如何比较 VPN 服务商：隐私与透明度评分表

搜索 VPN，你会看到数不清的“最佳榜单”和一对一的对比。其中大多数是按作者自己选定的标准给服务商排名，而且往往带有能产生佣金的链接。这不代表它们毫无用处，但意味着排名反映的是别人的优先事项，而不是你的。更好的办法是一份你自己填写的简短评分表，对每家服务商问同样的问题。

本文给出这样一份评分表，重点放在隐私和透明度上，因为这两方面是宣传页喊得最响、证据却最难找的地方。文中不提任何品牌，因为这套方法适用于任何服务商，包括尚未出现的。可以与如何测试 VPN搭配使用，后者讲的是你在自己设备上做的技术检查。

为什么评分表胜过排名

排名把许多问题压缩成一个数字，你看不到取舍了什么。评分表则把问题一一摆在明面上。两家服务商可能总分相同，但一家透明度很高、应用较弱，另一家正好相反。哪个更好，取决于你需要什么。

评分表还能让你不被动听的措辞左右。如果页面写着“军用级”或“彻底隐私”，你没有东西可以打分；如果页面公布了公司名称、注册国家、收集的数据，以及注明日期的审计报告，你就能给每一项打分。证据可以打分，形容词不行。

建立评分表

保持简单，这样你才能真正做完。

1. 选两三家服务商来比较。再多的话你会懒得仔细核查。
2. 每家使用相同的类别（见下面各节）。
3. 每项打 0、1 或 2 分。 0 表示没有证据或答案不好，1 表示部分回答，2 表示清楚且可核实的回答。
4. 给每个类别设 1 到 3 的权重，依据对你的重要程度。常在公共 Wi-Fi 上使用的旅行者，可能最看重安全基础和应用；担心记录问题的人，可能最看重政策和所有权。
5. 记录每个分数的来源：页面、文件以及你阅读的日期。政策会变，你会想知道当时看到的是什么。

最后把加权分数加起来，但请先看每一行。你在乎的类别里出现一个 0，比总分很高更要紧。

所有权与透明度

先看谁在服务背后。VPN 服务商能看到你的连接元数据，所以你信任的其实是一家公司。

• 公司有名称吗？ 查看法人实体名称、注册地址，以及能联系到真实部门的方式。
• 是否说明运营所在国家？ 不同国家在数据调取和留存方面的法律不同。你不必成为专家，但一家隐瞒所在地的服务商，让你无从评估。
• 能识别出相关人员吗？ 公开的管理层或团队是个小小的加分项。匿名运营不一定不好，但它去除了问责。
• 有透明度报告吗？ 有些服务商会公布收到多少法律请求以及如何回应。报告是证据；没有则中性；而对请求只字不提则值得留意。
• 商业模式清楚吗？ 如果服务很便宜或免费，要问它靠什么赚钱。如果答案是“广告”或“数据”，那就很重要。

每项打 0 到 2 分，并在分数旁写明来源。

隐私政策：读一读到底收集了什么

很少有人读隐私政策，这恰恰意味着读了就占优势。请找出以下问题的明确回答：

• 创建账号时收集哪些数据（邮箱、支付信息、设备标识符）？
• 使用服务期间收集什么（连接时间、数据量、用于连接的 IP 地址）？
• 每一类数据保存多久？
• 谁会拿到这些数据：支付处理方、统计分析公司、广告合作伙伴？
• 账号终止后，数据会怎样处理？
• 服务商对如何回应法律请求有何说明？

要警惕过强的断言。像“我们不保留任何记录”这样的话，除非政策定义了哪些会记录、哪些不会、保存多久，以及为计费或防滥用保存了什么，否则只是营销。一份准确的政策，承认保存了某些内容并说明理由和期限，可能比一个笼统的承诺更值得信赖。给精确和通俗的语言打高分，给语气自信的口号打低分。

还要查看政策如何分别处理网站和应用。许多公司在一份文件里说明网站的追踪（Cookie、统计分析），在另一份里说明服务本身，两份都要读。

审计与开源：能证明什么，不能证明什么

服务商网站上经常出现两个词。两者都有用，也都容易被误读。

独立审计。 安全或隐私审计，是外部机构在某个具体时间对限定的系统或声明所做的审查。看到有关审计的说法时，请问：

• 完整报告是公开的，还是只有摘要？
• 由谁执行，该机构是否独立于服务商？
• 范围是什么：应用、服务器、政策还是基础设施？
• 是什么时候做的，服务商是否根据发现的问题做了改进？

较新的、范围清晰的公开报告是有力的证据。年代久远、只涉及某一组件的审计，或者没有报告的新闻稿，则证据薄弱。审计永远不能保证未来的行为。

开源。 如果服务商公开了应用的代码，外部专家就可以阅读并报告问题，这是实实在在的透明度优势。要查看代码是否是最新的、代码库是否在积极维护、构建是否可复现。请记住，开源并不能证明商店里的应用与公开代码一致，对服务器也没有任何说明。协议项目本身，例如 WireGuard 和 OpenVPN，是公开的并被广泛审查，这很值得了解，但与服务商自己的代码是否开放不是一回事。

