वेबसाइट असली है या नकली कैसे पहचानें: 6 मुफ़्त चेक

कोई वेबसाइट असली है या नहीं, यह जानने के लिए पासवर्ड या कार्ड नंबर डालने से पहले दो मिनट निकालकर पाँच चीज़ें चेक करें: असली डोमेन नाम ध्यान से पढ़ें, WHOIS लुकअप से देखें कि डोमेन कितना पुराना है, SSL लुकअप से देखें कि उसका सर्टिफिकेट किसने जारी किया है, किसी भी शॉर्ट या ट्रैकिंग लिंक को URL रीडायरेक्ट चेकर से फ़ॉलो करके देखें कि वह असल में कहाँ पहुँचता है, और पता Google Safe Browsing के साइट स्टेटस में चलाकर देखें। कोई एक चेक अकेले यह साबित नहीं करता कि साइट सुरक्षित है, लेकिन स्कैम साइटें लगभग हमेशा इनमें से दो-तीन चेक में एक साथ फ़ेल होती हैं। यह गाइड हर चेक को मुफ़्त टूल्स के साथ समझाती है, बताती है कि नतीजों का क्या मतलब है, और सबसे ज़रूरी चेतावनी के संकेतों की सूची देती है।

सिर्फ़ ताले का निशान यह क्यों नहीं बताता कि साइट सुरक्षित है

सालों तक लोगों से कहा गया कि ताले का निशान देखें। यह सलाह अब पुरानी हो चुकी है। ताला (HTTPS) सिर्फ़ इतना बताता है कि आपके ब्राउज़र और सर्वर के बीच का कनेक्शन एन्क्रिप्टेड है। यह कुछ नहीं बताता कि साइट कौन चला रहा है या वह ईमानदार है या नहीं। जिसके पास भी किसी डोमेन का कंट्रोल है, उसे मुफ़्त सर्टिफिकेट कुछ ही मिनटों में अपने आप मिल सकता है, इसलिए फ़िशिंग पेज और नकली दुकानें भी असली कारोबारों की तरह HTTPS इस्तेमाल करती हैं।

इसलिए HTTPS को न्यूनतम ज़रूरत मानें, फ़ैसला नहीं। 2026 में जिस साइट पर HTTPS नहीं है, वह लॉगिन या पेमेंट वाली किसी भी चीज़ के लिए चेतावनी का संकेत है, लेकिन जिस साइट पर HTTPS है, उसके लिए भी नीचे दिए गए चेक ज़रूरी हैं।

साइट असली है या नहीं, इसकी एक छोटी चेकलिस्ट

स्टेप 1: असली डोमेन नाम पढ़ें

ज़्यादातर नकली साइटें यहीं पकड़ी जाती हैं, क्योंकि स्कैम इसी पर टिका होता है कि आप पता ध्यान से न पढ़ें। जो हिस्सा मायने रखता है वह है रजिस्टर्ड डोमेन: एक्सटेंशन (.com, .co.in, .shop) से ठीक पहले वाला नाम। उसके बाईं ओर जो कुछ भी है वह सबडोमेन है, जिसे मालिक अपनी मर्ज़ी से कुछ भी रख सकता है।

• https://paypal.com.account-verify.help/login account-verify.help का है, PayPal का नहीं।
• https://secure-amazon-orders.net उसी का है जिसने secure-amazon-orders.net रजिस्टर किया है। किसी लंबे डोमेन में ब्रांड का नाम जोड़ने में स्कैमर का कुछ खर्च नहीं होता।
• https://www.example.com@login-check.io आपको login-check.io पर भेजता है। @ से पहले की हर चीज़ को यूज़रनेम माना जाता है और नज़रअंदाज़ कर दिया जाता है।

जब कोई लिंक लंबा या उलझा हुआ हो, तो उसे URL पार्सर में पेस्ट करें। यह पते को प्रोटोकॉल, होस्ट, पाथ और क्वेरी स्ट्रिंग में बाँट देता है, ताकि आप असली होस्ट बिना आँखें गड़ाए देख सकें। अगर लिंक में %2F जैसे कोड भरे हों, तो पहले उसे URL डिकोडर से डिकोड करें।

एक जैसे दिखने वाले अक्षरों से सावधान रहें

कुछ डोमेन दूसरी लिपियों के ऐसे अक्षर इस्तेमाल करते हैं जो लैटिन अक्षरों जैसे ही दिखते हैं, जैसे लैटिन “a” की जगह सिरिलिक “а”। ब्राउज़र ऐसे इंटरनेशनलाइज़्ड नामों को Punycode नाम के फ़ॉर्मैट में सेव करते हैं, जो xn-- से शुरू होता है। अगर आप किसी संदिग्ध डोमेन को IDN Punycode कन्वर्टर में पेस्ट करते हैं और वह xn-- स्ट्रिंग में बदल जाता है, जबकि जिस ब्रांड की आपको उम्मीद थी वह सादे अक्षर इस्तेमाल करता है, तो आप असली साइट पर नहीं हैं।

