为什么开 VPN 后验证码特别多

你刚完成一个"证明你不是机器人"的验证，翻到下一页，又来一个。你点出所有有自行车的格子，再选出红绿灯，结果还是被送回原点。奇怪的是，这种事主要发生在开着 VPN 的时候。关掉 VPN，同样的网站几乎不来烦你。

本文只回答一个问题：为什么 VPN 用户会遇到更多的 CAPTCHA 验证。我们会看网站是如何决定弹出验证的，有哪些信号参与判断，VPN 又如何把其中几项推向不利的方向，以及你自己能调整什么。本文不会介绍如何破解这些检查，因为它们的作用是保护网站及其用户免受自动化滥用。

验证码是一次风险判断，不是错误

CAPTCHA 是一种小测试，对真人来说很容易，对脚本程序来说则相对麻烦。很多人以为它出现是因为哪里出了故障，实际上它是后台做出某个判断之后的结果。

如今大多数大型网站会为每次访问计算风险分。系统大致是在问：这个访客是自动化程序或恶意用户的可能性有多大？如果回答是"几乎不可能"，你什么都看不到；如果是"不太确定"，你会遇到验证；如果是"很可能"，你可能被拦截、被限速，或者被送去更严格的检查。

这意味着三件事。

• 验证是处于中间的结果。 看到验证，说明你还没有被信任到可以悄悄放行，但也没有被怀疑到要拒绝。它是第二次机会，不是惩罚。
• 分数由多个信号合成。 IP 地址只是其中之一，而 VPN 改变的不只是地址。
• 不同网站的门槛不同。 保存支付信息的网站很严，美食博客则很宽松。所以同一条 VPN 连接，在不同页面上的表现并不一样。

想了解一次 HTTP 请求会向网站带去哪些信息，可以参考 HTTP 规范 RFC 9110，它描述了这一切所依赖的请求头与状态码。

分数背后的几类信号

打开网页时，网站及其防护服务能看到的远不止你的 IP。下面是主要的几类信号，以及 VPN 对每一类的影响。

信号	网站读取的内容	VPN 的影响
地址信誉	与连接地址相关的过往行为	往往更差，因为许多人共用一个地址
请求量	该地址每分钟发来多少请求	看起来更高，因为合并了许多用户的流量
位置一致性	显示的位置是否符合账号历史	可能在不同会话间跳变，显得异常
Cookie 与会话历史	你是否带着之前可信访问的凭证	不变，除非浏览器清除或使用了全新的配置
浏览器特征	语言、时区、屏幕、已装功能	不变，但现在可能与地址不一致
页面上的行为	鼠标移动、打字节奏、点击速度	不变

请留意最后两行。VPN 不会改变你的浏览器，所以当网站看到地址在一个地方，而浏览器的时钟和语言设置却属于另一个地方时，这种不一致可能显得可疑。其实什么都没错，只是信号彼此对不上。你可以用 EFF 的 Cover Your Tracks 测试，看看自己的浏览器对追踪者来说有多"显眼"。

为什么 VPN 会把信号推向不利方向

比较一下同一分钟内访问同一家网店的两位访客。

访客 A 在家用普通宽带。这个地址只有一户人家在用。过去一个月里，网店见过它 12 次，每次都是同一个浏览器，每次都在晚上的同一时段。有保存的 Cookie，也有已登录的账号。

访客 B 连着 VPN。这个地址被几十个互不相识的人使用。过去一小时里，它向网店的搜索页发出了 3000 次请求，来自各种不同的浏览器，没有一个带着旧 Cookie，其中有些请求看起来像价格抓取程序。

网店并不知道哪一个是你。对 B 来说，它看到的是一个请求量大、历史混杂、缺乏连续性、还有几个像自动化程序的"邻居"的地址。谨慎的系统会给这个地址更低的分数，并展示更多验证。

还有三个细节会让情况更糟。

1. 每次都是全新会话。 如果 VPN 应用或浏览器清除数据，或者你使用隐私窗口，网站就会失去之前建立的信任。
2. 地址不断变化。 如果 VPN 每次访问都换一个地址，每次访问在网站看来都像一个新人。
3. 同时叠加多种工具。 屏蔽脚本或修改请求头的浏览器扩展，加上 VPN，即使对宽松的系统也会让访问显得不寻常。两者的区别可参考浏览器扩展与 VPN 应用的对比。

你会遇到的验证类型

知道类型，就能判断网站此刻有多怀疑你。

• 只有一个勾选框，没有题目。 系统已经基本信任你，只想快速确认，并在你点击时观察你的行为。
• 选择图片。 点击含有指定物体的格子。通常说明分数处于临界线。
• 连续多轮图片。 每一轮答错或不确定都会增加怀疑，系统可能一直问到分数恢复为止。
• 看不见的检查。 有些网站什么也不显示，分数低时只是让页面变慢，或者拦截表单提交。你可能只是觉得某个表单"提交不了"。
• 整页的过渡页面。 页面说正在检查你的连接，然后才放你进去。多等几秒，很多会自己通过。
• 额外的身份验证。 通过邮件或短信发送验证码，或者要求确认登录。这是常规手段里最严格的一种，它把这次访问和你的账号而不是地址绑定。

