VPN新手安全指南：帳號、訂閱連結與公共 Wi-Fi

帳號與訂閱連結：分開保護

控制台密碼和訂閱連結是不同類型的憑證。前者通常用於管理帳戶，後者則讓用戶端取得線路設定。即使不知道控制台密碼，持有有效訂閱連結的人仍可能取得其中的節點位址與驗證資訊。因此，訂閱連結應視為敏感憑證妥善保管，不要當成一般下載網址轉傳。

訂閱連結常會將存取權杖放在路徑或查詢參數中。HTTPS 能保護傳輸過程，卻無法阻止收件者使用連結，也不能避免連結留存在聊天紀錄、瀏覽器同步資料或截圖中。QR Code 只是另一種承載形式；將訂閱 QR Code 傳到公開群組，風險與直接傳送連結相近。

用戶端能正常連線，不代表帳號資料已妥善保存。更換裝置、重新安裝系統或遺失本機設定前，應確認能從安全位置取回憑證。不要只把唯一備份放在同一台裝置的備忘錄，也不要為了方便求助，就把整份設定檔傳給陌生人。

帳號設定：密碼與資訊最小化

密碼應專用、夠長且不易猜中。使用密碼管理工具產生並保存密碼，比在常用密碼後加上網站名稱可靠。控制台密碼不要與電子郵件、購物或社群帳戶共用；其他網站發生資料外洩時，重複使用的憑證可能遭人用來嘗試登入。

填寫資料前，先確認欄位用途。只提供完成服務所需的資訊，不要在暱稱、備註或客服案件中補上真實姓名、證件資料及無關的工作資訊。也應事先確認帳戶復原方式：如果服務不透過電子郵件找回帳戶，就更應妥善保存帳號憑證，並了解官方提供的復原流程，而不是等到無法登入時才尋找入口。

• ✅ 從已確認的官方網站進入控制台，並檢查網址列中的完整網域。
• ✅ 為控制台設定專用密碼；若有提供額外驗證，先了解使用方式並妥善保存復原資料。
• ✅ 在共用裝置上使用完畢後登出帳戶，避免儲存密碼與登入工作階段。
• ❌ 不要將密碼、訂閱權杖或復原資料傳給自稱客服的陌生聯絡人。

HTTPS 的鎖頭圖示表示連線已加密，不代表網站身分可信。仿冒網站也可能取得有效憑證。收到要求重新登入的訊息時，請自行開啟已儲存的官方網站入口查證，不要沿著陌生訊息中的連結輸入憑證。

匯入用戶端：來源與權限

用戶端會接觸訂閱憑證，也會影響流量的傳輸路徑。優先從服務說明頁所連結的專案官方發布管道或正規應用程式商店下載，並確認專案名稱、開發者與平台版本。不要只看搜尋結果排名就下載，也不要安裝來源不明的修改版本。操作步驟可參考使用教學，不要照著陌生截圖操作。

Windows 與 macOS 用戶端可能使用系統代理，也可能提供虛擬網卡接管模式；前者主要影響遵循系統代理設定的應用程式，不代表裝置上的所有流量都已納入代理。行動平台通常透過系統 VPN 設定授權建立流量通道，但授權畫面本身無法證明用戶端可信。Linux 的命令列設定也要留意檔案權限，避免其他本機使用者讀取金鑰。

匯入前，確認用戶端支援設定檔所使用的協定與格式。Shadowsocks、VMess、Trojan、VLESS、Hysteria2 和 TUIC 不能任意互換；支援其中一種，不代表能直接讀取其他協定的訂閱。協定名稱本身也不足以判定安全性，例如 VLESS 本身不提供負載加密，通常須搭配 TLS 等傳輸保護，才能判斷實際設定。

匯入後，檢查設定是否包含遠端規則、指令碼或額外訂閱。這些內容可能改變分流行為，不要因為它們與節點設定一同出現，就預設為可信任。若操作要求安裝根憑證或關閉憑證驗證，請先停止並確認原因；一般代理連線不需要透過受信任的根憑證解密瀏覽器的 HTTPS 內容。

公共 Wi-Fi：連線前後都要檢查

公共 Wi-Fi 的風險不只在於網路沒有密碼。名稱相似的偽裝存取點、遭竄改的驗證頁面，以及區域網路中的惡意裝置，都可能影響連線過程。連線前先向場所確認網路名稱，並關閉不必要的自動連線；若系統提供公共網路設定，請關閉網路探索與檔案共享。

