核对域名而不是只认页面
仿冒页面最容易复制的是颜色、按钮和品牌文字，最难改变的是你实际访问的域名。点击任何登录按钮前，先读完整地址，并确认没有多余字符或不熟悉的后缀。
HTTPS可以保护与当前域名之间的传输，但不保证当前域名就是你预期的品牌页面。域名和加密连接需要同时核对。
控制页面索取的信息
正常的登录流程只应索取完成账号验证所必需的信息。页面突然要求提供短信验证码给客服、上传身份证到陌生表单、安装远程控制软件或连接数字钱包，都应立即停止。
本站不设置密码输入框，也不收集验证码、付款资料或身份文件。会员页提供的是流程说明，避免让访客在未核实的页面提交敏感内容。
确认设备属于谁
公共电脑、共享平板和借用手机不适合保存长期登录状态。必须使用时，不要勾选保持登录，完成后主动退出，并检查浏览器是否仍保留目标网站的会话。
自己的设备也应启用系统锁定和浏览器更新。账号安全不是只靠复杂密码，而是让设备、会话和恢复方式都处于可控状态。
验证码只用于当前操作
一次性验证码用于证明当前操作由账号持有人发起。任何人以“客服核对”“线路升级”或“退款”为由索取验证码，都不应提供。
如果验证码在你没有主动登录时出现，先停止操作，检查账号通知和已登录设备，再通过自己保存的可信入口处理。
退出是登录流程的一部分
完成操作后，尤其在共享设备上，应使用页面提供的退出功能，而不是只关闭标签。关闭页面可能留下仍然有效的会话，让下一位使用者继续进入。
更换设备或怀疑会话异常时，可以先在旧设备退出，再在新设备重新验证。不要复制Cookie或让不明工具“迁移登录状态”。