一个页面让你举着身份证、露出脸、拍一张。证件贴在下巴旁边，字要看得清；有的还要你另拿一张纸，手写日期和「仅用于某某认证」，一起举进画面。这种照片有个通用的名字：手持身份证照片。在国内办过网贷、开过网店、注销过某些账号的人，多半拍过。可眼下这个页面自称是加密货币交易所的身份认证——那就先别按快门，因为我走过的那条币安网页版流程里，没有这一屏。
谁在要这张照片
手持照在国内被大量索要，是有据可查的。2020 年 1 月，网信办的 App 个人信息举报平台发过一篇《收集“手持身份证照片”究竟为哪般？》（原文在网信办官网），整理的是用户举报里被要求拍手持照的场景：提现、领奖、重置密码、更正或者删除个人信息、注销账号。集中的应用类型是金融借贷、网络社区、短视频、交通票务、房屋中介。安全内参同期刊了同一份材料。这两篇讲的都是国内 App，跟加密货币没有关系，但它们把一件事说透了：这张照片在很多流程里被当成万能的「本人同意」凭证，不管那个动作值不值得用它来换。
加密语境里要这张照片的，是另外几路人。一路是某些平台的认证流程，确实有这一步；一路是「代办」「加急认证」「帮你过审」的中介，开口第一句就是把身份证正反面和手持照发过来；还有一路是仿着交易所界面做的页面，认证做到一半，多出来一屏让你举证件。这三路里，只有第一路的照片进的是平台自己的系统，后两路的照片先进了某个人的手机。
哪家交易所要、哪家不要，我没有逐家走过，这一篇不列名单。我能对照的只有一条流程——币安网页版的个人账户认证，从第一屏走到「审核中」——第三节讲的就是它。
为什么一张手持照比证件正反面加起来还危险
证件正反面证明的是「这张证存在」；手持照证明的是「证件的主人本人、在某个时刻、同意用它办某件事」。第二种东西才是被拿去开户、贷款时最缺的那一样。网信办那篇列的用途是「办理代理开户、贷款、注册公司、洗钱等」，后面跟了一句「给个人造成多大伤害真是细思极恐」——这是官方文件里少见的语气。
它比证件正反面多出来的东西有三样。第一，你的脸和证件在同一张图里，用的人不必再合成。第二，它是静态的，一张图可以被复用无数次；而活体检测录下的那段画面，动作指令是当场生成的，录一次只能对上一次。第三，纸条上手写的日期和用途，在一个不核验的流程里就是摆设，改一个字就能换一个用途。
另一层危险跟照片本身无关，跟它的去向有关。同一篇文件建议搜索引擎「对手持身份证相关关键字、图片进行主动屏蔽」——这句话反过来读，意思是这类图片曾经多到能被搜出来。证件号不会换，一张流出去的手持照，没有过期这回事。
流出去之后具体被用于什么，我只有公开报道里说的那几类，手上没有自己核过的案例，这一段到此为止。
我走过的币安网页版流程里，人脸那一步长什么样
币安帮助中心《如何完成个人账户身份认证》把网页版流程按步骤排了一遍，配了官方界面图。我按它从头走到尾，要我动手的地方是：选居住地、发证国和证件类型；上传证件；人脸；确认信息。证件是在自己的那一屏单独传的，人脸是在下一屏单独录的，两样东西在你这边从来没有被合成一张图。
人脸那一屏叫 Liveness Check，界面上挂着几行英文提示，跟这篇有关的是头两行：
Please show your face clearly
Your face and background will be recorded
它要的是你的脸，外加你身后的环境，录下的是一段带动作的画面，动作由页面当场指定。中文正文在这一步给了一句红字：「请不要佩戴帽子/眼镜或使用滤镜，同时确保光线充足。」帽子、眼镜、滤镜、光线——四样要求全是冲着脸去的，没有一样跟手里拿什么有关。这一关为什么本人也会失败、失败了按什么顺序换条件，活体检测是怎么判定的那篇按屏幕上那五行提示逐条讲过。
说清楚我对过的范围：网页版、中文帮助页、2026 年 9 月。App 端的排布我没有逐屏对过，别的地区的版本我也没有对过，流程本身也会改——所以这一节说的是「我走过的那条路上没有」，不是「币安任何地方都不会要」。这两句话之间的差别，就是下一节要说的事。
让你举着身份证拍照的那个页面，可能不是币安
把上一节反过来看：正规的那条流程里，证件和脸是分开采的，活体录的画面你自己都拿不到一份。于是一张「脸加证件」的静态图，恰好是那条流程从头到尾都不会产生的东西。谁需要它？需要它的人，拿不到活体那段画面，也过不了真流程，只能让你自己拍一张给他。
所以一个自称币安认证、却让你举证件拍照的页面，先怀疑它是不是币安，比先想「怎么拍才安全」要紧得多。判断有几个落点：
- 地址栏。域名是不是 binance.com，前面有没有多出一截、少一个字母。这一步在浏览器里做，别在聊天软件内嵌的网页里做。
- 顺序。真流程里人脸在证件之后、确认屏之前，而且是活的——要你转头、眨眼、凑近。一个只让你拍一张静态照就过去的「人脸步骤」，跟那条流程对不上。
- 出口。让你把照片传到聊天窗口、邮箱、网盘、某个二维码的，那是人在收，而非流程在收。
- 话术。「加急」「内部通道」「代认证」「先发过来我帮你看」，这些词在官方帮助页上一个都没出现过。
我不能替你判断你眼前那一屏是谁做的。我能给的是一个动作：把帮助页上那几屏挨个打开，和你眼前的页面一屏一屏比，多出来的那一屏就是问题所在。币安会不会在某个地区、某种人工复核里要一张手持照，我没查到，不替它说死；但正常注册认证走的网页版流程里没有这一屏，这一点我核过。
证件交上去之后到底谁在看、放在哪、留多久，属于另一个问题，币安实名认证安全吗那篇讲的是那一头。
真被要求了，怎么把风险压到最小
前提先摆好：这一节写给已经核过对面确实是某家正规平台的正式流程、而那条流程就是要一张手持照的人。核不过的，回上一节。
这一节不教怎么拍。网上那些「怎么拍才能过」的教程，教的是把这张图拍得更清楚、更完整——从风险这一头看，方向是反的。能压的风险只在两处：这张图去了哪儿，以及它在你自己手里留了多久。
去向。只在那家平台自己的页面或者应用里当场拍、当场传，不经过相册，不经过任何聊天软件，不发给任何一个「帮你传」的人。
留存。传完就从相册删掉，包括最近删除；云端自动备份开着的，去云端再删一次。然后记下一行字——哪天、给了谁、为哪件事——放在自己找得到的地方，将来真出事，你至少知道从哪一头查起。
水印。一张手持照上要不要加字、加在哪，跟证件正反面加水印是同一个权衡：它可能替你挡一段路，也可能成为退回的理由。我只说一句立场：我不用任何第三方的「证件保护」工具去加，要加就用手机自带的标注，本地做完；两头的代价怎么算，证件照上传前该做和绝不该做的处理把账摊开了。
先看地址栏。数一遍流程里有没有让你转头眨眼的那一步。让你把照片发进聊天窗口的，关掉。已经拍了的，传完从相册和最近删除里清掉。记下哪天把它给了谁。