无障碍问题也值得一提。有些验证对视力不佳或操作不便的人很困难。大多数验证码工具提供语音替代选项，如果一个网站没有提供任何替代方式，应当向它反馈。

你可以从自己这一侧调整什么

网站的门槛不由你决定，但你能改善自己能控制的信号。请按顺序尝试。

1. 保持登录。 有历史记录的账号是你手里最强的信任信号。在只有你自己使用的设备上选择"保持登录"。
2. 保留可信网站的 Cookie。 严格的隐私设置和隐私窗口会删除你此前已通过验证的凭证。这是真实的隐私取舍，所以请自己选择给哪些网站例外。Mozilla 关于隐私浏览的页面说明了哪些内容会保留、哪些不会。
3. 更新浏览器。 旧浏览器缺少现代检查所期待的功能，这种缺失本身就显得可疑。
4. 一次关掉一个扩展。 如果不开 VPN 时也出现验证，就逐个停用屏蔽脚本或改写请求的扩展来测试。
5. 放慢速度。 两秒内打开同一网站的十个标签页，或者反复刷新，看起来就像自动化程序。
6. 工作期间固定在同一个 VPN 位置。 来回切换位置会让显示的所在地不断跳变。相关影响见为什么 VPN 显示的位置不对。
7. 地址不佳时只重连一次。 重新连接或换个位置，可能得到信誉更好的地址。更多内容见开 VPN 后网站打不开或出现验证。
8. 敏感事务在关闭 VPN 时处理。 银行、考试平台、抢票排队这类事，可以在可信网络上断开 VPN，办完再连上。
9. 使用更强的登录方式。 Passkey 与双重验证让网站即使面对陌生地址也能信任账号。FIDO 联盟对 passkey 有说明，基础知识可看什么是双重验证。

三个日常场景

抢演唱会门票。 小雅上午 10:00 在酒店 Wi-Fi 上开着 VPN 进入线上排队买票。几秒钟内她遇到三轮图片验证，排队还拒绝了她两次。票务网站是最严格的一类，因为有机器人抢座位。她在手机流量下断开 VPN，用保存的账号登录，只点了一个勾选框就通过了。之后她把 VPN 重新打开，用于其他所有事情。

搜索引擎。 老马整天都在用搜索引擎。开着 VPN 时，每搜几次就要求他确认自己是真人。他分到的地址使用很密集，网站从这个地址看到许多快速查询。他在应用里换了一个位置并持续使用，验证降到大约每小时一次。

共用的家庭 Wi-Fi。 小蕾一家有四台设备连着同一个路由器，她又在笔记本电脑上开了 VPN。因为地址会变，家庭账号在一个视频网站上每次登录都要求输入验证码。她开启了两步验证，让笔记本上的浏览器保持登录，验证就少了。

以上办法没有一个是耍花招。它们要么让网站有更多理由信任这次访问，要么把事情挪到网站早已熟悉的连接上去办。

局限，以及不要做什么

• 仍会有一些验证码留下来。 在繁忙的共享地址上，少量验证是正常的代价。服务商无法控制第三方网站如何给流量打分。
• 不要使用打码平台或破解脚本。 它们违反大多数网站的条款，会把你的会话交给不明身份的一方，而且常常并不奏效。
• 不要快速重复失败的尝试。 每次失败都会增加怀疑，连续多次登录还可能锁住账号。
• 不要以为每个验证都是真的。 钓鱼网站可以仿造验证码，诱骗你点击危险内容。如果验证出现在你点了一个意外链接之后，或者要求你粘贴命令、安装东西，请立刻停止。真正的验证不会要求这些。如何识别钓鱼网站介绍了应该检查什么。
• 并非每个验证都是 VPN 造成的。 异常的网络设置、过旧的浏览器或被感染的设备，也会抬高分数，无论有没有 VPN。

总结

验证码是一次风险检查，而 VPN 往往会抬高风险分：它把许多人的流量合并到同一个地址上，重置 Cookie 和会话历史，还让你的位置跳来跳去。你很难把所有验证都消除，但可以通过保持登录、保留可信网站的 Cookie、更新浏览器、放慢操作、固定一个位置和加强登录方式来大幅减少。对于剩下的情况，就在网站已经熟悉的连接上办理敏感事务。

如果你想在自己的网络上试用一个短期预付套餐，看看验证出现得有多频繁，可以在方便时看看价格页面。