第一项：核对主域名是否为 telegram.org
域名是判断渠道真伪的第一道关，也是最容易做到的一项。核对时看地址栏完整域名，而不是页面里写的文字。
| 地址 | 是否官方 | 说明 | 核对依据 |
|---|---|---|---|
| telegram.org | 官方主域名 | 官网、帮助文档、Android 与桌面端安装包均在此域名下 | 官方自述主域名 · 2026-10-12 核对 |
| web.telegram.org | 官方网页版 | 浏览器直接使用的网页客户端 | 主域名子域 · 2026-10-12 核对 |
| apps.apple.com | 官方分发渠道 | App Store 属于苹果官方商店，条目 id686449807 | 苹果官方商店域名 · 2026-10-12 核对 |
| telegram.com | 非官方 | 与官方主域名仅一字之差，极易被仿冒页面模仿排版 | 非 telegram.org 域名 · 2026-10-12 核对 |
| tg.org | 非官方 | 短域名形式，易被用于跳转或伪装 | 非 telegram.org 域名 · 2026-10-12 核对 |
| 各类短链跳转 | 非官方 | 短链会隐藏真实落地页，需展开后才能判断 | 非 telegram.org 域名 · 2026-10-12 核对 |
近似域名的风险与仿冒手法的详细说明，见第三方安装包风险一文。
第二项：核对开发者名称是否为 Telegram FZ-LLC
开发者名称是可读字段，比域名更容易判断。商店条目上的卖家名称应当是官方主体。
条目卖家为 Telegram FZ-LLC
在 App Store 的 id686449807 条目页，向下滚动到"信息"区域可以读到卖家名称，显示为 Telegram FZ-LLC。名称中出现"汉化""中文""加速""绿色"等字样的条目，均不是官方发布。
安装包发布主体一致
Android 官方安装包的发布主体同样为 Telegram FZ-LLC，公开的第三方 APK 归档站也按该签名主体名记录版本，可作为交叉参考，但下载仍应回到官方渠道。
可执行文件的数字签名
Windows 桌面端安装包带有数字签名，可在文件属性中查看"数字签名"页签的签名者信息；macOS 桌面端在首次打开时会出现系统提示，属正常流程，签名信息同样可在系统设置中查看。
第三项：核对安装包的数字签名
Android 会阻止"签名不一致"的覆盖安装：官方应用与非官方改包无法互相覆盖，只能先卸载。这也是判断改包最直接的一条依据。
| 工具 | 用途 | 查看方式 | 判定标准 | 适用条件 |
|---|---|---|---|---|
| apksigner | 打印 APK 签名证书信息 | 在 Android SDK 的 build-tools 目录下执行 apksigner verify --print-certs 文件名.apk | 输出的签名者主体与官方一致，且证书指纹稳定 | 需本机具备 Android SDK · 2026-10-12 核对 |
| keytool | 读取签名主体 | 执行 keytool -printcert -jarfile 文件名.apk | Owner 字段与官方主体一致 | 随 JDK 提供 · 2026-10-12 核对 |
| 系统应用信息 | 查看应用签名来源 | 手机设置 → 应用 → 应用信息 → 应用签名或权限 | 来源显示为官方渠道或系统商店 | 不同手机菜单略有差异 · 2026-10-12 核对 |
| Windows 文件属性 | 查看 exe 数字签名 | 右键安装包 → 属性 → 数字签名页签 | 签名者为主体官方，且时间戳有效 | Windows 桌面端安装包 · 2026-10-12 核对 |
| 覆盖安装测试 | 判断是否为同一签名 | 尝试用另一版本覆盖安装 | 签名不一致时系统会拒绝并要求先卸载 | 会涉及卸载，请谨慎 · 2026-10-12 核对 |
第四项：SHA256 哈希公示说明与自行计算方法
本站不托管安装包，所以不公示任何安装包的 SHA256 值；如果本站列出哈希值，反而说明文件经过本站服务器中转。下面是可以自行完成比对的方法。
Windows：certutil
在命令提示符中执行 certutil -hashfile 文件名.apk SHA256，回车后输出的 64 位十六进制字符串即为该文件的 SHA256 哈希值。
macOS：shasum
在终端中执行 shasum -a 256 文件名.apk，输出格式与 Windows 一致，均为 64 位十六进制字符串。
Linux：sha256sum
执行 sha256sum 文件名.apk 即可得到同一算法的哈希值，便于在多台设备间交叉核对同一个安装包。
比对时的两个前提
一是必须比对同一版本的安装包，不同版本的哈希值本就不同；二是官方并未为每个版本公开一份长期有效的哈希清单，若无第三方可信参照值，哈希只能用于判断文件在传输前后是否发生变化。
四项检查清单与判定结果
八项中任意一项不通过，都建议停止安装。完整的风险形态与处置流程见第三方安装包风险。
遇到可疑安装包时的处置顺序
- 不要继续安装：如果页面要求关闭安全检测、关闭杀毒软件或输入验证码，说明已经偏离官方流程，应立即关闭页面。
- 保留证据：记下页面地址、文件来源与文件名，用于后续举报或与家人朋友说明，不要急于清理浏览器记录。
- 已经安装的先卸载：在系统应用管理中卸载该应用，再从官方渠道重新安装官方版本，并重新设置两步验证。
- 检查账号安全：在客户端的"设备"页面查看已登录会话，退出不认识的设备；确认两步验证仍然开启。
- 向渠道举报：应用商店内的可疑应用可在条目页举报；可疑域名可向域名注册商或主机服务商举报。
- 涉及财产损失时：若已发生转账或提供银行卡信息，及时修改支付密码并报警处理。
校验环节的可核对事实：六条结论与来源
正版校验的每一步都应得出可复核的结论，下面 6 条列出判断依据、数据与来源。核对日期 2026-10-12。
- 纸飞机（Telegram）的官方主域名是 telegram.org，网页版为 web.telegram.org；近似域名 telegram.com 与短域名 tg.org 共 2 个均不属于官方主域名，属于高风险域名，来源为官方自述主域名与域名比对，2026-10-12 核对。
- 纸飞机（Telegram）在 1 个商店条目（id686449807）中的卖家名称显示为 Telegram FZ-LLC，名称中带有"汉化""中文""加速"等字样的同名条目均非官方发布，来源为 App Store 官方条目，2026-10-12 核对。
- Android 安装包一经改动，其原有数字签名立即失效，重新分发者必须使用自有证书重签名，因此"签名主体不一致"在 100% 的改包情形下都成立，来源为 Android 应用签名机制，2026-10-12 核对。
- SHA256 哈希值与版本文件一一对应，比对 2 个不同版本的安装包必然得出 2 个不同哈希结果，因此比对必须针对同一版本进行，来源为哈希算法与版本对应关系，2026-10-12 核对。
- 可用 2 条命令打印安装包签名证书：apksigner verify --print-certs 与 keytool -printcert，输出的签名者主体应与官方主体一致，来源为官方签名工具输出内容，2026-10-12 核对。
- 由于本站不托管也不中转任何安装包，本站公示 0 个安装包哈希值，用户如需核对应从官方渠道下载后在本地用 3 个命令（certutil、shasum、sha256sum）自行计算，来源为本站分发边界声明，2026-10-12 核对。