VPN 新手安全的重點，在於妥善保管訂閱連結、辨識公共 Wi-Fi 風險，並確認哪些應用程式確實透過加密連線傳輸。連線圖示亮起，不代表所有操作都受到同等保護。本指南依序整理建立帳戶、匯入客戶端、外出連線及資料外洩後的檢查步驟。
保護範圍：加密連線不代表網站可信
加密通道主要保護裝置到通道出口之間的傳輸。若應用程式流量確實經過通道，本機網路通常難以直接讀取內容；但網路仍可能觀察到連線時間、流量大小及通道伺服器位址。離開出口後的保護程度，還取決於目標應用程式是否使用 HTTPS 等端對端傳輸加密。
這和辨識釣魚網站是兩回事。仿冒網頁同樣可以使用 HTTPS；鎖頭圖示只代表瀏覽器與目前網域之間的連線受到保護，不代表商家、下載檔案或表單本身可信。登入前請核對網址列中的完整網域，不要從陌生聊天訊息裡的「帳戶異常」連結進入管理面板。
一般代理也不一定會接管整台裝置的連線。瀏覽器使用系統代理時，遊戲、命令列工具或其他應用程式仍可能直接連線。VPNKZ 採用銀行級加密，但仍須檢查客戶端接管範圍、裝置狀態及目標網站，不能將加密視為所有風險的保障。
帳戶與訂閱連結應分開保管
帳戶密碼用於登入管理面板，訂閱連結通常用來取得節點及連線設定。訂閱連結可能包含存取權杖；即使不知道登入密碼，取得連結的人仍可能拿到設定或使用相應權限。因此，訂閱連結應視同憑證妥善保管，不應當成可公開轉傳的教學網址。
VPNKZ 不需要電子郵件地址，使用者名稱與密碼即可建立帳戶。這能減少需要提供的資料，但也不應自行假設服務提供電子郵件找回流程。建立帳戶後，請將使用者名稱與專用密碼存放在可信任的密碼管理器中，並先查看管理面板實際提供的帳戶復原說明。
| 資料項目 | 主要用途與風險 | 保管方式 |
|---|---|---|
| 使用者名稱與密碼 | 用於登入管理面板；重複使用密碼會擴大其他網站資料外洩的影響。 | 設定專用密碼，並存放在可信任的密碼管理器中。 |
| 訂閱連結與 QR 碼 | 可能包含存取權杖；QR 碼通常只是連結的另一種呈現方式。 | 僅匯入可信任的客戶端，避免上傳至公開相簿或線上解碼工具。 |
| 設定檔與連線記錄 | 可能包含節點憑證、存取網域及裝置環境資訊。 | 只保留排除問題所需的內容，提交前遮蔽敏感欄位。 |
| 付款憑證 | 用於核對訂單，也可能包含個人及交易資訊。 | 僅在有需要時透過管理面板工單提供，避免公開貼圖。 |
截圖前請檢查 QR 碼、網址列、節點詳細資料及記錄內容。只遮住使用者名稱並不足夠，完整訂閱連結或連線憑證仍可能出現在畫面其他位置。
客戶端匯入：先確認來源，再提供設定
從可信任的管道取得客戶端，比一再更換協定更重要。可以先查看客戶端教學，或登入後至下載頁面確認適用版本。論壇附件、網路硬碟上的重新打包程式與官方發行版本，不能視為同等來源；若系統提示發行者、簽章或安裝來源異常，請先查明原因。
Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC 是不同的代理協定或方案名稱，不代表線路品質或隱私程度的統一評級。各客戶端支援的協定、傳輸方式及設定格式不盡相同，不能只憑名稱互相替換。本文列出這些名稱是為了說明相容性，不代表 VPNKZ 提供所有協定。
- 在可信任的裝置上登入管理面板，取得適用於目前客戶端的訂閱，避免經由公用電腦轉存。
- 使用客戶端內建的訂閱匯入功能。若出現格式不相容的提示，請先核對教學，不要馬上將連結交給陌生的線上轉換網站。
- 檢查匯入結果與更新來源，確認設定不是意外取自剪貼簿中的舊連結或他人分享的內容。
- 連線後檢查代理模式、DNS 設定及目標應用程式，再決定是否啟用自動連線或訂閱更新。
線上訂閱轉換服務通常需要讀取原始連結與節點設定。若確實需要轉換，請優先使用客戶端原生支援的格式，或在自己掌控的可信任環境中處理。無法說明資料流向的轉換網站，不應接觸有效訂閱。
公共 Wi-Fi：先辨識網路，再處理登入
機場、飯店或咖啡店的 Wi-Fi 名稱都可能遭人仿冒。連線前請向場所確認熱點名稱與登入頁面，不要把「訊號強」當成可信的證明。即使網路需要密碼，也不能因此認定營運者或同一網路中的其他裝置可信。
