一、核对完整域名，而不是页面外观
仿冒页面可以复制 Logo、颜色和登录框。打开链接后检查地址栏中的完整主域名、拼写、顶级域名和重定向目标；不要只看前几个字符。平台后台优先从官方主页、已保存书签或平台应用市场进入。群聊、短信和邮件中的“紧急验证”“账号解封”链接要格外谨慎。
HTTPS 小锁表示连接加密，不表示网站一定属于官方或业务一定可信。发现域名多一个字母、使用陌生短链、证书警告、自动下载文件或要求关闭安全功能时，应停止操作。
二、使用独立账号、密码和多因素验证
平台、邮箱、收款和 ERP 不应共用密码。主邮箱与收款账号优先使用硬件密钥、通行密钥或验证器等更强的多因素验证。员工和服务商使用独立子账号，按工作需要分配权限，不共享所有者账号，也不通过聊天工具发送验证码和恢复码。
三、授权前逐项阅读权限
OAuth 或平台授权页会列出应用申请的权限。判断这些权限是否与功能匹配：一个图片压缩工具不应读取订单和财务；一个客服工具可能需要消息权限，但未必需要修改收款账户。对“读取”“写入”“删除”“广告花费”“支付”和“用户管理”权限分别评估。
四、付款前核对合同主体与续费方式
确认网站运营主体、订单或合同主体、收款主体是否合理一致；核对试用期、自动续费、退款、账户冻结和数据删除条款。付款页面跳转到第三方时重新检查域名和金额。不要向个人账户支付所谓“官方保证金”或“紧急解封费”。
五、先验证数据能否导出和删除
ERP、客服、广告、选品和财务工具可能保存订单、客户、库存和经营数据。接入前确认可导出的格式、导出频率、数据保留、备份、停用后的访问时间和删除流程。关键业务不要只存在单一 SaaS 中；定期做可恢复的离线导出。
六、建立退出清单
- 导出订单、库存、客户和配置等必要数据。
- 在平台后台撤销应用或 OAuth 授权。
- 删除子账号、API 密钥、Webhook 和自动化任务。
- 停止自动续费并保留取消凭证。
- 确认工具中的数据删除或保留期限。
- 检查异常登录、广告花费和收款账户变更。
七、导航站提供什么、不提供什么
导航站可以整理入口、介绍、核验日期和用户评价，但不能持续保证外部网站的所有功能、价格、授权和安全状态。打开外链后仍应核对域名和条款；用户评价可以帮助发现问题，但不应代替你自己的安全与合规判断。
遇到可疑页面时
不要继续输入密码或验证码。关闭页面，从官方书签重新进入，检查账号登录和授权记录；如果已经输入凭证，立即从可信设备修改密码、撤销会话、检查多因素验证和收款信息，并联系平台官方支持。保留网址、截图、时间和付款记录，便于后续调查。
官方安全参考
本文提供通用安全检查，不替代平台官方支持、事件响应或专业安全服务。