密码、重新输手机号，或者要你回答一些跟账号无关的问题。正常登录不会在登录之后再要一次凭据。
要验证码、要你念出来、要你转发
验证码在任何场合都不该给聊天对象，也不该填进一个陌生页面的输入框。这一条和这个行业无关，是所有场合通用的。
让你装一个软件，或者开屏幕共享
屏幕共享打开的那一刻，你手机上收到的验证码对方就能看到。这两样和「看内容」没有任何关系，只和你的账户有关系。
让你先付款、先充值才能继续
付费和登录是两件事。一个入口把付款挡在登录前面，或者用付款来「解锁」账号，这个顺序本身就说明它的目的是收钱，不是把人送进去。

先在确认过的入口上改密码
顺序很重要：先在真入口上把密码改掉，再去研究刚才那个站是谁。因为在真入口上改密码，等于把对方的凭证作废了一步。
查这套密码有没有在别处复用
这是最容易被忽略也最要紧的一步。同一个密码用在邮箱、支付、常用账号上的，一并换掉。真正的损失往往不在论坛账号本身，而在复用的那一串。
把二次验证打开
论坛支持的话就开；邮箱和支付这两处更应该开。已经泄露过一次的密码，配上二次验证之后风险会降一个数量级。
检查刚才那个站还让你做过什么
装过软件、点过链接、给过验证码的，要按对应的方式处理：卸掉、改相关账号、必要时联系支付渠道。做过什么决定了要补哪些。
留一份记录
把那个域名、当时的页面、时间记下来。举报和排查都用得上，也方便你之后判断同类入口。假站那一页列了几种常见的域名障眼法，对一遍能帮你认出同类。

一、这一行的账号用一套独立密码。不要和邮箱、支付、工作账号共用。这样即便某一天在一个错误的地方输了一次，损失被限制在一个账号里。

二、把入口存在两个地方。单一设备的书签会跟着设备一起丢，而丢掉参照物之后的下一步，通常就是去搜一个新域名——那一步才是真正的风险点。

这两件事都不需要判断力，只需要在做的时候顺手做一下，但它们决定了你出错时的下限。

这个站需要登录吗？

不需要。这个域名下没有账号、没有登录、没有表单，你也不可能在这里登录，因为它不提供登录功能。任何一个以这个品牌名义、却要求你在这里输账号的页面，都不是这里。

用同一个密码但加个后缀，够吗？

比完全复用强，但还是属于「可推测」的一类。要认真处理的话，用密码管理器生成互不相同的密码，或者至少让这一行的密码跟邮箱、支付完全无关。目标不是密码难猜，而是一个地方泄露不影响另一个地方。

已经改了密码，还需要做什么？

看当时给过什么。只输了密码，改掉基本就够；给过验证码、装过东西、开过屏幕共享的，要按排查顺序里对应的部分处理，重点是邮箱和支付这两处。另外留意一段时间内有没有异常登录提示。

别人代我登录，算不算安全？

如果对方是你在现实里认识并且信得过的人，那这是信任问题，不是安全问题；如果你只是在网上认识、对方说「我帮你进」，那你的凭证就交给了第三方，风险完全不在你能控制的范围内。后者不建议做。