需要網頁驗證的網路，可能會要求先開啟入口頁面，才能建立代理連線。此時只進行必要的網路連線操作，不要在陌生入口頁面輸入其他網站的密碼。若頁面要求安裝憑證、下載不明程式，或瀏覽器持續出現憑證警告，請停止操作並確認網路狀況，不要一再忽略提示。

可信任的加密通道可以降低本地網路窺探或竄改通道內流量的機會，但不能取代 HTTPS、網站身分查證與裝置安全。使用代理後，部分信任會從本地網路轉移到服務出口；釣魚網站、惡意附件與瀏覽器擴充功能仍可能竊取資料。

1. 確認存取點並完成必要的網路驗證，避免在驗證前處理敏感業務。
2. 啟動可信任的用戶端，確認需要傳送的流量已進入預期通道，再存取目標服務。
3. 檢查網站網域與憑證提示；若發現異常，停止輸入密碼或付款資料。
4. 離開後中斷網路連線、取消自動連線，並視需要移除已儲存的公共網路。

裝置進入休眠、切換存取點或重新連線後，連線狀態可能改變。若要處理敏感資料，應重新確認連線狀態，不要把先前顯示的「已連線」視為持續有效的證明。若用戶端提供斷線阻擋功能，應先了解其作用再啟用，並實際測試斷線時能否阻止意外的直接連線。

分流與 DNS：連線成功之後

「網頁能開啟」只能證明某次請求成功。規則模式可能讓部分網站直接連線；全域模式也可能受到程序排除、系統元件或用戶端實作方式影響。若某個應用程式沒有經過代理，請先檢查它是否遵循系統代理、是否符合直連規則，以及虛擬網卡模式是否確實啟用，不要只是一再更換節點。

DNS 用來將網域名稱解析為位址。所謂 DNS 外洩，通常是指解析請求未依預期經過受保護的路徑，而是交由本地網路或其他非預期的解析器處理。瀏覽器的加密 DNS、系統解析與用戶端 DNS 設定可能各自生效，須配合實際設定判斷。檢測頁面顯示陌生的解析器，不能單憑這點判定發生外洩，也可能是所用服務的上游解析器。

可先透過網路檢測查看出口位址，再比對用戶端的連線記錄與分流命中狀況。分別測試瀏覽器和實際使用的應用程式；如果裝置同時使用不同的位址類型，也要確認它們是否遵循預期路徑。單次檢測通過不代表之後都沒問題；更新規則、切換模式或更換網路後，都值得再次檢查。

發生外洩：先撤銷憑證，再清理

發現連結遭公開、設定誤傳或控制台出現異常登入時，先判斷外洩的是哪一類憑證。刪除訊息只能減少後續傳播，無法收回他人已複製的內容。不要等到出現明顯流量異常，才開始撤銷存取權限。

1. 保護控制台。使用可信任的裝置登入官方網站並修改密碼；若有工作階段管理功能，請登出不認得的工作階段。其他曾共用這組密碼的帳戶也應分別更換密碼。
2. 撤銷訂閱。在控制台尋找重設或撤銷功能；若找不到明確入口，請透過官方說明管道確認處理方式。不要假設修改登入密碼也會一併更換訂閱權杖。
3. 確認節點憑證。詢問重設是否只會更換訂閱網址，還是也會讓舊的節點驗證資訊失效。已下載的設定可能仍可使用，實際情況取決於服務端的撤銷機制。
4. 更新自用裝置。以新設定取代舊訂閱，清除舊檔案、QR Code 與不再需要的同步副本。若服務支援驗證，請確認舊入口及舊設定已失效。
5. 追查外洩來源。檢查共用文件、截圖、瀏覽器擴充功能與線上轉換工具，避免新憑證再經由相同管道外洩。

向客服回報問題時，先說明作業系統、用戶端名稱、錯誤內容與發生情境。提供記錄時只附上相關片段，並遮蔽完整訂閱網址、驗證欄位、帳戶識別資訊及無關的存取記錄。不要公開上傳整份設定檔，請他人「幫忙檢查」；若需要提供更多資訊，可透過說明頁面確認官方聯絡管道。

服務所稱的「不記錄日誌」是隱私政策聲明，不代表裝置、瀏覽器、目標網站和第三方工具都不會留下記錄。日常最實用的做法仍是使用專用密碼、限制憑證傳播、選用可信任的用戶端，並在網路變更後確認實際流量路徑。保護的重點是持續縮小暴露範圍，而不是依賴某個協定名稱或單次檢測結果。