最安全的 VPN 怎么判断：四项标准，机场也用同一套

第一项，协议

结论先说，看客户端连接时用的是什么协议，以及这个协议的加密是自带的还是靠外层 TLS 撑着。

商业 VPN 常见的是 WireGuard、OpenVPN、IKEv2 三种，都是公开规范，多年来有人反复找漏洞，客户端里一般能手动选。各家为对付封锁另做了一层伪装，Astrill 叫 StealthVPN，Surfshark 叫 NoBorders，Proton 叫 Stealth，NordVPN 叫混淆服务器，这些名字在它们官网 FAQ 或支持页都能查到（2026-10-17 核对）。伪装层解决的是连不连得上，不是加密强度，两件事分开看。

机场订阅走的是另一套，常见协议有 VLESS、Trojan、Shadowsocks、AnyTLS、Hysteria。其中 VLESS 自身不做加密，安全性完全取决于外层的 TLS 是否配置正确；Trojan 和 AnyTLS 也是把流量包在 TLS 里走；Shadowsocks 用的是自带的对称加密，没有证书校验，服务器身份无法确认。读者能做的核对有两步，一是在客户端的节点详情里看协议名和是否带 TLS，二是看节点地址是域名还是裸 IP，裸 IP 配 TLS 通常意味着证书校验被关掉了。本站名单 34 家只有 13 家写了协议，其余为无数据（以 2026-08-09 的资料库为底，部分在 2026-09-25 补过，可信云按它 10 月 18 日的面板，另外 6 家按站长 10 月 18 日登录面板读到的套餐说明，其中只有 1 家自述了协议）。

第二项，日志与审计

结论先说，无日志四个字谁都能写进隐私政策，有价值的是第三方审计报告，看审计机构、审计范围、报告日期三样。

五家常被提到的商业 VPN 里，四家拿得出审计记录。ExpressVPN 请的是 KPMG LLP，标准 ISAE 3000 Type I，审到 2025-02-28 为止的状态。NordVPN 请的是 Deloitte Audit Lithuania，第六次，审计期 2025 年 11 月 10 日到 12 月 12 日，这条细节来自第三方转述，待复核。Surfshark 请的也是 Deloitte，第二次，2025 年 6 月公布，报告只对登录用户开放，没写具体审计日期。Proton VPN 请的是 Securitum，年年审，官方博客 2026-06-16 那次更新写最新一份是 2026 年报告，没给日期。Astrill 的公开页面里找不到审计两个字，记无数据。以上均为 2026-10-17 核对。

读报告时注意三点。ISAE 3000 是一种鉴证标准，Type I 只说明某个时点的设计是否合理，不说明之后一直这样运行。审计范围写的是哪几类服务器，没写进去的服务器不在结论之内。报告放在付费用户账户里而不公开的，外人只能看到博客摘要。

机场这一项基本是空白。名单 34 家没有一家写有审计，隐私政策多数也只是面板模板自带的一页。机场能看到的日志至少有连接时间、用量和入口 IP，用量计费本身就要求记录流量，所以“机场无日志”这句话从计费逻辑上就不成立，读者要默认运营方看得到自己的连接记录。

第三项，注册地

结论先说，注册地决定运营方在收到执法要求时要听谁的，看服务条款里写的合同主体和适用法律，不看官网首页的宣传。

五家的情况各有差别（2026-10-17 核对各家服务条款或帮助中心）。Astrill 背后是列支敦士登的 Veloxee Corp.。ExpressVPN 的合同方 Express Technologies Ltd. 受英属维尔京群岛法律管。NordVPN 自述受巴拿马法律管辖，母公司 Nord Security 却设在荷兰。Surfshark 的合同方是荷兰的 Surfshark B.V.，条款适用的却是英属维尔京群岛法律，两地分离。Proton AG 是瑞士公司，地址在日内瓦。

读者核对的方法是打开服务条款页，搜“governed by”或“适用法律”，再看合同主体名和地址是否一致。母公司所在地和运营实体所在地不同的，两边的法律都可能适用。

机场这一项没有数据。名单 34 家没有一家公开注册地；各家域名的注册信息和收款主体本站没有逐家核对，这两项同样记无数据。注册地查不到，意味着出了纠纷找不到可以起诉的主体，也意味着运营方掌握的用户数据在法律上几乎不受约束。

