VPN安全使用指南先看凭据，再看连接。订阅链接保管与公共 Wi-Fi 防护，核心是避免把访问权限交给陌生人，并确认需要保护的流量确实经过预期路径。客户端显示已连接，只说明连接状态，不代表所有应用、域名解析和账号操作都受到同样保护。
订阅链接：按访问凭据保管
订阅链接用于让客户端获取线路配置。它通常包含用于识别订阅权限的凭据；拿到完整地址的人，可能无需进入面板，就能获取对应配置。具体权限取决于服务实现，但保管标准应与密码接近，不能把它当成普通帮助文档地址。
二维码也可能包含相同内容。把订阅二维码发到公开群、把导入页面截图上传到论坛，都会扩大泄露范围。线路配置文件还可能包含服务器地址、认证信息和规则来源，不宜整份交给不认识的人排查。
- ✅ 只在自己信任的客户端中导入订阅，并核对导入来源。
- ✅ 使用可靠的密码管理器保存敏感信息，避免放进共享笔记或公开文档。
- ❌ 不把完整订阅地址粘贴到搜索框、公共聊天或陌生在线转换页面。
- ❌ 不公开包含二维码、认证字段或完整请求地址的截图。
订阅转换尤其需要留意。在线转换服务若接收完整链接，就可能接触订阅内容；转换结果也可能改变规则与代理组。优先使用客户端原生支持的订阅格式。确需转换时，先确认工具来源、数据去向与配置变化，不因页面写着“安全”就直接提交。
账号密码：与订阅权限分开处理
面板密码用于访问账户，订阅凭据用于获取配置，两者不一定联动。修改登录密码后，不应默认旧订阅已经失效。是否能重置订阅、旧配置何时失效，应以面板功能及工单答复为准。
VPNSelf 无需邮箱地址，用户名与密码即可开始。用户名不必包含真实姓名、工作单位或其他可识别身份的信息。密码应独立使用，不与论坛、购物或工作账户复用；少填信息与使用独立密码，是不同层面的风险控制。
登录入口应从已确认的站点进入。公共网络弹出的认证页面、搜索广告和聊天消息中的链接，都不应直接作为面板入口。核对浏览器地址栏中的域名与 HTTPS 状态；浏览器出现证书警告时，先停止输入凭据，不要靠反复点击继续解决。
共享设备上尽量不保存面板密码。使用结束后退出账户，检查下载目录、剪贴板历史和客户端配置是否留有敏感内容。删除文件也不等于能撤回已经同步或复制出去的信息。
公共 Wi-Fi：先确认网络，再验证路径
公共 Wi-Fi 的风险不只是有人“看流量”。同名热点可能由不同设备提供，认证页面可能伪装，网络还可能干扰域名解析或引导访问错误页面。先向场所确认网络名称与认证方式，再决定连接；不要只看信号强或名称熟悉。
正常的 HTTPS 能保护浏览器与目标网站之间的传输内容，但不能证明网站本身可信，也不能阻止用户把密码主动填进仿冒页面。VPN 或加密代理能在其实际覆盖的连接范围内保护设备到服务端的传输，却不能替代网站证书校验和终端安全。
- 认证前：关闭不需要的自动加入网络功能，确认系统共享和附近发现设置符合当前场景。
- 认证时：只完成必要的网络接入操作。若页面要求安装未知证书、配置描述文件或来源不明的程序，先中止并核实。
- 联网后：启动可信客户端，检查所选线路、代理模式及系统权限是否生效，不只看连接图标。
- 操作前：打开目标网站，核对域名与证书提示；敏感操作优先在自己掌控的网络环境完成。
- 离开后：按需忘记该网络，避免设备以后自动连入名称相同的热点。
分流与 DNS：检查保护范围
“已连接但某个应用没有走代理”并不罕见。系统代理主要影响遵循系统代理设置的应用；虚拟网卡模式通常覆盖更广，但仍受路由、排除项和客户端实现影响。浏览器扩展一般只作用于浏览器，不能据此推断整个设备的连接路径。
