先把邮件，和刚才的门户操作对上
2026 年的一次机场候机：你连上访客网络，门户要求填写邮箱，提交后提示「请查看确认邮件」。临时收件箱很快出现一封带机场名称的信。此时先别点最大的按钮，回想刚才由谁要求验证、填了哪个地址、页面说下一步做什么。
接收时间相近、主题写着「欢迎连接」，只能帮助建立关联，不能证明邮件可信。确认收件地址与刚才填写的一致，再核对门户上的网络运营方说明。如果没发起认证却突然收到确认信，不必为了弄清情况而点击。
酒店也可能使用外包网络服务商，邮件域名不一定等于酒店官网。但「可能外包」不是接受陌生域名的理由。可向前台或机场官方服务台询问认证服务商名称与域名，不要使用可疑邮件自己提供的客服电话核实自己。
显示名称、发件地址、点击目标，是三件事
列表里的「机场访客网络」是显示名称，邮件头中的地址是发件地址，按钮背后的 URL 才是点击目标。三者可以不同，熟悉的名称也可能只是发信方自行填写的一行文字。
| 看到的内容 | 可以检查 | 不能据此认定 |
|---|---|---|
| 发件人名称 | 是否与这次认证场景相符 | 邮件来自官方机构 |
| 发件地址 | 域名是否与已核实的服务商对应 | 邮件内所有链接都可信 |
| 按钮或链接文字 | 声称要完成什么操作 | 文字就是实际访问地址 |
| 实际目标 URL | 主机名、协议与参数是否符合预期 | 最终页面不会再跳转或索取信息 |
正文写着官网地址，实际链接却可能指向别处。展开邮件详情有助于核对发件地址，但它不是完整的邮件来源鉴定；没有可用的来源验证结果时，不要把一个看起来合理的地址当成证明。
拆开示例：先看主机名，不是先读整串字符
下面使用保留的示例域名，仅解释结构，不是真实认证入口。实际邮件的参数可能带有访问权限，请不要照着示例拼接地址。
https://login.example.net/guest/confirm?token=REDACTED&lang=zh
https://是协议，表示这次连接使用 HTTPS。login.example.net是主机名，也是先要核对的部分。/guest/confirm是路径，说明站点选择的页面位置。?后是查询参数，可能包含验证 token、语言或跳转目的地。
路径叫「confirm」并不意味着页面真实，参数写着机场名称也不能证明归属。这些文字都可以由站点设置。若地址出现端口、@、很长的编码或不熟悉的结构，先停下，不要凭熟悉词语补全自己的理解。
特别留意 @ 前面的文字
在 https://airport.example@other.example.net/ 中，真正的主机名是 other.example.net，不是前面的「airport.example」。遇到这类写法，没有必要继续试点来确认。
认域名边界，不跟着熟悉的名字走
familiar-name.example.net 中，左侧的熟悉名称只是 example.net 下的子域名。不能因为看到了酒店名、机场名或「secure」，就认为这是它们控制的网站。
比较这两个示例：login.example.net 与 example.net.other.example。后者虽然包含完整的「example.net」文字，却不属于前者的域名范围。路径里的 /example.net/ 同样不改变主机归属。
判断时要找完整主机名的边界，而不是搜索有没有品牌词。也不要机械地只取最后两段：像 co.uk 这样的公共后缀，会让可注册域名的边界不同。最实用的办法，是与从现场工作人员或独立官方渠道核实的完整域名逐字对照。
还要留意多一个连字符、换一个字母、相似字符或以 xn-- 开头的国际化域名形式。它们不一定恶意，但肉眼相似不足以确认身份；手机显示不全时，也不应猜测被省略的部分。
HTTPS、短链接和跳转，都有证明不了的事
HTTPS 保护的是你与当前域名之间的传输，不是对经营者身份、业务目的或页面内容的担保。陌生站点同样可以使用有效证书。「有锁」不能回答「这是不是机场指定的认证服务」。
