如何分辨假 VPN 下载页和真下载页

你点下大大的下载按钮，安装程序落地，之后才发现地址栏里的域名不对。页面上有标志、配色，还有一条指向真实项目的支持链接。这些都不能证明你刚运行的那个文件是什么。品牌可以复制；真正决定你得到什么的，是下载指向哪里。

看按钮把你送到哪里

把鼠标悬在按钮上，或在手机上长按，读的是目标地址而不是按钮文字。按钮指向的域名和你所在页面不同，这是最强的单一信号，一秒钟就能看出来。如果地址是短链、联盟跳转，或带上了你没选的版本号，先停下来，另找独立渠道拿链接。文字是建页面的人写的；只有 href 必须在点击后仍然成立。

搜索结果会再加一层。广告有标注，但标注很小，赞助文案还常常照搬项目自己的说法。输入你早就知道的厂商域名，或用书签，再和你正要点的地址比对。工作软件要看批准的发行渠道，而不是排在最前面的结果。

教程也不是下载页。嵌在指南里的广告付钱给作者，投什么由广告主决定。

HTTPS 证明的是送达，不是身份

锁形图标只说明字节从你到达的主机传来，途中没有被改动。它不说明谁在运营那台主机，因为证书很便宜，仿冒域名也能为自己的名字拿到有效证书。逐字读主机名，尤其是第一个斜杠之前的部分，因为有意思的谎言藏在子域和带连字符的词里。vpn-download.example.net 上的页面和 example.com 是不同的发布者，哪怕排版一模一样。

证书细节只多一点点：组织验证的证书会写出公司名，只做域名验证的证书谁都不写。这仍然弱于从你本来就信任的来源拿地址。当你只检查了锁，你验证的是送货车，不是寄件人。

运行之前先检查文件

先看文件类型，因为扩展名最容易伪造，也最值得读。dmg、exe 或 msi 是安装程序；ovpn 或 conf 是配置文件，而配置文件可以携带路由、DNS 服务器和连接时执行的脚本。一个页面提供配置文件却把它叫作连接修复，是在要你信任它的内容，而不只是信任它存在。把提供的格式和厂商为你的平台记录在案的格式对一下。

然后看发布者：Windows 上看签名，macOS 上看公证和团队标识，Linux 上看软件源和包名。带着正确标志的页面给出的未签名安装程序，仍然没有签名，设计好坏改变不了这一点。如果签名缺失，或发布者名字和你预期的不一样，在第一个提示框之前就停下。

也要留意安装提示。VPN 客户端打开隧道不需要新的根证书，连接也不需要广泛的磁盘访问权限。

已经装了怎么办

为对比再去第二个陌生站点下载，并不能验证第一个，因为同一个运营者可以同时跑两个页面。唯一有用的对比，是拿一个独立获得的地址来比：厂商记录在案的页面、软件包仓库，或没有经过广告就到达的商店页面。用这个基准判断你手上的是真正的客户端，还是顶着它名字的东西。

如果安装程序跑过了，逐项检查它改了什么：装了哪些应用、加了哪些配置、新增了哪些证书、授予了哪些权限。说不清来源的都删掉。如果输入过凭据或 VPN 配置，就当它已经泄露，并且要通过服务本身去更换，而不是通过那个索要它的页面。

然后把页面报告给厂商，以及浏览器或搜索引擎，这才能帮到下一个搜索的人。Mozilla 的 钓鱼防护说明 讲的是浏览器自己能拦住什么、拦不住什么。

一分钟能做完的三问检查

按钮到底指向哪里，那个主机是不是厂商记录在案的主机？文件是什么，厂商是否为这个平台提供这种格式？安装程序索要什么，厂商文档索要的是不是同样这些东西？三个答案，一分钟，任何一处对不上，都是停下的理由，而不是小心继续的理由。

把记录在案的下载页收藏一次，路就走短了，下次不用在五个赞助结果之间挑。这个习惯很无聊，却能把决定从你最不小心的那一刻拿开。