免费 VPN 的“不留记录”承诺可信吗

“我们不会留存任何关于你的信息”，是免费 VPN 营销里最流行的一句话，也是最难核实的一句话。这句话听上去像是保证，实际上只是一种声明，出自从你的相信中获益的公司之手，说的又是存放在你看不见的服务器上的记录。

本文谈的正是承诺与证据之间的差距。我们会看看，为什么免费服务比付费服务更难赢得信任；存在哪几类记录；哪些证据值得重视；如何把声明与应用的其他部分交叉对照；以及如果你还是决定使用免费工具，该怎么做。关于如何阅读记录政策、理解第三方审计的通用方法，请参阅本页末尾列出的相关文章。这里的重点更窄：来自免费服务的声明，是否值得你信任。

声明不等于证据

先把常被混为一谈的三件事分开。

• 声明：服务商自己说的话，比如“我们不记录你的活动”。
• 政策：更长的文件，说明收集什么、为什么收集、保存多久。
• 证据：服务商自己控制不了的东西，能够支持或反驳这个声明。

免费 VPN 的营销几乎总是停在第一步。首页用大字写出声明；政策（如果你找得到）用更柔和的措辞重复一遍；而证据根本没有出现。这并不意味着声明是假的，而是意味着你被要求凭信念接受它。

一个好用的习惯是把每个声明改写成问题。“我们不留存你的活动”变成“谁检查过？什么时候？具体查了什么？”如果页面回答不了，声明就仍然只是声明。

为什么“免费”让声明更难相信

运营 VPN 要花钱。服务器、带宽、工程师、客服和法务都有价格，而且每多一个用户，价格就跟着增加。用户付费时，这笔钱覆盖成本，激励机制也相当合理地指向让客户满意。用户不付费时，就得有别人来买单。

收入来源	需要你的什么	与记录声明如何冲突
少数用户升级付费	不需要你的活动信息	冲突较小，但免费用户得到的关注更少
应用内广告	标识符、设备信息，有时还有使用模式	广告系统通常为了精准投放而收集数据
出售或共享分析数据	用户行为记录	与声明直接对立
拥有其他产品的母公司	可能是跨产品的数据	取决于隐私条款允许什么
风险投资或兴趣爱好式的预算	暂时不需要	资金会耗尽，模式可能改变

这张表并不指控任何具体服务。它想说明，“这个应用靠什么赚钱”并不是无礼的问题，而是检验声明是否符合整体业务的最直接方式。我们的文章免费 VPN 安全吗从安全角度探讨了同一个问题。

免费服务也可能表现良好。公司可以提供有限的免费套餐，吸引日后付费的客户，完全不需要你的数据。要点只是：当通常的收入来源缺席时，声明需要更多而不是更少的佐证。

记录有哪几类

“日志”这个词掩盖了几种不同的东西。了解分类，才能问得精准。

1. 连接记录。 你连接和断开的时间、你来自哪个地址、使用了哪台服务器，以及通过的数据量。
2. 活动记录。 你通过隧道访问了哪些网站、应用或服务。
3. 诊断记录。 应用为帮助开发者修复问题而发送的错误报告和崩溃数据。
4. 分析记录。 应用本身或其内部第三方软件收集的使用事件，比如查看了哪些页面、点了哪些按钮。
5. 账号与付款记录。 邮箱、注册信息和账单信息（如果有的话）。

服务商完全可能真诚地声明“不保留活动记录”，同时收集连接记录和分析记录，而这句话在技术上依然成立。所以声明的确切范围很重要。请问清楚：它覆盖五类中的哪几类？其余几类保存多久？文章VPN 服务商能看到什么解释了每个环节在技术上能看到什么。

证据的阶梯

不同证据的分量并不相同。下面是从弱到强的大致排序，用作判断的参考，而不是打分。

证据	强度	原因
首页上的一句话	极弱	出自有动机的一方
与声明一致的隐私政策	弱	仍是服务商自己的话
与政策一致的应用商店隐私标签	弱到中等	属于自我申报，但矛盾处看得见
可识别的公司名称、地址和历史	中等	让你有可追责的对象
近期的独立审计且公开范围	中等到强	属于第三方，但要看日期、范围和审计对象
开源的客户端代码	中等到强	任何人都能检查应用，但检查不了服务器
服务商确实无数据可交的有据可查的案例	强	现实中的检验，但少见且因案而异

注意免费一侧缺少什么。大多数免费服务只出现在前两行；有些能到中间几行；极少数能拿出最强的证据，而这类证据通常成本高昂。如果免费服务商确实指向一份审计，请读读它的日期和范围。多年前对业务某一部分做的审计，很难说明今天的应用情况。

