疑似页面悄悄变化——91官网：关于相似域名的说法；最要命的是这一句提示…？有新情况我会继续补
最近不少人反映访问“91官网”时页面似乎悄悄变了，地址栏里出现的域名也让人起疑：是官方改版，还是有人做了相似域名来迷惑用户？更让人紧张的是页面里弹出的一句提示——它可能是识别真假的关键，也可能是引导你输入敏感信息的陷阱。下面把这件事拆开说清楚，给出一份实用的自查和应对清单，方便你马上上手验证并保护自己的账号。
先说结论（简短版）
- 页面悄然变化和“相似域名”提示，很可能是域名劫持、钓鱼或拼写欺骗（typosquatting）；也有可能只是站方临时变更域名或镜像站点。
- 那句提示如果要求你“重新登录”“验证信息”或“输入验证码/支付信息”，请先暂停，按本文方法核实再操作。
- 按下面的检查流程自查一次，发现异常立刻停止登录、改密并联系官方渠道确认。
我会把后续新情况继续补到本文里。
这句提示为什么“最要命”
页面上常见几类提示：离开本站前往第三方、检测到相似域名、请重新登录/验证、或让你复制/扫描二维码。危险性从低到高大致排序：
- 提示只是“您将离开本站”“跳转到第三方”，提醒性质，风险低（但也要确认跳转目标）；
- 提示“检测到相似域名/URL异常”，这是明确信号，提示当前页面可能不是官方或已被替换，应中止敏感操作；
- 提示“请重新登录/输入验证码/完成验证/支付以继续”，危险最高——极可能是想窃取凭证或资金。
因此，那句提示是否要求输入账号、验证码或支付信息，决定了优先级和应对强度。看到类似要求时，直接把页面当作可疑处理。
实用核查清单（按步骤走）
1) 看浏览器地址栏（不要只看标题）
- 确认域名字母和排列是否完全一致（注意细微差别，如数字、连字符、拉丁字母 vs 类似的希腊字母或全角字符）。
- 检查是否是二级域名欺骗（比如 official.example.com.victim.com 这种把真正站点放在子目录前面）。
2) 点击安全锁查看证书
- 查看证书的颁发机构、有效期和“颁发给”字段。官方站点通常使用正规CA颁发的证书，颁发给的域名应与当前地址完全匹配。
- 若证书自签或颁发域名不一致，马上离开。
3) 用 WHOIS / DNS / Punycode 检查域名信息
- WHOIS 可以看注册日期、注册商和联系邮箱。最近才注册的域名需提高警惕。
- 用 dig/nslookup 查看解析指向的IP，和官方已知IP是否一致。
- 检查Punycode（含有欺骗性字符的域名会被转成xn--格式）。
4) 比对页面内容（不要输入任何账号）
- 比较Favicon、页脚版权信息、隐私条款、帮助中心链接等。恶意站点往往细节粗糙或缺失官方标识。
- 用“查看源代码”或开发者工具搜索可疑重定向、外部脚本或表单提交地址。
5) 访问历史快照与缓存
- 用 Google 缓存、Bing 缓存或 archive.org 比对同一URL的历史快照，看是否被替换或注入内容。
6) 不要用常用密码或跳过多因素认证
- 若你已经在可疑页面登录，立即在官方正确域名改密码，撤销其他会话，并开启/检查二步验证（2FA）。
- 检查绑定的邮箱、手机是否有异常登录通知。
7) 技术排查（进阶）
- 在终端用 curl -I 看响应头，注意 Location 重定向和 Set-Cookie 的域。
- 在不同网络/设备上访问确认是否为本地DNS污染或路由劫持。
如果确认是钓鱼或被替换，怎么做
- 立刻改密码与撤销会话：在官方、正确域名上改所有相关账户密码，并在安全设置里退出所有设备。
- 开启或重设2FA：优先使用时间同步的OTP或硬件密钥。
- 报告并求证：通过官方客服、社交媒体或网站公布的客服邮箱确认情况；把可疑页面链接、截图、证书信息一并提供。
- 检查支付信息与交易：关注银行卡、支付服务是否有异常交易，必要时联系银行冻结卡片。
- 保留证据：保存页面截图、证书详情和WHOIS记录，便于后续投诉或取证。
如何减少未来被相似域名欺骗的风险
- 书签官方域名并从书签打开，不通过搜索结果直接点进站点（搜索结果有时会被污染或被竞价广告替代）。
- 使用密码管理器：自动填充只在真正的原始域名上触发，能有效阻止很多钓鱼站点窃取凭证。
- 开启浏览器和杀毒软件的防钓鱼保护，保持系统和浏览器更新。
- 关注官方渠道公告：官方若更换域名或有镜像站，会在官方社交或公告页提前说明。
对站方的建议（如果你是站点管理员）
- 在站点和公告页显著位置公布官方域名、镜像域名及证书指纹。
- 采用HSTS + preload、严格的Content-Security-Policy和HTTP严格传输策略，减少中间人或劫持风险。
- 利用DMARC/SPF/DKIM保护邮件来源，防止通过邮件进行品牌仿冒。
- 定期监测相似域名并通过注册商投诉滥用域名。