要为你能追溯的证据加分，而不是仅仅因为出现了“已审计”或“开源”这几个字。

可以核查的安全基础

你不必是工程师也能检查基础。Cloudflare 对 VPN 的解释有助于理解术语。请查看：

• 点名且较新的连接方式。 服务商是否用通俗语言说明支持哪些协议，用的是不是经过充分审查的协议？
• 泄漏防护。 文档是否说明了 DNS 和 IPv6 流量如何处理？
• 断线保护（kill switch）或同类功能，以及对其适用时机的清楚说明。
• 账号安全。 能否使用强且不重复的密码，并在提供时启用两步登录？
• 安全联系方式或漏洞披露政策。 有负责任地报告问题的渠道，说明运营成熟。
• 更新记录。 定期更新的应用，比多年无人维护的应用是更好的信号。

然后用测试指南里的泄漏和断线保护测试自己验证这些说法。服务商的文档告诉你它打算怎么做，你的测试告诉你实际发生了什么。

应用、权限与支持的平台

应用是服务中需要你安装的部分，所以要仔细检查：

• 支持哪些平台，是否都以同样的标准维护？
• 每个应用索取哪些权限？VPN 应用需要网络访问和建立 VPN 连接的权限。索取通讯录、麦克风或精确位置则是警示信号。
• 应用里有广告或第三方统计吗？查看应用商店的数据安全信息。
• 是否有清楚的设置说明？对没有原生应用的设备，是否有手动设置的选项？
• 有没有删除账号和数据的途径？

每一项都根据你能观察到的情况打分，而不是看页面承诺了什么。

计费、条款与取消

隐私也包括公司如何对待作为客户的你。

• 价格清楚吗？ 在填写支付信息之前，查看总费用、期限长度以及额外收费。
• 续费如何运作？ 有些套餐以不同的价格自动续费，另一些是预付固定时长，到期就结束。为什么选择不自动续费的 VPN解释了其中的取舍。
• 退款政策是否写明且具体？ 查看时间窗口、条件以及申请方式。
• 购买需要哪些支付方式和个人信息？ 购买时需要的个人信息越少，暴露越少，不过支付处理方仍会保存一些细节。
• 服务条款易读吗？ 允许随意变更而无需通知、或严重限制你权利的条款，应当得到较低的分数。

更全面的购买前检查，可以配合阅读付费购买 VPN 前要检查什么，而购买 VPN 的常见错误则展示了人们容易在哪里出错。

两家虚构服务商的算分示例

假设你比较服务商 A 和服务商 B，两者都是虚构的。你给所有权设权重 3，政策 3，审计与开源 2，安全基础 2，应用 2，计费 1。

类别	权重	服务商 A（0-2）	服务商 B（0-2）
所有权与透明度	3	2	1
隐私政策细节	3	1	2
审计与开源	2	0	2
安全基础	2	2	1
应用与权限	2	2	1
计费与条款	1	2	1

加权总分：服务商 A 为 3x2 + 3x1 + 2x0 + 2x2 + 2x2 + 1x2 = 19；服务商 B 为 3x1 + 3x2 + 2x2 + 2x1 + 2x1 + 1x1 = 18。两者几乎持平，但每一行都在讲故事。A 运营良好、公布了公司名称，但没有审计，政策也比较含糊；B 有详细的政策和公开的审计，但所有权不够清楚。如果你最看重的是有文档支撑的隐私做法，尽管总分较低，B 可能更适合你；如果你想要明确的问责和不错的应用，A 可能更合适。关键在于你能看出原因，并且可以自己调整权重。

再加上你自己的测试结果：在你实际使用的网络上，每一家在泄漏和速度检查中的表现。

警示信号与评分表的局限

有些情形应当迅速拉低分数：

• 保证式的说法，如“100% 匿名”“无法被入侵”或“在哪里都能用”。
• 没有公司名称、地址或联系方式。
• 隐私政策缺失、抄袭或根本找不到。
• 免费服务却不解释它如何维持运营。
• 施压手段：倒计时、“最后机会”横幅、每次访问价格都不同。
• 服务商自己网站上无法核实的评价。
• 索取与 VPN 无关权限的应用。

也要记住这种做法做不到什么：

• 评分表衡量的是你能看到的证据，它看不到公司内部，也无法保证未来的行为。
• 无论选哪家服务商，VPN 都不会让你变得匿名。使用 VPN 后还会被追踪吗解释了哪些东西仍会跟着你。
• 政策和价格会变化。续费前重新核对，并保留你的笔记。

总结

用你自己掌控的评分表来比较 VPN 服务商：所有权与透明度、隐私政策细节、审计与开源、安全基础、应用与权限，以及计费条款。给证据打分，而不是给口号打分；给对你重要的类别加权；记录来源；再加上你自己的泄漏和速度测试。一家透明、并说明自身局限的服务商，比一句自信的承诺是更好的信号。

如果短期预付、不自动续费的方式符合你使用 VPN 的习惯，XPASS 预付通行证是一种可以尝试的选择。