把声明与应用其他部分交叉对照

不借助特殊工具也能做的最佳检验，是一致性检查。真实的声明会与应用的其余部分吻合，空洞的声明往往不会。

查看商店页面。 在应用商店页面读隐私部分。在 Apple 的体系里，开发者必须声明应用收集哪些数据类型，这些数据是否与你关联、是否用于追踪。如果宣传说什么都不留，标签却列出标识符、使用数据或联系信息，这种不一致值得记下来。

查看权限。 VPN 需要创建 VPN 连接的权限，但不需要你的通讯录、照片、精确位置或麦克风。多余的权限就是红旗。

查看广告。 如果应用展示广告，就说明里面有广告软件。广告软件通常会与外部服务通信。请看政策里是否提到这些服务，它们又收到了什么。

查看公司。 有没有法定名称、地址和联系方式？在网站、政策和商店页面里找同样的信息。如果彼此不一致或缺失，要格外谨慎。

查看年龄与更新。 应用还在维护吗？近期有更新吗？即使最初的意图是好的，被遗弃的应用也是风险。

检查你自己的浏览器。 连接前后各用一次 EFF 的 Cover Your Tracks 之类的工具。它测不出记录行为，但能显示你的浏览器无论有没有 VPN 都会暴露什么，提醒你记录声明只涵盖服务商这一侧。

举个虚构的例子。假设某免费应用的首页写着“你的活动从不被记录”，商店标签却列出“使用数据”和“标识符”被收集并用于第三方广告，隐私政策提到“值得信赖的合作伙伴”，公司名称只有一个词，没有地址。其中任何一条都不能证明做了坏事，但合在一起就与标题相矛盾，谨慎的人会转身离开。

二十分钟尽职调查流程

在输入任何账号信息之前运行一遍。设一个计时器，确保真的做完。

1. 0 到 3 分钟。 在网站上找到公司名称、地址和联系方式，记下来。
2. 3 到 8 分钟。 阅读隐私政策中的四项：收集什么、保存多久、与谁共享、如何删除。
3. 8 到 11 分钟。 打开商店页面，把隐私标签与政策对照，记下差异。
4. 11 到 14 分钟。 寻找独立证据：审计、开源代码或透明度报告，记下日期与范围。
5. 14 到 17 分钟。 搜索公司名称，加上“投诉”“调查”“数据泄露”之类的词，多读几个来源，不要只看第一条。
6. 17 到 20 分钟。 做出决定。如果你说不清这项服务靠什么盈利，也没有独立的证据支持它的声明，就视其为不可信。

把结论和日期写下来。以后政策变了，你会知道自己当初同意了什么。文章如何比较 VPN 服务商提供了更完整的评分表。

三个人，三个决定

校园 Wi-Fi 上的学生。 小雨想用免费 VPN 在课间看新闻。她按流程核查，发现商店标签与政策一致、公司可识别、也没有广告。唯一的证据就是政策本身。她认为用于低风险阅读可以接受，但不会用它登录学校系统或网银。

机场里的旅行者。 马克需要用十分钟 VPN 查邮件。他能找到的唯一免费选项政策含糊、有广告弹窗，还要求访问通讯录。他放弃了，用手机流量查邮件，并且不在公共 Wi-Fi 上开笔记本电脑。

预算紧张的远程工作者。 阿琳要处理客户文件。免费工具很方便，但她无法核实任何关于它的声明。她认定免费 VPN 不适合工作，选了条款清晰的付费方案。文章免费与付费 VPN 对比帮助她理清了决策思路。

如果仍要使用免费 VPN

有时免费工具是唯一可得的。可以用几个习惯来降低风险。

• 限制通过它做的事。 用于普通阅读，不用于网银、工作或私人消息。
• 把敏感登录放在别处。 手机流量或可信网络更稳妥。
• 为该账号使用单独的邮箱，并且不重复使用任何密码。
• 检查权限，去掉不需要的。
• 用完就卸载。 不要让不用的 VPN 应用留在设备上。
• 不要把它当成匿名。 无论有没有 VPN，账号、Cookie 和应用依然能识别你。

常见错误

• 把首页上的一句话当成事实。
• 以为“不记录活动”也意味着不保留连接记录或分析记录。
• 相信审计却不核对日期与范围。
• 忽视应用里有广告这一事实。
• 认为流行的应用一定诚实。
• 用免费工具去做最重要的敏感任务。

小结

免费 VPN 关于记录政策的声明只是一种陈述，不是证明。免费服务更难赢得信任，因为总得有人为服务器买单，而除了你的钱之外的常见来源往往与数据有关。请依据服务商无法控制的证据来评判这类声明：可识别的公司、范围清晰的近期审计、开源代码，以及政策、商店标签和应用行为之间的一致性。如果无法核实，就限制你用这个工具做的事。

如果你更愿意选择边界清晰的付费安排，价格页面介绍了预付套餐的运作方式，没有自动续费。