स्टेप 2: देखें कि डोमेन कितना पुराना है

नकली दुकानें और फ़िशिंग पेज आमतौर पर कम समय के लिए होते हैं। उन्हें रजिस्टर किया जाता है, किसी कैंपेन में इस्तेमाल किया जाता है, उनकी शिकायत होती है और फिर उन्हें छोड़ दिया जाता है। इसी वजह से डोमेन की उम्र उन सबसे काम के संकेतों में से एक है जो आपको कुछ ही सेकंड में मिल सकते हैं।

1. WHOIS लुकअप खोलें और सिर्फ़ डोमेन डालें, जैसे example-store.com।
2. क्रिएशन डेट ढूँढें। जो दुकान “2005 से ग्राहकों की सेवा” करने का दावा करती है, लेकिन उसका डोमेन पिछले महीने बना है, वह किसी न किसी बात पर झूठ बोल रही है।
3. एक्सपायरी डेट देखें। जमे हुए कारोबार अक्सर कई साल के लिए रिन्यू करते हैं। ठीक एक साल के लिए रजिस्टर हुआ डोमेन अपने आप में कुछ साबित नहीं करता, लेकिन बहुत हाल की क्रिएशन डेट के साथ मिलकर यह स्कैम के पैटर्न में फ़िट बैठता है।
4. रजिस्ट्रार और नेम सर्वर नोट कर लें। अभी इन्हें परखने की ज़रूरत नहीं है, बस बाद में इन्हें उस बात से मिलाएँ जो कंपनी अपने बारे में कहती है।

आजकल ज़्यादातर रजिस्ट्रेंट के नाम और पते प्राइवेसी सर्विस के पीछे छिपे होते हैं, और यह सामान्य है। छिपी हुई संपर्क जानकारी को अकेले चेतावनी का संकेत न मानें। आधिकारिक दूसरी राय के लिए ICANN अपना खुद का रजिस्ट्रेशन डेटा लुकअप lookup.icann.org पर चलाता है।

स्टेप 3: SSL सर्टिफिकेट देखें

सर्टिफिकेट ईमानदारी साबित नहीं करता, लेकिन यह लापरवाह या नकली सेटअप को उजागर कर सकता है। डोमेन को SSL लुकअप से चलाएँ और तीन चीज़ें देखें:

• क्या यह आज वैलिड है? पेमेंट माँगने वाली साइट पर एक्सपायर सर्टिफिकेट वहाँ से निकल जाने की वजह है।
• क्या यह ठीक इसी डोमेन के लिए है? सर्टिफिकेट में लिखे नामों में वह पता होना चाहिए जिस पर आप हैं।
• सब्जेक्ट (subject) में क्या लिखा है? ज़्यादातर सर्टिफिकेट डोमेन-वैलिडेटेड होते हैं और सिर्फ़ डोमेन दिखाते हैं। कुछ बड़ी कंपनियाँ ऑर्गनाइज़ेशन-वैलिडेटेड सर्टिफिकेट इस्तेमाल करती हैं, जिनमें कंपनी का नाम भी दिखता है। अगर नाम है और कारोबार से मेल खाता है, तो यह छोटा सा प्लस है। अगर नहीं है, तो यह सामान्य है और चेतावनी का संकेत नहीं।

स्टेप 4: क्लिक करने से पहले लिंक फ़ॉलो करें

स्कैम मैसेज अक्सर डेस्टिनेशन को URL शॉर्टनर, ट्रैकिंग लिंक या रीडायरेक्ट की चेन के पीछे छिपाते हैं। क्लिक करने की जगह लिंक को URL रीडायरेक्ट चेकर में पेस्ट करें। यह URL की रिक्वेस्ट करता है और फ़ाइनल पेज तक हर हॉप उसके स्टेटस कोड के साथ दिखाता है।

उदाहरण

मान लीजिए किसी SMS में लिखा है कि आपका पार्सल रुका हुआ है, और साथ में एक छोटा किया हुआ लिंक है। रीडायरेक्ट चेकर कुछ ऐसा दिखाता है:

https://short.example/aB3x          301
https://track-redirect.example/r?id=91   302
https://parcel-fee-payment.example/pay   200