部分公共網路需要先透過入口網站完成驗證才能上網。此時加密通道可能尚未建立，只需完成場所要求的必要網路驗證；不要因入口頁面的要求而輸入 VPNKZ 密碼、訂閱連結或其他網站的帳戶憑證。若系統跳出憑證錯誤，也不要為了連線而直接忽略。
- ✅ 向場所確認網路名稱，並關閉自動加入陌生熱點。
- ✅ 系統允許時，將公共網路設為公用網路設定檔，並關閉不需要的分享與探索功能。
- ✅ 完成必要驗證後再連線至客戶端，並確認目標應用程式可以正常使用。
- ❌ 不要因熱點頁面的提示而安裝來源不明的根憑證、描述檔或遠端控制工具。
- ❌ 若出現網域異常、憑證警告或反覆重新導向，不要繼續填寫敏感資料。
使用完畢後，可以取消記住該熱點，減少日後自動重新連線。處理付款、企業內部資料等敏感事務時，若無法確認網路環境與裝置狀態，應改用可信任的連線再繼續，而不是一再略過安全提示。
分流與 DNS：確認流量實際走向
規則分流會依規則讓不同目標選擇代理或直連；全域代理通常會讓客戶端接管的流量統一經由代理，但「全域」這個名稱不代表所有處理程序都會被接管。系統代理、虛擬網卡與應用程式內建代理的適用範圍各不相同，實際情況仍以目前客戶端的實作為準。
DNS 負責將網域名稱解析為位址。若原本預期透過代理存取的網域，解析請求卻意外送往本機網路的解析器，就可能暴露存取目標，這通常稱為 DNS 洩漏。規則明確指定直連的網域使用本機解析，不一定代表發生洩漏；判斷時應對照原先的分流設定。
可以先使用網路檢測頁面核對瀏覽器的出口地區，再檢查客戶端 DNS 設定與規則命中記錄。瀏覽器內的加密 DNS、系統解析器與客戶端解析器可能同時存在，不能只看出口位址就判定 DNS 檢查已通過。使用檢測工具時，也應確認工具來源與實際檢測範圍。
若要檢查連線中斷時的影響，應先停止敏感工作，再主動中斷連線進行觀察。部分客戶端提供阻止非通道流量的選項，但各系統的權限與行為並不相同。不要預設所有客戶端都有這項功能，也不要把自動重新連線等同於中斷期間不會直接連線。
平台差異與線路名稱，不代表安全等級
Windows 與 macOS 客戶端可能提供系統代理或虛擬網卡模式；啟用後仍須確認應用程式是否遵循相應設定。iOS 與 Android 通常透過系統提供的網路擴充功能或 VPN 介面運作，應依客戶端來源判斷權限提示。Linux 使用者也應留意命令列工具、桌面代理與背景服務是否採用同一組設定。
IEPL 專線、中轉與直連描述的是網路路徑及承載方式，不是端對端安全認證。專線本身無法證明目標網站可信，也不代表所有應用程式都會被接管；中轉會增加轉送環節，直連則不會經過同類型的中轉路徑。選擇線路時可以比較連線可用性與實際體驗，保護憑證時仍應遵循相同原則。
連結外洩後，依權限處理，不要只刪除截圖
如果訂閱曾傳到公開群組、線上轉換網站或不可信任的裝置，應視為可能已遭複製。收回訊息與刪除截圖只能減少後續傳播，無法取回他人已儲存的內容。先停止轉傳，記下外洩途徑，再處理相關存取權限。
- 透過可信任的管道進入管理面板，查看是否提供重設訂閱、更換權杖或裝置管理功能。
- 若可以重設，完成更換後在可信任的裝置上重新匯入，並確認舊連結是否已失效。
- 若登入密碼也曾外洩，請更改帳戶密碼；不要假設更改密碼會自動讓舊訂閱失效。
- 若無法確認撤銷方式，請透過管理面板工單說明情況並請求查核，不要將有效連結貼到公開討論區。
若問題源自不可信任的客戶端，也應檢查系統中的描述檔、憑證、代理設定及相關權限。先處理裝置環境，再匯入新憑證，否則新連結可能再次外洩。排除問題時只提供必要資料，不要主動提交密碼、完整訂閱或與故障無關的個人檔案。
日常安全備忘：減少不必要的資料提供
每次安裝或尋求協助前，先問清楚對方需要哪些資料、用途為何，以及資料會交給誰。VPNKZ 建立帳戶不需要電子郵件地址；若遇到額外表單，請確認是否仍在可信任的管道，以及欄位是否與目前操作相關。付款頁面與網路服務管理面板的資料需求也應分開判斷。
平時請維護系統與客戶端更新，保留來自可信任來源的設定備份；更換或轉交裝置前，請先登出帳戶並清除訂閱。隱私政策應以服務目前公布的條款為準，不要從「加密」「專線」等標籤推論出不存在的承諾。確認權限範圍、將憑證留在可信任的裝置上，比追求聽起來更強大的技術名稱實際得多。