这份 VPN新手安全指南先给结论：账号使用独立密码，订阅链接按凭据保管，公共 Wi-Fi 上仍要核对网址与证书。连接成功只说明网络路径已建立，不代表设备、网页和付款页面都可信。先分清保护边界，再检查配置，比单看客户端的连接图标更有用。
加密连接的保护边界
常见代理客户端只处理被规则接管的流量，并不天然覆盖整台设备。HTTP 或 SOCKS 系统代理通常需要应用主动遵循；TUN 模式通过虚拟网络接口接管流量，但实际覆盖范围仍取决于路由、应用排除项和 DNS 设置。模式名称不是隐私检查结果。
连接中的加密主要保护设备与服务节点之间的传输段。访问 HTTPS 网站时，浏览器与网站之间另有 TLS 保护；如果访问的是明文 HTTP 页面，流量离开代理节点后仍可能暴露给后续网络。即使全程使用 HTTPS，恶意网页也能收集主动输入的密码，加密不能判断收款对象是否真实。
Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC 的认证、加密和传输方式不同。VLESS 本身不提供内容加密，需结合具体传输安全配置判断；不能仅凭协议名字认定连接安全。IEPL 专线、中转和直连描述线路组织方式，也不等于网站身份认证或隐私审计。
判断原则：把“流量经过哪里”“传输是否受保护”“目标网站是否可信”分开检查。客户端显示已连接，不能替代后两项判断。
账号密码与订阅链接分别怎么保管
面板密码用于管理账户，订阅链接则用于获取线路配置。链接中常含用于识别账户的令牌，持有者可能无需输入面板密码就能拉取配置，并使用其中仍有效的连接凭据。因此，订阅链接不是适合公开分享的普通网址，订阅二维码也应按同等敏感程度处理。
| 信息类型 | 主要用途 | 保管重点 |
|---|---|---|
| 面板用户名与密码 | 登录账户、管理套餐与设置 | 使用独立密码，避免与其他网站复用 |
| 订阅链接与二维码 | 获取、更新客户端线路配置 | 不要放入公开截图、聊天群或在线转换站 |
| 配置文件与单条节点 | 向客户端提供连接参数 | 可能含认证凭据，备份和分享前检查内容 |
| 日志与故障截图 | 定位导入、连接和规则问题 | 遮盖令牌、认证字段、账户与订单敏感内容 |
密码管理器适合保存独立的高强度密码，也可用受保护的备注记录必要账户信息。VPNWhen 无需邮箱地址，用户名与密码即可注册，因此更要妥善保存登录凭据，不要预设一定可以通过邮件找回。恢复方式以面板和支持流程为准。
复制订阅后，留意剪贴板历史与跨设备同步功能。需要排障时，不要把整条订阅链接粘贴到公开讨论区；截取客户端界面前，也要检查地址栏、二维码、节点编辑窗口和日志。仅裁掉用户名，不一定能遮住配置中的认证信息。
客户端导入与更新的检查清单
客户端从 VPNWhen 面板的下载入口获取，不通过搜索广告或陌生附件寻找安装包。除 iOS 外，登录即可获取客户端；iOS 获取条件以面板显示为准。订阅需登录后获取，不要用来路不明的公开订阅替换自己的配置。
- ✅ 核对客户端支持的协议与订阅格式。导入失败时先检查格式和版本，不要把链接提交到陌生网站“修复”。
- ✅ 确认导入的是订阅地址还是本地配置。订阅可从来源更新，本地文件未必会跟随服务端变化。
- ✅ 更新后检查节点分组、分流规则与 DNS 设置。能看到节点，不代表旧规则已经替换。
- ❌ 不为消除报错而直接开启“跳过证书验证”，也不按陌生教程安装不明根证书或设备管理配置。
Windows 与 macOS 应检查系统代理、虚拟接口和其他网络工具是否冲突；iOS 与 Android 应确认当前启用的网络扩展或 VPN 配置属于预期客户端；Linux 还要留意桌面代理设置与命令行程序的环境变量是否一致。浏览器能访问，不代表终端、游戏或后台同步程序也采用同一路径。
订阅更新没有适用于所有服务的固定间隔。线路变化、导入异常或面板提示更新时，再按官方说明操作。频繁点击更新不能修复本地证书错误或错误的路由规则；重装前先保留已脱敏的报错信息，避免丢失定位线索。
