VPN 無法保護你免受哪些威脅

簡短答案

VPN 只保護路徑上的一段：由你的裝置到業者的伺服器。在這段路徑內，任何承載你流量的人都無法讀取內容。在這段路徑以外，一切都沒有改變。

因此，它無法阻止網站辨認你；一旦你的裝置已被入侵，也無法提供幫助；它亦不會令虛假頁面變成真實頁面。它保護你免受網絡影響，而網上出現的大部分問題都發生在其他地方。

本頁會按順序逐一說明這些地方，從隧道的兩端開始。VPN 是甚麼介紹其運作方式，而誰看得到甚麼則說明各方能看到的內容。

你仍然是你

更換你的地址，只是移除了眾多識別資料中的一項，而網站很久以前已不再依賴這一項。

• 帳戶。 登入一項服務後，無論你身處哪個國家，它都知道你是誰。你在登入期間所做的一切，都會歸入該帳戶。
• Cookie。 你連線前設定的 Cookie，在連線後仍然存在，並會傳回設定它的網站。
• 你的瀏覽器。 螢幕尺寸、字型、圖像硬件、語言和時區會組合成瀏覽器指紋，通常獨特得足以單獨辨認你。不需要 Cookie，而 VPN 也不會改變其中任何一項。
• 你所說的話。 無論經過哪一部伺服器，你的姓名、相片或寫作習慣都能識別你的身分。

這就是為甚麼廣告中的匿名一詞站不住腳，而簡短版本也明確說明了這一點。

你的裝置位於近端

流量進入隧道後才開始加密，而裝置上的一切活動都在這之前發生。在裝置上運行的任何程式，都能以明文看到你的活動。

• 惡意軟件。 鍵盤記錄器或受感染的擴充功能，會在任何 VPN 收到資料前讀取你輸入的內容。隧道之後會把惡意軟件傳出的任何資料，像其他流量一樣加密後送出。
• 網絡釣魚。 虛假的登入頁面不需要破解任何東西，因為你會親自把密碼交給它。脆弱或重用的密碼，仍然一樣脆弱。
• 受管理的裝置。 如果你使用的是由僱主或學校控制的手提電腦，監察軟件會在機上讀取你的活動。VPN 只會向網絡隱藏這些活動。
• 手機。 你已授予位置權限的應用程式，仍會從 GPS 接收你的位置；你的流動網絡商也仍然知道你的手機正在使用哪些基站。

部分業者會附帶過濾器，封鎖已知用於散播惡意軟件或進行追蹤的地址。這可能有用，但它是隧道旁邊的獨立功能，而且只能攔截其清單上的內容。

隧道在出口位置終止

伺服器會解密你的流量，然後透過普通互聯網繼續傳送。從那裏開始，能提供的保護就取決於網站本身。

現時大部分網絡都使用 HTTPS，無論有沒有 VPN，它都會在你的瀏覽器與網站之間加密頁面。這使得從前那個「咖啡店黑客讀取你銀行密碼」的故事不再適用於那麼多情況。在這類網絡上，VPN 主要隱藏你連接了哪些網站。內容通常本來已經被加密。

沒有 HTTPS 的頁面，在離開出口位置後，仍可由從該處到網站之間路徑上的任何人讀取。而一個本身不誠實或管理不善的網站，會完整並及時地收到你傳送的內容。

隧道沒有承載全部流量時

以上一切都假設你的流量位於隧道內。有時其中一部分並不在內，而客戶端可能會全程顯示「已連線」。

• 連線中斷。 隧道失效時，流量可能會在沒有隧道的情況下繼續傳送，除非終止開關將其阻止。並非每個客戶端都會預設啟用終止開關。
• 名稱查詢。 DNS 請求可能會離開隧道，而其他流量仍留在隧道內，令你的網絡得知你正在瀏覽哪些網站。
• IPv6。 只為較舊 IPv4 提供隧道的客戶端，可能會讓 IPv6 流量留在開放網絡上。
• WebRTC。 這項用於通話的瀏覽器功能，如果瀏覽器和客戶端都沒有阻止它，可能會向頁面披露你的真實地址。
• 分流隧道。 使用這項設定時，你排除的應用程式會按設計繞過隧道。你很容易忘記排除了哪些應用程式。

業者位於保護範圍之內

你的網絡原本能看到的一切，VPN 業者現在都能看到，還包括誰在支付該帳戶的費用。隧道無法保護你免受另一端公司的影響。

這會令你付出甚麼代價，取決於公司保留甚麼資料，以及公司必須遵從誰的命令。加密與這兩者都沒有關係，密鑰長度也一樣沒有關係。VPN 也不會改變法律如何看待你自己的行為：你的地址變了，但適用於你的法律仍然在原處。

解讀各種聲稱

VPN 首頁上印出的多數內容，都是關於隧道的真實陳述，卻被當作適用於其他一切的承諾。

剩下的事情

VPN 仍然能做好兩件有用的事：向承載流量的網絡隱藏你的流量，以及以伺服器的地址取代你的地址。如果你面對的是這些問題，它就能解決。如果你面對的是本頁列出的其他問題，更好的業者也無法解決。

當 VPN 是合適的工具時，剩下的問題就是你要把這個視角交給誰，而名錄正是為此評分。在檔案中的 77 份紀錄裏，截至 2026年10月21日，有 0 份在安全性方面取得強分數。方法論展示這個數字如何計算，而常見問題則說明高分數同樣不代表甚麼。