VPN新手安全指南的重点，是把订阅链接保管、公共 Wi-Fi 使用与个人信息防护分开处理。先保护能取得线路配置的凭据，再检查哪些流量真正经过代理，最后减少不必要的信息提交。客户端显示已连接，不代表这些事情已经自动完成。
订阅链接与密码：分别保护哪些权限
账号密码通常用于进入用户面板，订阅链接则用于让客户端取得线路配置。链接可能包含访问令牌，拿到链接的人可能不必输入面板密码，就能读取配置并使用对应服务。因此，订阅链接应当按凭据保管，而不是当作可公开分享的网址。
订阅二维码也不只是图片。它可能编码完整订阅地址，扫描后即可导入。把二维码贴进聊天群、问答社区或求助截图，相当于把链接一起交出去。节点配置、导出的配置文件和客户端日志也可能包含认证信息，不能只遮住用户名就认为已经处理完毕。
| 资料 | 可能带来的风险 | 建议处理方式 |
|---|---|---|
| 面板账号密码 | 他人进入账户并查看或修改账户资料 | 使用独立密码，存入可信密码管理器 |
| 订阅链接或订阅二维码 | 配置被读取，线路权限被他人使用 | 仅导入可信客户端，不放进公开消息 |
| 节点配置与导出文件 | 其中的服务器认证信息被复制使用 | 限制文件访问，转交前删除敏感字段 |
| 日志与诊断截图 | 暴露请求域名、账户标识或带令牌的地址 | 先检查内容，只提交排障所需片段 |
订阅导入：避免把凭据交给转换网页
导入前先确认客户端支持订阅输出的格式。Shadowsocks、VMess、Trojan、VLESS 是不同的协议或配置类型，某个客户端支持其中一种，不代表它能读取所有订阅格式。导入失败时应检查应用版本、订阅格式与错误提示，不要连续尝试来历不明的在线转换工具。
把原始订阅粘贴到在线转换页面，可能让页面运营方接触到完整地址；如果转换服务代为拉取订阅，还可能读取返回的节点配置。页面使用 HTTPS，只说明传输受到加密保护，并不能证明接收方值得信任。优先使用服务提供的兼容订阅或可信客户端的本地导入能力。
- 从官方入口取得客户端。在 MingVPN 用户面板查看下载入口。Windows、macOS、Android、Linux 客户端登录后可下载；iOS 下载入口还需要有效套餐，不要把论坛附件当作官方安装文件。
- 在面板复制订阅。核对当前打开的是正确站点，避免从陌生消息或搜索广告中的仿冒页面取得配置。
- 在客户端选择订阅导入。区分订阅地址、单节点链接与本地配置文件，按对应入口添加，不要把账户密码填进订阅地址栏。
- 确认配置已载入。出现线路列表后再选择节点，并观察更新是否报错。列表出现只表示配置可读，还需要实际连接验证。
- 处理临时副本。清理临时便笺、导出文件和不再需要的截图；检查剪贴板历史及其同步设置，避免凭据在共用设备间流转。
Android 的系统 VPN 授权、iOS 的 VPN 配置授权，通常是客户端建立网络通道所需的步骤，但授权窗口本身不能证明应用可靠。不要为了修复订阅导入错误，随意安装陌生根证书或设备管理描述文件。遇到要求解密 HTTPS 流量的配置，应先明确用途与信任范围。
公共 Wi-Fi：先确认网络，再检查连接
机场、酒店和咖啡店的网络名称可能相似，也可能被仿冒。连接前向现场工作人员确认名称；曾经保存的网络不再使用时，可以移除自动连接。关闭不需要的文件共享与设备发现，系统提供公共网络选项时优先采用公共网络配置。
部分公共网络要求先打开认证页面才能访问互联网。如果代理此时连不上，应先检查是否尚未完成网络认证，而不是反复更换订阅。只提交接入所必需的信息；如果认证页面要求下载不明程序、安装证书或提供与上网无关的敏感资料，宜停止使用并换一个可信网络。
认证完成后再启动客户端，选择线路并检查目标网站。加密通道可以降低本地网络观察通道内流量的风险，但保护范围取决于客户端接管方式和分流规则。规则排除的应用、直连流量以及通道建立前的请求，不能因为客户端亮起连接标识就被视为已经受到同样保护。
- ✅ 确认网络名称，关闭不需要的共享入口。
- ✅ 先完成必要的网络认证，再验证客户端能否建立连接。
- ✅ 登录网站时核对域名，保留浏览器对 HTTPS 证书的正常检查。
