Apakah VPN Aman? Siapa Bisa Melihat Apa

• Jaringan lokal dan provider internet Anda (internet rumah, Wi‑Fi kantor atau kampus, hotspot kafe): mereka melihat perangkat Anda tersambung ke sebuah server, kapan, dan berapa banyak data yang lewat. Mereka tidak melihat domain yang Anda buka maupun isinya.
• Operator VPN: melihat IP asal Anda, domain atau alamat yang Anda kunjungi, waktunya, dan volumenya. Isi di dalam situs HTTPS (halaman, kata sandi, chat, data pembayaran) tidak terlihat olehnya.
• Situs yang Anda buka: mereka melihat IP keluar VPN, bukan IP rumah Anda. Tetapi begitu Anda login, situs tahu siapa Anda, dan cookie di browser tetap mengenali Anda.
• Software di perangkat: apa yang bisa dilihat aplikasi, keyboard, dan ekstensi browser Anda tidak ada hubungannya dengan VPN, sama saja saat VPN menyala atau mati.

Hampir semua situs dan aplikasi sekarang memakai HTTPS: lapisan enkripsi kedua antara perangkat Anda dan situs, dengan kunci yang hanya dipegang kedua ujung. Server VPN hanya meneruskan data terenkripsi itu dan tidak bisa membukanya. Kata sandi m-banking, isi email, dan pesan chat Anda di mata operator VPN sama seperti di mata provider internet: teks acak terenkripsi.

Yang tetap terlihat adalah tulisan di amplopnya: domain mana, jam berapa, berapa banyak data. Tanpa VPN, jaringan lokal dan provider Anda yang melihatnya; dengan VPN, operatornya yang melihat. VPN hanya memindahkan pandangan itu dari satu pihak ke pihak lain, karena itu pilihan operator adalah hal terpenting.

Isi bisa terlihat dalam dua kasus. Pertama, situs yang masih memakai HTTP tanpa enkripsi, yang ditandai “Tidak aman” di bilah alamat. Kedua, sertifikat root yang dipasang orang lain di perangkat Anda, yang memungkinkan mereka membongkar HTTPS. Kasus kedua inilah yang perlu diwaspadai, dan cek mandiri di bawah menunjukkan tempat memeriksanya.

Tiga pertanyaan ini sudah menjawab sebagian besar. Cara memastikan masing-masing, dan apa yang harus dilakukan kalau aplikasi mencurigakan sudah terpasang, ada di Cara mengenali aplikasi VPN berbahaya, berisi sepuluh tanda yang bisa Anda cek sendiri.

• Siapa yang menjalankannya: apakah badan usahanya bisa ditemukan, sudah berapa lama beroperasi, apakah ada layanan bantuan yang bisa dihubungi, dan apakah kebijakan privasinya menyebut persis data apa yang disimpan? Operator kini memegang pandangan ke mana Anda pergi, jadi kepercayaan padanya nomor satu.
• Aplikasi apa yang Anda pasang: aplikasi standar dari toko aplikasi atau situs resmi pengembangnya (Cisco, OpenVPN, Hiddify, Tailscale, dan sejenisnya) bisa diverifikasi. File instalasi yang beredar di grup chat atau situs berbagi file, atau layanan yang hanya bisa dipakai dengan aplikasinya sendiri, tidak bisa.
• Izin apa yang dimintanya: VPN hanya butuh satu izin, yaitu membuat terowongan. Kontak, SMS, foto, lokasi, atau permintaan memasang dan memercayai sertifikat semuanya di luar keperluan VPN.

Aplikasi VPN di iPhone berjalan di dalam sandbox sistem. Satu-satunya yang ia terima adalah kemampuan membuat terowongan VPN, dan pesan “Ingin Menambahkan Konfigurasi VPN” saat pertama kali tersambung adalah langkah normal. Ia tidak bisa membaca data aplikasi lain, foto, atau pesan Anda kecuali Anda memberi izin terpisah.

Ada tiga hal yang perlu diperhatikan di iPhone: apa pun yang meminta Anda memasang profil dan memercayai sertifikat; aplikasi yang dipasang di luar App Store lewat tanda tangan enterprise atau manajemen perangkat; dan HP yang diberikan serta dikelola kantor atau sekolah, di mana admin bisa melihat lebih banyak daripada VPN mana pun. Buka Pengaturan → Umum → VPN & Manajemen Perangkat, dan pastikan setiap entri di sana Anda kenali.

Soal dipantau: operator seluler Anda bisa melihat bahwa Anda memakai koneksi terenkripsi dan ke server mana, bukan situs atau isi di dalamnya. Operator VPN bisa melihat domain dan waktunya. Tidak ada yang bisa melihat isi HTTPS.

