VPN 安全吗？它本身既不安全也不危险。
它是一条通到别人服务器的加密隧道，一切取决于三件事：服务器是谁的，服务器上记了什么，以及隧道开着的时候你在里面做什么。好的 VPN 让咖啡馆的 Wi‑Fi 和运营商看不到你打开的网站列表；坏的 VPN 恰好相反，它自己收集这份列表，卖掉，再顺手塞广告。还有一类情况，VPN 本身是诚实的，却毫无用处，因为漏洞在别处。
下面是五种让 VPN 适得其反的情况。一条都不沾，你的隧道在正常工作；沾了任何一条，一个晚上就能改好。
| 五种情况 | 风险 |
|---|---|
| 商店里的免费应用 | 数据被卖 |
| 隧道通了 DNS 绕过 | 域名仍暴露 |
| 没开 Kill Switch | 断线即裸奔 |
| 迷信「无日志」 | 无从验证 |
| 当成隐身衣 | 期待错位 |
一：商店里的免费应用
服务器和流量要花钱。不收你钱的应用在收别人的钱，卖的多半是你：应用里的广告 SDK 把设备标识和使用习惯发给广告网络，部分服务把你的网络出口租给别人，陌生人用你的 IP 上网。你躲开了运营商，把自己交给了一家没有名字和地址的公司。免费的代价在免费节点和免费机场的风险。
| 五种情况 | 分量 |
|---|---|
| 商店里的免费应用 | 最重 |
| 让你装证书 | 最重 |
| DNS 绕过隧道 | 重 |
| 没开 Kill Switch | 中 |
| 当成隐身衣 | 中 |
二：隧道通了，DNS 却绕过去了
最常见、也最看不见的故障。连接建立了，IP 换了，设备却还在问运营商的 DNS「这个域名在哪」。网站列表照旧交给运营商，只是你现在确信自己受到了保护。两分钟能查：我的 IP 是什么应显示节点所在国，WebRTC 泄露检测和IPv6 泄露检测不应出现真实地址。修法在DNS 泄露是什么意思。
三：没开 Kill Switch
隧道会断，不是服务不好，是手机从 Wi‑Fi 切到了移动数据，或者电梯吞了信号。那几秒钟里设备直接上网，打开着的一切以明文和真实地址出去。Kill Switch 在这段时间干脆切断网络。没有它，保护「几乎总是」有效，而「几乎」在隐私里不算数。
| 「无日志」是一句承诺 | 判断 |
|---|---|
| 从外部无法验证 | 是 |
| 只有审计和长期表现能佐证 | 是 |
| 开源代码可以读 | 是 |
| 所在地会改变义务 | 是 |
一句标语里没有可核对的东西。
四：迷信「无日志」
VPN 服务器站在运营商原来的位置：看得到域名、时间、流量。记不记，是政策问题，不是技术问题。首页上的「无日志」三个字什么都不代表，写明「保存什么、不保存什么」的政策才有可核对性。声称「什么都不存」的服务，要么没法运营，要么没说全：至少邮箱和订阅状态是存的。运营方能看到什么见运营商能看到我访问了什么网站吗。
五：把它当隐身衣
VPN 不让你匿名：登录了实名账号，网站通过任何隧道都知道你是谁。它不遮浏览器指纹：屏幕、字体、时区由浏览器直接告诉网站。它不是杀毒软件：恶意文件经隧道照样下载。它挡不住钓鱼：假的银行页面在隧道里和真的一样打开。如果这些是你装它的理由，安全没有提高，安全感提高了，这是最糟的组合。还有你亲手交出去的东西：相机拍的照片带着拍摄地点的坐标，隧道根本看不见它，详见照片元数据会暴露什么。
真正危险的一种：让你装证书
最有害的「VPN」看起来最无辜：应用请你安装一个描述文件或证书，「用于建立安全连接」。根证书让签发者可以整体解密你的 HTTPS 流量：网银、邮箱、密码。正常隧道从来不需要它，只需要添加 VPN 配置的权限。遇到坚持要证书的应用，删掉它，再去 iPhone 的设置、通用、VPN 与设备管理，或 Android 的凭据存储里检查有没有不认识的东西。这是 VPN 不是「差一点」，而是与其用途完全相反的唯一场景。
什么时候 VPN 确实比没有更安全
公共 Wi‑Fi，网络所有者和同网的人看得到域名和 DNS，隧道能堵上；会拿浏览数据变现的运营商；旅行中接入几十个陌生网络；在咖啡馆处理公司业务。这些情况下隧道做它该做的事，前提是前四条没问题。公共 Wi‑Fi 的规则在在公共场所连接公共 Wi‑Fi 怎样更安全。
| 十分钟自查 | 期望结果 |
|---|---|
| 出口地址 | 变成节点所在地 |
| DNS | 在隧道内解析 |
| WebRTC | 什么都不暴露 |
| 断线时 | 流量停止 |
| 证书 | 一张都没装 |
十分钟自查
- 打开隐私政策，找「保存什么」的清单。只有口号没有清单，减一分。
- 连上后查上面三个页面。
- 开 Kill Switch，从 Wi‑Fi 切到移动数据：网络应该断几秒，而不是退回明网。
- 看应用权限：VPN 不需要通讯录、短信和麦克风。
- 看有没有付费套餐、免费套餐有没有写明限制。两样都没有，付钱的就是你。
一分钟看出不安全的 VPN
完全没有付费套餐。要求安装证书。没有公司名和国家。「无日志」后面没有清单。要通讯录、短信或麦克风权限。几百条一模一样的五星好评。任何一条都不是判决，两条同时出现就该换一家，而不是替它找理由。
怀疑某个具体应用时，把事实摆出来再问。
帮我在安装前评估一个 VPN 应用。
名称：（哪个）。开发者：（商店里写的）。
开发者所在地：（如果有）。
收费：（免费 / 订阅 / 两者都有）。
关于协议它写了什么：（照抄，或「没写」）。
关于日志它写了什么：（照抄，或「没写」）。
要求的权限：（列出来）。
告诉我哪些信号值得警惕、为什么，
以及一份可信的说明里还应该有什么而这里没有。
不要用评分和评论来判断。结论
VPN 安全吗，由三件事决定，没有一件叫「VPN」：服务器是谁的，它写下了什么，你这边的泄露堵没堵上。三件事都可以核对，核对花的时间比读完这篇还短。法律层面：在中国大陆使用代理和 VPN 受相关规定约束，由你自己判断并承担责任，本文不构成法律意见。
404 VPN 在隐私政策里列出保存与不保存的每一项：不保存访问记录、DNS 查询、流量内容和连接建立后的源 IP；保存邮箱、订阅状态和汇总的流量统计。主力协议是 VLESS + Reality，DNS 在隧道内解析；伊斯坦布尔和马赛两个节点另有 WireGuard 配置（在中国大陆会被拦截）。Android 应用有 Kill Switch，默认关闭，需要自己打开。免费套餐写明限制：每天 2 GB、一台设备、一个节点。这些都可以自己核对，从首页开始。