如何检查 VPN 应用是否含有追踪器

VPN 应用要求你给予很多信任。它夹在你的设备与互联网之间，而你安装它，恰恰是因为在乎隐私。如果这个应用自己塞满了会把你的行为报告给广告和分析公司的代码，那就太讽刺了。这在各类应用中都有发生，隐私工具并不会因为承诺而获得豁免。

本文提供一套VPN 应用追踪器检测方法，你自己一个小时内就能完成，不需要是开发者。方法分四步，从最容易的（阅读）到最有揭示性的（观察应用联系了谁），之后讲如何判断所发现的内容，以及这个检测做不到什么。我们不点名任何应用或公司，这套方法适用于任何 VPN 应用，无论免费还是付费。

追踪器到底是什么

大多数应用并不是从零写起的。开发者会引入现成的代码块，称为软件开发工具包，即 SDK。有些 SDK 提供崩溃报告、推送通知或支付处理等功能，另一些则专门用于衡量和刻画用户。本文所说的追踪器，是指把你或你设备的数据发送给开发者之外公司的第三方 SDK 或请求。

常见类型有：

• 广告 SDK：获取并展示广告，往往还会共享广告标识符或设备信息。
• 分析 SDK：记录你打开了哪些页面、使用了多久，有时还包括点击了什么。
• 归因工具：衡量是哪个广告活动促使你安装了应用。
• 崩溃报告工具：应用出错时发送技术细节。这通常最不令人担心，但仍会发送设备信息。

这些东西表面上都不违法，问题在于是否合适。购物应用理应知道你在里面浏览了什么；而一个目标是减少他人了解你的工具，就应当对自己共享的内容格外谨慎。本检测使用的正是这个标准。

第 1 步：阅读商店里的隐私信息

两大应用商店都要求开发者说明应用收集哪些数据。这是开发者的声明，而非独立审计，但它是你能获得的成本最低的证据。

在 iPhone 的 App Store 里，滚动到应用隐私部分。Apple 在其面向开发者的应用隐私详情指南中解释了该格式。你会看到“用于跟踪你的数据”“与你关联的数据”“未与你关联的数据”等分组。

在 Google Play 上，打开应用页面，找到数据安全部分。它列出收集和共享了什么、数据传输时是否加密，以及你是否可以请求删除。

在备忘录里记下以下内容。

问题	在哪里看	为什么重要
是否声明数据被用于跟踪你	iPhone 的应用隐私	跟踪意味着把你的活动与其他公司的应用和网站关联起来
与第三方共享了哪些类别	Android 的数据安全	共享不同于为应用自身使用而收集
是否收集标识符、位置或浏览历史	两处都看	VPN 运行起来几乎不需要这些
标签是详细的还是空白	两处都看	免费应用写着“不收集数据”，值得再多看一眼

要对照什么

一个主打隐私的工具却声明了长长一串跟踪类别，这种不匹配值得留意。反过来也一样：应用什么都没声明，后来却发现联系了许多外部公司。请保留笔记，因为第 4 步会给你提供对照的依据。

关于在各平台安装前的更全面清单，可参阅如何在 Android 上检查免费 VPN 应用和在 iPhone 上检查。

第 2 步：在隐私政策中找点名的第三方

政策很枯燥，但名字就藏在里面。打开它，使用页面的搜索功能。

依次搜索这些词：third party、partner、advertis、analytics、affiliate、share、sell、identifier、retain。

对每个命中处，记下：

1. 它点了公司的名字，还是只说“值得信赖的合作伙伴”？
2. 是否说数据经过匿名化处理，并解释了含义？
3. 是否说明数据保存多久？
4. 是否专门描述了浏览数据会如何处理？

要警惕范围极宽的句子，比如承诺“为业务目的与合作伙伴共享信息”。这种措辞几乎什么都允许。更好的政策会写明类别和原因，也会写明不做什么。

把政策与商店标签对照。如果一边说“我们不与第三方共享数据”，另一边却列出广告合作伙伴，你就发现了矛盾。这比任何单个追踪器都是更强的信号。

免费 VPN 如何赚钱一文解释了为什么广告和数据合作在免费应用中很常见，帮助你解读所读到的内容，也帮助你分辨免费应用何时只是“可预期”而非“令人震惊”。

第 3 步：查看权限与应用自身的设置

追踪器常常伴随额外的权限。这里先快速检查，完整的步骤请看另一篇审查 VPN 应用权限。

本检测要看两点。

• 与功能无关的权限。 通讯录、日历、麦克风或精确位置，对 VPN 应用来说都不合适。
• 应用内的设置。 许多应用提供诸如“共享使用数据”或“个性化广告”的开关。如果应用在首次启动时征求同意，请注意默认是开还是关，以及拒绝是否容易。