公共 Wi-Fi：接入前后分别防什么
公共无线网络的风险不只是有人旁听。相似热点名称可能诱导设备连接到错误网络，认证门户也可能被仿冒。接入前向场所工作人员核对网络名称，避免让设备自动加入同名热点；使用结束后，关闭该网络的自动连接或移除保存记录。
接入门户可能在客户端建立连接前出现。若门户要求安装证书、下载安全插件，或输入与上网无关的账户密码，应停止操作并核实。若必须先完成网络认证，可暂不处理敏感事务，待网络可用后再连接客户端，并验证访问路径。
浏览器出现证书过期、域名不匹配或连接被拦截的警告时，不要为了继续访问而忽略。HTTPS 能保护传输，但仿冒域名同样可能有有效证书，所以还需核对地址。设备系统与浏览器应保持更新，在公共网络上关闭不必要的文件共享与网络发现；对付款和重要账户操作，优先选择可信网络。
如果客户端断线，后续流量是否直接访问取决于客户端和系统设置。需要阻止直连时，应先确认断线保护或系统锁定功能确实存在且已启用，再做实际断开测试，不能只凭功能名称判断。
DNS 泄漏与分流规则怎么核对
DNS 把域名转换成网络地址。若预期由代理处理的域名查询仍交给本地网络的解析器，本地网络可能看到相关查询，这就是常见的 DNS 泄漏情形。解析器能看到查询域名，不等于它能解密 HTTPS 页面的正文，两者需要区分。
检查时先明确预期：哪些应用和域名应走代理，哪些允许直连。随后查看客户端的 DNS 模式、域名解析日志和规则命中记录，再用可信的 DNS 检测页面辅助观察。检测页显示某个解析器，只能反映该次测试路径，不是对所有应用的完整审计；浏览器自带的加密 DNS 也可能与系统设置不同。
分流规则应同时核对域名、进程和兜底规则。规则顺序可能决定最终出口，过宽的直连规则可能让目标应用绕开代理。还要检查 IPv6 路由是否按预期处理：只验证 IPv4 出口，不能证明其他路径也被接管。不要在未理解影响时随意关闭系统功能，优先按客户端文档调整并复测。
可先用不含敏感内容的页面验证浏览器，再单独验证实际要使用的应用。出口地区正确只说明该请求的出口符合预期，并不能证明不存在 DNS 泄漏。若日志与检测结果矛盾，保留测试条件，通过面板工单提交脱敏信息。
注册与付款时，哪些信息不该随手填
通过站内入口进入面板后，核对浏览器中的域名和连接状态。不要在仿冒客服页面填写账户密码，也不要因“代配置”“代充值”而把订阅链接交给陌生人。付款前确认套餐名称、金额和收款流程与面板一致，遇到与订单无关的信息索取时先暂停。
VPNWhen 支持支付宝、微信和 USDT，具体支付步骤以面板订单为准。支付记录和网络访问记录是不同类型的信息，不应把某种支付方式理解为匿名承诺。保存必要的订单凭证用于核对即可，提交工单时只提供处理问题所需的内容，不发送支付账户登录密码、私钥或助记词。
退款规则也应在付款前查看。VPNWhen 条款为“首次付费后 14 天内可申请无理由全额退款”，具体申请通过面板支持入口处理。不要把退款承诺当成可以忽略账户和付款核验的理由。
疑似泄露后，按凭据类型处理
先判断暴露的是密码、订阅地址，还是完整配置，不要只删掉公开消息就结束。删除有助于减少继续传播，但无法撤回他人已保存的内容。处理顺序应是先撤销访问能力，再整理证据、检查设备与恢复配置。
- 密码泄露：在可信设备和网络上修改密码，检查面板是否提供会话管理并退出可疑会话；若其他网站复用了密码，也应分别更换。
- 订阅链接泄露：在面板查找重置或撤销入口。若没有明确入口，提交工单确认如何使旧链接及相关连接凭据失效。
- 配置或节点凭据泄露：确认服务端凭据是否已轮换。仅更换订阅地址，未必能撤销别人已下载的节点配置。
- 恢复使用：重新导入有效订阅，清理旧配置，复查规则与 DNS；观察用量是否异常，并向支持提供脱敏后的时间与错误信息。
修改面板密码是否同时撤销订阅，取决于服务端实现，不能自行假设。若怀疑设备存在恶意软件，应先处理设备与浏览器扩展，否则新密码和新链接仍可能再次暴露。日常最有效的习惯，是少分享凭据、只从可信入口获取配置，并在改变网络或规则后验证实际路径。