Windows、macOS 与 Linux 需要分别检查系统代理、虚拟网卡权限和后台服务。iOS 与 Android 则应核对系统中的连接配置，以及客户端是否设置了按应用排除。不同客户端对协议、规则和 DNS 的支持并不一致，不宜把另一平台的教程逐项照搬。
DNS 泄漏指域名解析没有按照预期的保护路径处理，暴露给了非预期的解析方。判断时要结合配置目标：出现本地解析器可能是分流设计，也可能是设置未生效。浏览器自带的加密 DNS、系统解析和客户端 DNS 可能各走不同路径，不能只凭出口地址变化就下结论。
| 现象 | 可能原因 | 建议检查 |
|---|---|---|
| 浏览器出口变化，其他应用未变 | 应用不遵循系统代理，或被规则排除 | 代理模式、应用排除项、实际连接记录 |
| 出口符合预期，解析路径不同 | 系统或浏览器使用独立 DNS 设置 | 客户端 DNS、浏览器加密 DNS、直连规则 |
| 断开线路后仍能访问网站 | 直连规则生效，或未阻止断线后的直连 | 规则命中、回退行为、客户端阻断设置 |
| 网页出现证书警告 | 证书异常、系统时间错误或网络干扰等 | 先停止提交资料，再核对时间、域名和网络 |
测试应在连接前后使用同一设备与应用，并同时查看客户端连接记录。不要为解决解析问题就随意关闭全部证书校验，也不要把完整诊断日志交给公开测试网站。
加密与线路：区分传输、出口和终端
协议名称不是安全结论。Shadowsocks、VMess、Trojan、VLESS、Hysteria2 与 TUIC 的认证及传输设计不同，是否提供加密、如何使用 TLS，需要看具体协议和配置。例如 VLESS 本身不提供内容加密，需要结合所选传输安全方案判断。客户端能导入配置，也不表示所有安全设置都正确。
IEPL 专线、中转与直连描述的是线路组织方式。专线不等于应用数据自动获得端到端加密，中转不等于整个设备流量都会经过中转，直连也不能单独决定是否安全。需要分别确认传输保护、实际路由与目标网站的 HTTPS。
VPNSelf 的安全营销主话术为军工级加密。实际使用仍应关注客户端来源、配置和证书校验。服务端出口之后，未受应用层加密保护的内容仍有传输风险；浏览器插件、恶意软件和主动提交的个人资料，也不会因为接入线路而自动得到防护。
判断结论：安全不是只选某种协议或某类专线。先保护凭据，再确认流量覆盖范围，最后核对目标网站身份；这些检查不能互相替代。
链接泄露：先撤销权限，再清理副本
发现订阅链接出现在公开页面时，先把它视为可能已被复制。删除消息只能减少继续传播，不能让已有副本失效。账户尚能访问时，从可信入口进入面板，查看是否提供订阅重置与会话管理功能；无法确认时，通过面板工单请求协助。
- 停止扩散：撤回公开内容，移除共享文档与截图中的敏感字段，提醒接收者不要转发。
- 处理权限：按面板能力重置订阅或请求处理旧凭据；若登录密码也有暴露风险，同时更换独立密码。
- 更新设备：在自己的客户端重新获取有效订阅，清理旧配置，并确认规则和线路选择没有异常变化。
- 复查来源：检查是否由截图、在线转换、剪贴板同步或共享设备造成，避免只换链接却保留原有泄露路径。
提交工单时，说明发生时间、平台、客户端名称、操作过程及报错文字。截图应遮住订阅链接、认证字段和账户敏感内容。不要在首次求助时附上完整密码、支付凭据或整份配置；需要补充材料时，先确认必要范围。VPNSelf 的联系渠道为面板工单。
日常使用可以把检查压缩成固定习惯：入口可信、凭据不外传、路径可验证、异常先停止。需要重新安装时，从面板获取客户端；客户端与订阅需登录后获取，iOS 获取资格按面板内有效套餐判定。更多操作可查看新手指引，不要用陌生安装包代替排查。