फ़ाइनल डोमेन का किसी असली डिलीवरी कंपनी से कोई लेना-देना नहीं है, और आख़िरी पाथ पेमेंट माँगता है। यह आपको पेज को अपने ब्राउज़र में खोले बिना ही पता चल गया। अगर आप रीडायरेक्ट कोड को और गहराई से समझना चाहते हैं, तो 301 और 302 रीडायरेक्ट चेक करने पर हमारी गाइड देखें।

स्टेप 5: देखें कि साइट कहाँ होस्ट है

वेबसाइट होस्टिंग चेकर बताता है कि साइट कौन सा प्रोवाइडर सर्व कर रहा है। इसे फ़ैसले की तरह नहीं, बल्कि यह परखने के लिए इस्तेमाल करें कि बातें आपस में मेल खाती हैं या नहीं। बड़े ब्रांड आमतौर पर अपने इंफ़्रास्ट्रक्चर पर या किसी बड़े क्लाउड और CDN प्रोवाइडर पर चलते हैं। अगर कोई साइट बड़ा बैंक होने का दावा करती है लेकिन सस्ती शेयर्ड होस्टिंग पर है, तो कुछ गड़बड़ है। ज़्यादा जानकारी के लिए IP लुकअप सर्वर का नेटवर्क और अनुमानित लोकेशन दिखाता है, और DNS लुकअप उसके रिकॉर्ड की सूची देता है। हमारी DNS रिकॉर्ड गाइड बताती है कि हर रिकॉर्ड का क्या मतलब है।

स्टेप 6: Google Safe Browsing स्टेटस चेक करें

Google अपनी ट्रांसपेरेंसी रिपोर्ट में transparencyreport.google.com/safe-browsing/search पर एक मुफ़्त साइट स्टेटस चेकर देता है। पता डालें और यह बताएगा कि Google को इस समय वहाँ फ़िशिंग या मैलवेयर जैसा कोई असुरक्षित कंटेंट मिला है या नहीं। साफ़ नतीजे का मतलब सिर्फ़ इतना है कि अभी तक कुछ पकड़ा नहीं गया। बिल्कुल नई स्कैम साइटें अक्सर अभी फ़्लैग नहीं हुई होतीं, और ठीक इसी वजह से स्टेप 2 वाला डोमेन की उम्र का चेक इतना ज़रूरी है।

पेज पर ही दिखने वाले चेतावनी के संकेत

ऊपर के तकनीकी चेक ज़्यादातर नकली साइटें पकड़ लेते हैं। पेज पर दिखने वाले ये संकेत बाकी में मदद करते हैं, खासकर नकली ऑनलाइन दुकानों के मामले में:

• बहुत ज़्यादा कम दाम ऐसे प्रोडक्ट पर जिनकी खूब माँग है, अक्सर काउंटडाउन टाइमर या “सिर्फ़ 2 बचे हैं” के साथ।
• पेमेंट सिर्फ़ बैंक ट्रांसफ़र, गिफ़्ट कार्ड, क्रिप्टो या किसी पेमेंट ऐप से, जिसमें खरीदार को कोई सुरक्षा नहीं मिलती।
• कोई असली संपर्क जानकारी नहीं: कोई फ़िज़िकल पता नहीं, सिर्फ़ वेब फ़ॉर्म या मुफ़्त ईमेल पता।
• कॉपी किया हुआ या आम कंटेंट: पॉलिसी पेज जिनमें किसी दूसरी दुकान का नाम हो, कानूनी टेक्स्ट में टूटी-फूटी अंग्रेज़ी, या दूसरी साइटों से उठाई गई प्रोडक्ट फ़ोटो।
• अभी के अभी कुछ करने का दबाव: “आपका अकाउंट आज बंद हो जाएगा”, “एक घंटे के अंदर कस्टम फ़ीस भरें”।
• ऐसे लॉगिन पेज जिन पर आप किसी मैसेज से पहुँचे। असली सर्विस शायद ही कभी चाहती हैं कि आप ईमेल में आए लिंक से साइन इन करें। पता खुद टाइप करें या बुकमार्क इस्तेमाल करें।

साइट चेक करते समय होने वाली आम गलतियाँ

• साइट पर ही दिए गए रिव्यू पर भरोसा करना। इन्हें नकली बनाना आसान है। इसकी जगह स्वतंत्र साइटों पर डोमेन नाम के साथ “scam” या “reviews” सर्च करें।
• एक अच्छे संकेत को सबूत मान लेना। पुराना डोमेन खरीदा जा सकता है, और वैलिड सर्टिफिकेट मुफ़्त मिलता है। देखें कि कई चेक एक ही बात कहते हैं या नहीं।
• डोमेन की जगह सबडोमेन चेक करना। WHOIS रजिस्टर्ड डोमेन पर चलाएँ, login.secure.brand.example.xyz पर नहीं।
• जिस साइट पर आपको भरोसा नहीं, वहाँ पुराना पासवर्ड दोबारा इस्तेमाल करना। अगर अकाउंट बनाना ही पड़े, तो एक अलग पासवर्ड इस्तेमाल करें। हमारा पासवर्ड जनरेटर एक क्लिक में पासवर्ड बना देता है, और मज़बूत पासवर्ड बनाने पर हमारी गाइड बताती है कि उन्हें कैसे संभालें।

