如何识别有风险的 VPN 软件

VPN 是系统级的：它拿到的是设备上所有程序的流量，包括你不知道在后台跑的那些。普通 App 泄露的是它自己收集的数据，VPN 泄露的是你在这台设备上做的一切。所以选 VPN 软件的标准要比选普通 App 严得多。

「用了没事」不是安全的证据。记录、上报、注入都发生在服务器端或后台，用户端感觉不到；真出事往往在几个月后，而且追溯不到是哪一款软件。

• 来源不明：安装包从群聊、网盘、二维码传来，没有官网或应用商店页面。正规客户端要么来自应用商店，要么来自开发者官网，要么来自能核对签名的发布页。
• 要求装根证书：安装时让你「信任证书」「安装描述文件」并要求信任 CA。装了根证书，它就能解开你所有的 HTTPS 流量，包括网银和邮箱。正常的 VPN 不需要这一步。
• 权限过多：一个 VPN 要通讯录、短信、通话记录、精确定位、读取相册。VPN 只需要建立隧道的权限，其他都用不着。
• 要求实名：注册要身份证、人脸、国内手机号绑定。所谓合规 VPN 就是这样把你的身份和你的流量记录绑在一起的；正规服务只需要一个邮箱。
• 私有协议 + 闭源客户端：只能用它自己的 App，不支持任何标准协议（AnyConnect、OpenVPN、WireGuard、sing-box），你无法用第三方开源客户端验证它到底传了什么。
• 免费且看不出收入来源：没有付费档、没有广告、没有企业客户，却常年运营。大陆出口带宽是按量收费的，不收钱的服务总在别处收回来。
• 没有公司、没有客服、没有历史：查不到运营主体，没有可联系的人，域名注册不到一年，频繁改名换壳。
• 后台流量异常：不用的时候设备也在持续上传，电量和流量用得快。可能在把你的设备当别人的出口，或者在同步你的数据。
• 宣传里强调「官方」「备案」「合法合规」并暗示别的都不合法：这是「红色 VPN」最典型的话术，它的合规就是记录并上报。
• 应用商店评价一边倒、评论内容雷同、下载量与评论数不成比例：刷出来的。

1. 看协议：官网有没有写明用什么协议、能不能用第三方客户端。能用 OpenVPN、AnyConnect、sing-box、Tailscale 这类开源或标准客户端连的服务，传了什么你可以自己抓包看。
2. 看权限：安装后到系统设置里看它申请了哪些权限，把 VPN 之外的全部关掉，关掉后还能不能用。不能用就卸。
3. 看证书：iOS 设置 → 通用 → VPN 与设备管理，安卓设置 → 安全 → 加密与凭据 → 受信任的凭据 → 用户，Windows 的证书管理器里「受信任的根证书颁发机构」。有它装的证书就删掉并卸载它。
4. 查泄露：连上后打开 DNS 泄露检测和 IPv6 检测页，看解析和地址是不是都走了它的服务器；再打开一个 HTTPS 网站看证书颁发者是不是原本的 CA。
5. 查主体：官网有没有公司或团队介绍、运营多少年、客服在哪；退款规则写没写；隐私政策有没有写清楚记录什么。

1. 卸载软件，然后到上面说的位置检查并删除它装的证书和描述文件。
2. 改密码：网银、邮箱、常用账号，尤其是在用它期间登录过的。
3. 开启两步验证的账号检查登录记录，有陌生设备就踢掉。
4. 路由器上装过的，恢复出厂设置后重新刷官方或可信固件。

蓝盾 不做自己的 App：客户端只来自 Cisco、OpenVPN、sing-box/Hiddify、Tailscale 的官方上游，原样镜像不修改，你随时可以用官方或开源客户端替换本站下载的那份。协议全是标准协议，能抓包验证。

注册只需要邮箱，不要手机号、不要身份证。记录什么、不记录什么写在关于页：邮箱、套餐、到期时间、每次连接的时长与流量用于计费；不记录访问内容，不注入广告，不出售数据。

不装证书、不要通讯录和定位。哪天我们的客户端要你装根证书，那一定不是我们。