第四项，支付隐私

结论先说，付钱这一步留下的身份信息往往比连接日志更直接，看服务商接受哪些支付方式，再看自己选的那一种会交出什么。

信用卡和 PayPal 会把持卡人姓名和账单地址交给服务商或其收单方。支付宝和微信支付经过实名账户，收款方至少能看到付款账户的部分信息，并且交易记录留在境内支付机构。加密货币不绑定实名，但链上转账公开可查，交易所出金时仍要实名。礼品卡和现金是留痕最少的方式，哪几家接受本站没有逐家核对，待核对。

机场的支付方式以本站资料库 2026-08-09 基准为主，2026-10-18 读到面板套餐的 7 家里，有 6 家由站长 2026-10-19 登录后在结账页补读了付款方式（未下单）。合起来算，名单 34 家中 20 家写了支付宝，12 家写了微信，20 家写了 USDT，14 家无数据。也就是说多数机场的主流付款渠道都是实名渠道，USDT 是其中少数不经过实名账户的选项，但要自己承担汇率和转账手续费。付款前看一眼面板结算页列出的渠道名就能判断，只接实名渠道的机场，你的每一笔付款记录都能对应到本人。

机场订阅普遍差在哪

把四项合起来看，机场和商业 VPN 的差距集中在后三项。协议上机场用的 VLESS、Trojan 配好 TLS 并不比商业 VPN 弱，差距在于没有审计、没有注册地、付款几乎都走实名渠道。还有两项商业 VPN 常有而机场普遍没有的东西，名单 34 家没有一家写了试用政策，也没有一家写了退款规则，两栏全是无数据，买错了很难拿回钱。

另一个风险是客户端来源。机场自己打包的客户端不在应用商店审核之内，名单 34 家只有 4 家写了客户端信息，4 家都提到自研客户端。用第三方开源客户端导入订阅的做法更稳妥，各客户端官方发布页的版本和核验日期见 VPN 软件与订阅导入，不要从机场群文件或网盘链接装。

最后是跑路。机场预付周期越长损失越大，这一点和商业 VPN 的促销价一样，但机场没有退款保证兜底。哪些机场有过停摆讨论，看跑路风险那页的记录，本站只引讨论，不下结论。

用梯子时少留把柄的几个习惯

下面这些做法不依赖服务商是否可信，自己就能做到。

• 注册用独立邮箱。给机场面板单独注册一个邮箱，密码不和任何其他账号重复。面板账号一旦泄露，密码重复的损失会蔓延到别处，单独的邮箱和密码能把损失关在面板这一处。
• 先小额，再长期。第一次买按月或按量的小包，用一两周再决定年付。哪些机场可以试用，试用与计费有一张表，流量够不够用可以先在选机场计算器里算。
• 规则模式，不全局。Clash 类客户端用规则模式让国内流量直连，只有境外站点走代理。全局模式会把网银、支付、政务类流量也送进代理服务器，没有必要。
• 敏感账号不走代理。银行、支付、公司内网、实名政务平台在代理开着的时候不要登录，必要时关掉代理再操作。
• 不装来路不明的证书。任何要求在系统里安装根证书的客户端或节点，一律拒绝。装了根证书就等于允许对方解开所有 HTTPS 流量。
• 检查 DNS 走向。连上后用浏览器打开任意一个 DNS 泄漏检测站看解析服务器在哪，国内运营商的 DNS 还在工作就说明域名请求没有走代理。
• 订阅链接当密码管。订阅链接就是账号的钥匙，不要截图发到群里，也不要存进云笔记，泄露了去面板重置。
• 定期看面板登录记录。有登录记录功能的面板每月看一次，出现陌生地点就改密码。

免费 VPN 的安全账

免费服务的成本总要有人付。商业 VPN 自带的免费档是付费档的广告位，像 Proton Free 只开放 1 台设备和随机分配的服务器，限制写在明处，相对可控。浏览器插件和应用商店里来路不明的免费 VPN，常见的变现方式是出售出口带宽或插入广告，用户的设备会替别人转发流量。机场圈流传的免费节点和公开订阅，谁在运营、走什么协议都查不到，本站不收录也不建议使用。

三种免费来源各自的代价，以及有哪些机场可以正规试用，免费 VPN 与试用那页写得更细。想先弄清 VPN、机场、梯子这些词各指什么，VPN 指南有词汇表。想看各家机场写了哪些协议和支付方式，机场档案目录里每份档案都有速览卡，本页不做推荐。