अगर आप नकली साइट पर पहले ही अपनी जानकारी डाल चुके हैं, तो क्या करें

1. अगर आपने पासवर्ड डाला था, तो उसे तुरंत असली साइट पर और हर उस साइट पर बदलें जहाँ आपने वही पासवर्ड इस्तेमाल किया था। टू-फ़ैक्टर ऑथेंटिकेशन चालू करें।
2. अगर आपने कार्ड की जानकारी डाली थी, तो कार्ड के पीछे लिखे नंबर पर अपने बैंक या कार्ड जारी करने वाले को कॉल करें और उनसे कार्ड ब्लॉक करने और चार्ज पर नज़र रखने को कहें।
3. पेज की शिकायत Google को Google Safe Browsing के फ़िशिंग रिपोर्ट फ़ॉर्म से करें, ताकि दूसरे लोगों को चेतावनी मिल सके। भारत में आप साइबर फ़्रॉड की शिकायत cybercrime.gov.in पर या साइबर हेल्पलाइन 1930 पर कॉल करके भी कर सकते हैं; पैसे गए हों तो जितनी जल्दी हो सके शिकायत करें। अमेरिका में स्कैम की शिकायत FTC को ReportFraud.ftc.gov पर भी की जा सकती है।

अक्सर पूछे जाने वाले सवाल

क्या HTTPS का मतलब है कि वेबसाइट असली है?

नहीं। HTTPS का मतलब सिर्फ़ इतना है कि कनेक्शन एन्क्रिप्टेड है। जिसके पास भी किसी डोमेन का कंट्रोल है, वह मुफ़्त सर्टिफिकेट ले सकता है, इसलिए स्कैम साइटें भी HTTPS इस्तेमाल करती हैं। इसे न्यूनतम ज़रूरत मानें, फिर डोमेन नाम, डोमेन की उम्र और रीडायरेक्ट चेक करें।

मैं कैसे पता करूँ कि कोई वेबसाइट कितनी पुरानी है?

डोमेन को WHOIS लुकअप में डालें और क्रिएशन डेट पढ़ें। जो साइट सालों के इतिहास का दावा करती है, लेकिन उसका डोमेन कुछ हफ़्ते पहले रजिस्टर हुआ है, वह चेतावनी का मज़बूत संकेत है।

क्या किसी संदिग्ध लिंक को रीडायरेक्ट चेकर से चेक करना सुरक्षित है?

यह क्लिक करने से कहीं ज़्यादा सुरक्षित है, क्योंकि चेकर URL की रिक्वेस्ट अपने सर्वर से करता है और आपको सिर्फ़ हॉप और फ़ाइनल पता दिखाता है। फिर भी, अगर फ़ाइनल पेज गड़बड़ लगे तो उसे न खोलें।

क्या छिपी हुई WHOIS जानकारी स्कैम का संकेत है?

अकेले नहीं। आजकल ज़्यादातर डोमेन प्राइवेसी प्रोटेक्शन इस्तेमाल करते हैं, जिनमें कई असली कारोबार भी शामिल हैं। क्रिएशन डेट पर ध्यान दें और देखें कि बाकी चेक एक-दूसरे से मेल खाते हैं या नहीं।

डोमेन नाम में xn-- का क्या मतलब है?

यह Punycode डोमेन को दर्शाता है, यानी वह तरीका जिससे ब्राउज़र गैर-लैटिन अक्षरों वाले नाम सेव करते हैं। कई भाषाओं के लिए यह पूरी तरह जायज़ है, लेकिन अगर कोई ब्रांड जो आमतौर पर सादे अंग्रेज़ी अक्षर इस्तेमाल करता है, xn-- के रूप में दिखे, तो हो सकता है आप उसकी नकल वाली साइट पर हों।

क्या कोई वेबसाइट असली होते हुए भी इनमें से किसी चेक में फ़ेल हो सकती है?

हाँ। किसी नए छोटे कारोबार का डोमेन नया होगा, और कई असली साइटें सस्ती होस्टिंग इस्तेमाल करती हैं। इसीलिए सभी चेक को साथ मिलाकर परखना चाहिए। एक अजीब नतीजा गौर से देखने की वजह है, जबकि एक साथ कई अजीब नतीजे वहाँ से निकल जाने की वजह हैं।