四虎官网 · 密码管理器绑域名：它不自动填充时，就是警报响了

结论：登录前先等1秒看自动填充，它不填，十有八九是域名对不上，先停手查地址。

机制很简单：密码管理器保存凭据时，会把账号密码与当时的域名绑定。之后每次打开登录页，它先比对当前域名与保存时是否完全一致，一致才提供填充，不一致就保持沉默。这个比对是逐字符的机器比对，不受视觉相似的影响，仿冒域名哪怕只差1个字母，在它这里也过不去。因此登录环节最省力的动作不是瞪着地址栏猜，而是先看填充提示在不在：熟悉的站点今天突然不给填充了，或者弹出的凭据条目与平时用的不是同一个，这些沉默与异常就是它在报警，此时应退出登录页，回到书签入口重新进入。

这项保护有2个常见的失效方式，都源于用户自己绕过。

第一种是手动复制：看到不填充，用户从管理器里把密码复制出来粘贴到页面上，等于亲手拆掉了域名校验这一环，密码被送进仿冒页面。第二种是随手新建：在陌生域名上登录后，管理器询问是否保存，用户点了保存，从此这条凭据与仿冒域名绑定，下次还会得到填充提示，假的被存成了真的。正确动作是：不填充时只排查、不输入；保存提示出现时先核对地址栏域名与书签记录一致再点保存。还有一类情况是站点正常换域名，官方会提前公告并给出迁移说明，按公告重新绑定即可，但要先完成新域名的互证，再迁移凭据，不要反过来先登录再核查。

密码管理器还能顺带做第二件事：给同一站点只保留1条现行凭据。列表里同一个站点名下出现多个不同域名的条目，说明历史上在不同地址上登录过，其中很可能混着仿冒域名，逐条核对来源，把来历不明的那条删除，并考虑改一次密码。老条目里保存的旧域名如果已确认失效，也一并清理，避免某天误点填充到了被他人重新注册的旧域名上。把凭据列表当作一份个人的入口访问史定期整理，它记录的恰恰是肉眼记忆最容易模糊的部分：你到底在哪些域名上输过密码。

实际操作按这个顺序走：先在登录页停1秒确认自动填充是否出现，再核对填充条目与平时是否同一条，然后检查地址栏域名与书签是否一致，最后定期清理凭据列表里的多余条目。全程大约2分钟，不需要装任何额外工具，用浏览器自带功能就能完成。核对时把每一步的结果记在纸上或备忘录里，3项里有1项对不上，就把这个入口降一级处理；2项对不上，直接关掉页面，不要抱着先看看再说的心态继续停留。

把这一条放进整套评分里看，它的定位是习惯层：前面几层解决单次访问的判断，这一层解决判断如何变成下意识动作。习惯层的评价标准只有1个，就是执行成本够不够低：需要专门腾时间、装工具、背步骤的方法，3周之内必然荒废；嵌在原有动作里的检查，比如登录前多看1眼地址、存书签时多写1行日期，才能长期留下来。建议每类习惯先只定1条，执行满1个月再加下一条。习惯的复利在于，挡住的风险不随单次判断的疲劳程度波动，状态再差，动作也不会变形。

密码管理器的结论用法是把它的话听完：它沉默的时候，比它填充的时候更值得注意。还没有用密码管理器的读者，建议从最常用的2到3个站点开始绑定，用顺手之后再扩展，这项习惯的门槛不在技术，在开始使用的那一周。这类核对的价值不在一次判断，而在形成固定动作：入口这件事，慢30秒比快30秒划算得多。把同一套标准用在每一次访问上，仿冒站最依赖的用户随手一点，恰好就被这套动作挡在门外。

最后再补一条使用边界：本条标准适用于日常访问的快速定级，如果入口涉及大额付款或重要账号，核查等级要在本条基础上再升1级，把互证渠道从2个增加到3个，并留出至少10分钟的冷静期。标准是固定的，场景有轻重，按场景调高门槛，比把所有入口都按最高规格查一遍更可持续。