Сайт открылся по другому адресу: редирект, опечатка или подмена

Сначала сравните домен: часть адреса между https:// и первым слешем. Если домен тот же, а изменился только путь (например, вы набрали bank-example.ru, а открылось bank-example.ru/login) — это обычный редирект на страницу входа, и вводить данные можно. Если домен другой, даже с одной заменённой буквой, закройте вкладку и наберите адрес заново вручную. Пароль меняйте только тогда, когда вы уже успели его ввести на чужом адресе.

Как по адресной строке понять, что произошло

Выпишите набранный адрес и текущий и сопоставьте посимвольно. Смотрите не на весь адрес, а на домен — он определяет, чей это сайт. Всё после первого слеша (путь и параметры) на разных сайтах может совпадать, поэтому по нему судить нельзя.

Типичных картин три. Первая: домен совпадает, но добавился путь или поддомен вроде www — это переадресация внутри одного сайта. Вторая: домен отличается похожим написанием — лишняя буква, дефис, другая зона. Третья: вы сами промахнулись при наборе, и браузер открыл существующий сайт с похожим именем.

Проверьте, откуда взялся адрес. Если вкладка открылась из закладки, письма или поисковой выдачи, вы могли ничего не набирать — тогда смотрите на саму ссылку, по которой перешли.

Чем редирект отличается от подмены домена

При редиректе сервер отвечает кодом 301 или 302 и указывает новый адрес, а браузер переходит туда сам. Это штатный механизм: так сайты переезжают с http на https, со старого домена на новый или отправляют на страницу входа. Исходный адрес существует и отвечает — вы можете вернуться на него.

Подмена выглядит иначе. Вы попадаете на чужой домен, который лишь имитирует знакомый: единица вместо латинской l, лишний дефис, другая доменная зона. Настоящий сайт вас никуда не переадресовывал — вы просто оказались на другом ресурсе. Проверить просто: наберите исходный адрес заново. Если он открывается и ведёт куда положено, а «странный» адрес живёт своей жизнью — это не редирект.

Отдельный случай — цепочка переходов через промежуточный домен, например сервис сокращения ссылок или систему аналитики. Это не обязательно обман, но промежуточный адрес стоит проверить: кто им владеет и зачем он в цепочке.

Где посмотреть цепочку переходов до и после клика

До клика наведите курсор на ссылку — целевой адрес обычно показывается в строке состояния внизу окна браузера. На телефоне удерживайте палец на ссылке: браузер покажет адрес до перехода. Это самый быстрый способ заметить чужой домен, не открывая страницу.

После перехода откройте инструменты разработчика (F12 или Ctrl+Shift+I), перейдите на вкладку Network, включите запись и повторите переход. В списке появятся все запросы с кодами ответа: строки с 301 и 302 — это переадресации, рядом виден адрес, куда сервер отправил браузер. Так вы увидите всю цепочку, а не только конечную страницу. Если в ней мелькнул незнакомый домен, а потом вы вернулись на нужный сайт, — решите, доверяете ли вы этому звену. Если цепочка состоит из одного перехода на тот же домен, беспокоиться не о чем.

Что означает замок и сертификат и чего он не гарантирует

Замок в адресной строке и https означают, что соединение зашифровано, а сертификат выдан удостоверяющим центром для этого домена. Сертификат подтверждает владение доменом — и только. Он не говорит, что сайт честный: мошеннический ресурс тоже может получить сертификат на своё имя.

Поэтому замок проверяйте вместе с написанием домена, а не вместо него. Замок на адресе bank-examp1e.ru выглядит так же солидно, как на настоящем сайте банка, но домен чужой. Обратное тоже бывает: старый сайт без https — не обязательно подделка, просто он не настроил шифрование.

Как безопасно выйти, если адрес незнакомый

Не вводите на такой странице логин, пароль, код из SMS и данные карты. Закройте вкладку — не переходите по ссылкам внутри страницы и не нажимайте кнопки вроде «вернуться на главную»: они могут вести дальше по чужому сайту. Нужный ресурс откройте заново, набрав адрес вручную или из своей закладки.

Если вы уже ввели пароль — смените его на настоящем сайте и включите двухфакторную аутентификацию. Если успели ввести данные карты — позвоните в банк и заблокируйте карту. Если ничего не вводили, достаточно закрыть вкладку: менять пароль не нужно.