短链接通常隐藏最终目的地；普通链接也可能通过追踪服务或多个页面重定向。有第三方跳转不等于一定有问题，但第一跳看着合理，也不能证明后面每一跳都合理。
拿不准，就换一个核实入口
不建议把带 token 的完整确认链接提交到公开展开器或在线扫描站。它可能被第三方保存、预取或使用。优先回到原门户核对说明，或让现场人员确认域名；不要为查看最终目标而先打开未知链接。
如果已经打开，发现地址栏变成未核实的域名，或页面要求与认证无关的信息，停止操作并关闭页面。页面跳转成功、出现场所标志或显示倒计时，也不能代替核对。
验证码和确认链接，只完成门户要求的那一步
有的酒店 WiFi 邮箱验证要求把六位码填回门户，有的要求打开确认链接，也有邮件同时提供两种方式。以原门户明确给出的流程为准，不要把邮件里所有按钮都依次点一遍。
- 门户要求填码：返回原门户填写，不把验证码发给聊天账号或所谓客服。
- 门户要求确认链接：先核对实际目标，再判断是否继续。
- 两种方式任选：完成一种后检查原门户结果，不因另一个按钮仍在就重复验证。
- 出现订阅选项：区分上网所需的服务约定与可选营销同意，不把「收优惠」误当成确认收信。
验证码也可能授权操作，并非天然比链接安全。重复申请后旧码可能失效，应按门户提示使用对应的一次验证；不要把不同邮件、不同标签页里的流程混在一起。
从上网确认，变成索要支付或账号密码：停下来
免费访客网络的邮箱确认，突然要求银行卡、邮箱密码、支付验证码，或让你安装证书、配置描述文件、远程控制工具，都应暂停。不要为了赶着登机，把异常要求当成「再做一步就能上网」。
部分网络确实销售付费套餐，也可能依法要求身份信息，但这需要在可信的门户与现场说明中独立确认。不要从一封邮件的说法推导出收费或实名要求合理，更不要向认证页输入你常用邮箱的登录密码。
已经输入敏感信息怎么办
停止继续提交。若泄露密码，通过自己原本信任的官方入口修改，并检查会话；涉及银行卡或支付验证码，联系银行或支付机构。随后向现场服务人员报告网络名称、发生时间及异常步骤，不要继续使用邮件里的「补救」入口。
手机长按、桌面悬停，只能提供有限线索
桌面浏览器悬停常能在状态栏显示目标，但长地址可能被截断，邮件按钮也未必暴露后续跳转。看不到完整主机名时，不能把可见的一小段当成完整检查。
手机长按有时会显示地址，有时会生成联网预览，甚至触发应用打开。不同系统与邮件阅读环境行为不同，不要默认「长按就绝不会访问」。如界面明确提供不打开页面的复制目标功能，可以复制到本机离线文本中检查，避免粘贴进会自动访问的地址栏。
无法可靠查看目标，就不继续。回到公共 Wi-Fi 邮箱认证指南核对流程，或请现场人员提供替代认证方式，比试开一个未知链接更合适。
确认地址与完整 token，留在自己手里
有些确认链接只凭 URL 中的 token 就能完成验证。它不是普通网页地址，不能发进群聊、公开工单或在线翻译工具；邮箱地址本身也可能关联你的这次网络使用记录。
向 support@tmpsky.com 反馈收信展示问题时，优先说明时间、设备、浏览器及错误表现。截图保留必要的域名信息，遮住地址中的私人部分、查询参数值、验证码与二维码；若 token 位于路径里，也应遮住。
不要仅裁掉邮件正文，却留下浏览器地址栏里的完整确认链接。Tmpsky 临时信箱 token、长期转发登录 token 与门户确认 token 是不同凭证，但都不应交给他人。需要报告可疑目标时，先提供脱敏域名与问题描述，不直接转发可用的完整链接。
临时收信，不是链接安全服务
继续使用临时邮箱收件箱前，记住三个边界。它们不要求你掌握所有网络细节，只提醒你在哪一步应当停止猜测。
- 收到，不代表可信。收件箱展示来信，不为发件人、链接或附件作安全背书。
- 限时，不代表匿名。地址到期不会撤回你交给门户的信息，也不会清除外部网站的记录。
- 转发，不代表检测。长期转发解决持续收信，不会把未知链接变成可信链接。
一次性认证可以使用限时地址；需要后续联系的业务，应选择自己持续控制的邮箱。地址有效期看实时倒计时，具体区别可读十分钟、一小时与长期转发对比。切换网络后找不到原信箱，则看网络切换与收件箱凭证说明。