- ❌ 不跳过证书错误继续提交密码，也不安装陌生页面提供的根证书。
- ❌ 不把连接状态标识当作所有应用均受保护的证明。
即使网站使用 HTTPS，钓鱼网站也可能拥有有效证书。地址栏显示安全连接，表示浏览器与当前域名之间的传输受保护，并不表示当前域名就是真正想访问的服务。网络反复异常且无法确认原因时，暂停敏感操作，比继续尝试输入账户资料更稳妥。
DNS 与分流：判断哪些请求经过线路
DNS 用于把域名解析成地址。所谓 DNS 泄漏，通常指解析请求没有沿预期的受保护路径发送，而是由本地网络或其他非预期解析服务处理。客户端的系统代理、虚拟网卡模式、DNS 设置，以及浏览器的加密 DNS 选项，都可能影响实际路径。
系统代理往往只影响遵循代理设置的应用，并不自动接管整个设备。虚拟网卡模式通常能接管更广的网络流量，但仍受路由、排除规则和 DNS 实现影响。不同平台对后台运行、网络权限与扩展的管理方式也不同，不能直接照搬其他系统的设置截图。
验证时可先连接预期节点，再用站内的IP 查询检查浏览器出口。出口变化只能证明这次浏览器请求使用了不同路径，不能证明其他应用或 DNS 都走了同一路径。若继续使用 DNS 检测工具，应对照预期解析方案理解结果，而不是看到本地国家名称就直接判定泄漏。
分流规则用于决定请求走代理、直连或被拒绝。规则模式适合按场景选择路径；全局模式通常会扩大客户端接管范围内的代理使用，但也不等于所有设备流量都已被接管。每次只调整一个设置，记录应用、网络环境和错误现象；需要进一步处理时，参考故障排查，不要把关闭证书校验当作修复办法。
判断结论：连接成功、出口变化、DNS 路径符合预期，是不同层面的检查。它们需要分别验证。通道加密不等于匿名，网站仍可能通过登录状态、Cookie 和设备特征识别访问者。
账户资料：只提交用途明确的信息
MingVPN 创建账户无需邮箱地址，使用用户名和密码即可。选择用户名时，可避免沿用真实姓名、工作标识或其他公开账户名称；密码不要与邮箱、工作系统及支付账户重复。密码管理器有助于生成和保存独立密码，也能减少在仿冒域名上误填的机会。
无需邮箱地址不代表可以忽略账户找回。创建账户后应妥善保存登录信息，并在面板内确认可用的账户恢复渠道。不要把恢复能力建立在自己的猜测上，也不要把完整密码发给客服来证明账户归属。
遇到表单索取证件照片、通讯录、家庭住址或工作单位等资料时，先核对当前操作是否确实需要这些信息，以及是否有清楚的用途说明。支付页面可能另有支付渠道的必要字段，应确认收款对象和页面来源，不要把支付密码或验证码交给聊天窗口中的所谓协助人员。
服务描述中的“银行级加密”是传输保护话术，不是个人信息处理规则的替代品。线路使用 IEPL 专线、中转或直连，主要涉及传输路径与资源组织方式，也不能单凭线路类型推断日志政策。隐私政策说明了收集哪些资料、用于什么目的以及如何处理，才是判断信息边界的依据。
发现泄露：先撤销权限，再恢复使用
如果曾把订阅发到公开位置，应按已经泄露处理，不必等到流量异常才行动。删除消息可以减少后续传播，却不能让已被复制的链接消失。处理重点是让旧凭据失效，并确认自己的设备已换用新的配置。
- 移除公开副本。撤下帖子、图片和共享文件，记录发生时间与暴露资料的类型，避免在后续求助中再次贴出原文。
- 撤销对应凭据。密码外泄时修改账户密码，并检查可用的会话管理入口；订阅外泄时重置订阅。若无法自行完成，通过面板工单申请协助。
- 更新自己的设备。重新导入新订阅，删除旧配置，确认更新与连接均正常。原有配置是否仍可使用，应以服务端撤销结果为准。
- 检查相关账户。如果旧密码在其他服务重复使用，也应分别修改；若设备疑似存在恶意软件，先在可信设备上处理账户，再检查受影响设备。
提交工单时提供操作系统、客户端名称、错误提示和发生场景即可先开始排查。日志先做脱敏，订阅地址中的路径、查询参数和认证字段都要检查；不确定如何处理时，先描述现象，再询问支持人员具体需要哪些资料，不要直接上传整份配置。
日常维护也应围绕同样的边界：保持系统与客户端更新，使用后锁定共用设备，定期检查共享文件与浏览器扩展权限。VPN 能解决部分网络传输问题，但账户保护、终端安全和网站真伪核验，仍需要各自处理。