Di iPhone, LeoTun memakai aplikasi resmi dari App Store (aplikasi Cisco sendiri untuk metode Cisco, Hiddify untuk metode Hiddify) dan tidak pernah meminta Anda memasang sertifikat. Kalau aplikasinya tidak muncul di App Store, lihat apa yang harus dilakukan kalau iOS tidak bisa memasang aplikasi.

Ada dua jenis gratis. Software gratis, yaitu aplikasi open source seperti OpenVPN, Hiddify, dan Tailscale, tidak berbayar dan bisa diverifikasi. Layanan gratis lain cerita: server dan bandwidth butuh biaya, dan layanan yang tidak menagih Anda menutup biayanya dari tempat lain, biasanya lewat iklan, mengumpulkan dan menjual data pemakaian, atau menjadikan perangkat Anda jalur keluar bagi orang lain.

Jadi nilailah VPN gratis dari apa yang membuatnya tetap berjalan, lalu terapkan tiga pertanyaan di atas. Untuk apa pun yang melibatkan login, pembayaran, atau pekerjaan, pakai layanan yang operatornya bisa Anda kenali. Perbandingan lebih lengkap ada di VPN untuk China: gratis atau berbayar?

1. Sumber: apakah aplikasinya dari toko aplikasi atau situs pengembang? Kalau file instalasinya dari grup chat, situs berbagi file, atau kode QR, pasang ulang aplikasi yang sama dari saluran resmi.
2. Izin: buka pengaturan sistem, lihat izin apa saja yang diberikan ke aplikasi itu, dan matikan semuanya kecuali VPN itu sendiri. Aplikasinya harus tetap berfungsi.
3. Sertifikat dan profil: di iOS, Pengaturan → Umum → VPN & Manajemen Perangkat; di Android, Setelan → Keamanan → Enkripsi & kredensial → Kredensial tepercaya → Pengguna. Hapus entri yang tidak Anda kenali dan copot software yang memasangnya.
4. Jalur keluar: setelah tersambung, buka halaman yang menampilkan IP Anda dan pastikan wilayahnya sesuai pilihan Anda. Lalu jalankan cek DNS seperti dijelaskan di Kebocoran DNS vs peracunan DNS.
5. HTTPS: buka situs bank atau email Anda dan klik ikon gembok. Penerbit sertifikatnya seharusnya otoritas sertifikat biasa. Kalau browser memperingatkan soal sertifikat, berhenti di situ.
6. Pemakaian di latar belakang: kalau aplikasi banyak mengunggah data saat sedang diam dan baterai terkuras jelas lebih cepat, berhenti memakainya dan pilih yang lain.

VPN melindungi jalurnya: orang di Wi‑Fi yang sama, jaringan lokal, dan provider Anda tidak bisa melihat ke mana Anda pergi. Keamanan di dalam perangkat dan akun datang dari pembaruan sistem, software dari sumber resmi, dan kebiasaan yang hati-hati. Hal-hal di bawah ini tetap jadi tanggung jawab Anda, pakai VPN atau tidak.

• Phishing: halaman login palsu, CS palsu, link hadiah palsu. Kalau Anda sendiri yang mengetik kata sandi, terowongan terenkripsi akan mengantarkannya dengan setia. Baca domainnya sebelum mengetik.
• Malware: trojan di perangkat, software bajakan berisi backdoor, atau ekstensi browser yang tidak jelas asalnya mendapatkan data Anda sebelum data itu masuk ke VPN.
• Akun yang sedang login: masuk ke WeChat, Google, atau Taobao, dan platform itu tahu itu Anda, apa pun IP keluarnya. VPN mengganti alamat Anda, bukan identitas Anda.
• Kata sandi lemah dan dipakai berulang: satu situs bocor, situs lain ikut terbuka dengan kunci yang sama. Beri akun penting kata sandi tersendiri dan aktifkan verifikasi dua langkah.
• Informasi yang Anda serahkan sendiri: postingan yang Anda unggah, formulir yang Anda isi, serta akses lokasi dan kontak yang Anda berikan ke aplikasi.

• Aplikasinya adalah build resmi dan open source dari Cisco, OpenVPN, Hiddify, dan Tailscale, dicerminkan tanpa diubah. Anda bisa kapan saja mengganti salinan yang diunduh di sini dengan versi dari saluran resmi.
• Semua protokolnya standar, jadi Anda bisa merekam lalu lintasnya dan memeriksanya sendiri.
• Daftar cukup dengan alamat email: tanpa nomor HP, tanpa verifikasi identitas.
• Kami hanya menyimpan informasi yang dibutuhkan untuk penagihan. Kami tidak mencatat situs yang Anda kunjungi, tidak memeriksa lalu lintas, tidak menyisipkan iklan, dan tidak menjual data.
• Tidak ada sertifikat yang harus dipasang, dan tidak ada permintaan akses kontak atau lokasi.