一个要求你全部接受才能继续使用的应用，已经在说明它如何对待你的选择权。

第 4 步：观察应用联系了谁

这是最有揭示性的一步。思路很简单：在没有其他程序运行的情况下，使用应用几分钟，然后查看设备联系过的互联网域名列表。你要找的是属于广告、分析和追踪公司的名字。

你需要什么

• 一部备用手机，或愿意专用于测试的手机，最好没有其他应用在运行。
• 一种查看网络被要求解析的域名列表的方式，常见有三种：
  1. 你家用路由器的日志或 DNS 设置，前提是它记录查询。
  2. 提供查询日志功能的DNS 过滤服务，仅用于你自己的网络。
  3. 手机上按应用列出连接的网络监控应用。这类应用通常在本地运行，有些借助本地 VPN 配置来实现，这意味着它们不能与你的 VPN 应用同时运行。请确认你选的应用信誉良好，并理解它所请求的权限。

操作步骤

1. 断开所有 VPN。目标是在你的网络上看到应用自己的请求。
2. 关闭测试手机上所有其他应用。
3. 清除日志，或记下当前时间。
4. 打开 VPN 应用，在首页停留两分钟什么也不点，然后再登录或浏览各页面五分钟。
5. 关闭应用，再等一分钟。
6. 导出或读取这段时间内被请求的域名列表。

解读列表

域名通常能告诉你它归谁运营。分成三组。

分组	名称暗示的内容	如何对待
应用自身的服务	与开发者或服务官网相符的名称	在预期之内
基础设施	内容分发网络、应用商店、证书与授时服务	通常没问题
第三方追踪	广告网络、分析面板、归因服务、社交网络插件的名称	数一数，并与你的笔记对照

遇到不熟悉的名称，可以在搜索引擎里连同“domain”一起搜索。公开的追踪器清单通常会告诉你它是什么。数一数，在你还没登录之前，出现了多少家不同的追踪公司。

举例：普丽娅在备用手机上测试一个免费应用。七分钟里，日志显示有开发者自己的域名、两个基础设施域名，以及九个看起来像广告和分析服务的名称。商店标签却说应用只收集“诊断信息”。这个不一致就是发现，于是她决定不在主力手机上使用这个应用。

如何判断你的发现

没有神奇的数字，但下面的准则比较公允。

1. 零到两个第三方分析或崩溃工具，并且政策中点了名。 对任何应用都很常见、也合理。
2. 隐私工具里有好几个广告或归因服务。 警示。问问自己，好处值不值得。
3. 在你同意任何事之前就联系了追踪方。 更强的警示，因为这表明数据默认就会离开你的设备。
4. 标签、政策与观察到的行为之间存在矛盾。 最严重的信号，因为它指向不用心或不诚实。

还要考虑用途。如果你只是在酒店网络上用一个周末的 VPN，也许可以接受小小的取舍；如果应用要长期留在手机上，标准就该更高。

免费 VPN 的危险信号一文把这些结果放在更大的背景下，而追踪 Cookie一文说明了为什么单靠 VPN 无法阻止网站上的追踪器。

本检测的局限

• 只能看到目的地，看不到内容。 你能看到应用和哪家公司通信，却看不到发送了什么。
• 测试期间应用可能很安静。 有些追踪器稍后才启动，或在登录、更新之后才启动。一周后请重复测试。
• 本地过滤会扭曲结果。 如果你的路由器已经屏蔽了一些追踪域名，你看到的就会更少，所以要知道自己的网络做了什么。
• 加密 DNS 会隐藏查询。 如果应用或手机使用加密 DNS，你的路由器可能看不到域名列表，请改用能在手机本机上工作的方法。
• 结果干净并不证明应用值得信任。 这只意味着你没有看到这一类问题。

VPN 也不会去掉其他应用或网站里的追踪器，所以一个干净的 VPN 应用不该让你对其余部分放松警惕。

快速清单

1. 阅读商店隐私标签，记下它的声明。
2. 在政策中搜索点名的合作伙伴和宽泛措辞。
3. 检查与 VPN 功能不匹配的权限。
4. 不开 VPN，观察应用五分钟内联系的域名。
5. 对比三个来源，记下矛盾之处。
6. 做出决定，并在更新后重新测试。

总结

追踪器检测，就是把应用对自己的描述与它实际所做的事进行对照。阅读商店标签，在政策中查找点名的第三方，检查权限，并观察应用在几分钟内联系的域名。根据应用声称的功能来评判结果：塞满广告代码的隐私工具是不匹配的，而一个崩溃报告工具则属正常。记住这些局限：你看到的是目的地而非内容，而且测试当天安静的应用，之后可能表现不同。

如果你更喜欢直截了当的一次性付费方案，以及可以自行检查的免费应用，可以从下载页面和价格页面开始了解。