- VPN 僅加密您的裝置與其伺服器之間的流量並隱藏您的 IP 位址，但它不會取代瀏覽器與網路之間的 HTTPS 加密。
- 如果頁面未使用 HTTPS，VPN 伺服器↔網頁部分仍使用 HTTP，您的資料可能會被攔截或竄改。
- VPN 可以提高您在 ISP 和公共網路上的隱私，但它並不能阻止不安全或惡意網站帶來的風險，也無法修復它們的缺陷。
- 最安全的選擇是將 VPN 與 HTTPS 結合使用，並避免在瀏覽器標記為不安全的網站上傳送敏感資訊。
當有人告訴你「用VPN就萬事大吉了」時，實際情況遠比這複雜得多。 VPN並非萬能靈藥，無法解決所有安全問題，尤其是在造訪未使用HTTPS或設定錯誤的網站時。了解VPN的局限性，是避免在瀏覽網頁時產生虛假安全感的關鍵。
想像一下這種很常見的情況：你訪問一個用了多年的網站，突然瀏覽器警告你，網站不再顯示安全鎖圖標，並且未使用 HTTPS。有人告訴你，如果透過 VPN 連接，“什麼事都不會發生”，因為你的訊息會安全傳輸。然而，也有人告訴你，VPN 只能保護你的資料到達其伺服器，而無法保護從網站到 VPN 的整個傳輸過程。到底誰是對的？你的數據在這個過程中究竟會發生什麼事？
VPN究竟是什麼？它保護連接的哪一部分？
在深入探討HTTPS和不安全網站的複雜性之前，有必要先從技術角度解釋VPN的工作原理。 VPN會在你的裝置和VPN伺服器之間建立一個加密隧道。所有從你的手機、電腦或平板電腦發送到網路的資料都必須先經過這個隧道。
這表示從您的網路存取點（例如您的家庭 Wi-Fi、工作網路或酒吧的公共 Wi-Fi）到 VPN 伺服器，所有流量都會加密。中間的任何一方（例如您的網路服務供應商、網路管理員或開放 Wi-Fi 網路上的攻擊者）都只能看到加密數據，而看不到您發送或接收的內容。
然而，一旦你的資料離開 VPN 伺服器並到達你造訪的網站，它就不再受 VPN 隧道的保護了。從 VPN 到網站的連接，你的連接方式與其他用戶的連接並無二致：保護程度（或缺乏保護）取決於網站是否使用 HTTPS、伺服器的配置方式以及其他因素。
因此，人們常說VPN保護的是「你的設備↔VPN伺服器」這段數據，但它無法直接控制從VPN伺服器到目標Web伺服器傳輸的數據。而這最後一段數據對於理解你的資料傳輸是否安全至關重要。
VPN 和 HTTPS 的差異：兩種不同的保護層
VPN 和 HTTPS 的概念經常被混淆，人們常常誤以為它們是相同的，但實際上它們是兩種不同的技術，運行在不同的層面上。兩者都會對資料進行加密，但加密方式不同，加密點也不相同。請參閱我們的網頁瀏覽器安全指南。
HTTPS 是 HTTP 的擴展，它使用 TLS/SSL 加密。當您在網址列中看到掛鎖圖示時，表示您的瀏覽器和 Web 伺服器之間存在端對端加密。任何中間方（包括您的網路服務供應商或 VPN 本身）都無法看到頁面的特定內容、您的密碼或您傳送給該網站的任何資料。
另一方面，VPN會加密您的裝置與其伺服器之間的流量，但它不會定義該伺服器如何與網站通訊。如果網站正確使用 HTTPS，則 VPN 伺服器與網站之間的連線也會加密。如果網站只使用 HTTP（不含「s」），則只有連線中這部分會被加密。
簡單來說：VPN 處理的是“通往互聯網的路徑”，而 HTTPS 處理的是瀏覽器與目標網站之間的直接連接。它們是互補的，而非替代的。
當所有設定都正確時（VPN + HTTPS），您將獲得雙重保護：由於 VPN 的存在，您的 ISP 無法看到內容；而 VPN 本身也無法看到加密的 HTTPS 內容。但是，如果缺少其中一層保護（例如，網站未使用 HTTPS），情況就會發生顯著變化。
使用 VPN 造訪未加密的網站時會發生什麼事？
讓我們考慮一下你描述的情況：你造訪一個沒有HTTPS的網站，你的瀏覽器顯示警告，然後你決定使用VPN，因為有人告訴你VPN「安全」。在這種情況下，VPN只能保護你免受某些風險的影響，而不是所有風險。
從您的裝置到 VPN 伺服器，所有資料都透過 VPN 進行加密。您的網路服務供應商、Wi-Fi 所有者或附近的攻擊者無法準確讀取您造訪的網站或您輸入的資料（儘管他們可以推斷出一些流量模式，但無法獲得詳細內容）。
然而，從 VPN 伺服器到未使用 HTTPS 的網站，連接使用的是純 HTTP 協議，這意味著傳輸的是未加密的明文。在這個環節中，任何能夠監控 VPN 伺服器和 Web 伺服器之間流量的人（例如，在中間網路或網站提供者處）都可以查看內容。
實際上，改變的是安全漏洞所在。如果沒有 VPN，連線的不安全部分會從你的裝置一直延伸到網站。有了 VPN，這個不安全部分會被轉移到「VPN 伺服器↔網站」區域，但只要網站不使用 HTTPS，它仍然存在。
此外，務必記住，如果不使用 HTTPS，網站將以明文形式接收您的資料。這意味著您發送的所有內容（使用者名稱、密碼、表單、個人資料）都會以未加密的形式到達網站伺服器，因此可能會被攔截或以不安全的方式儲存。
當網頁沒有使用 HTTPS 時，VPN 可以保護什麼？
儘管VPN有一些局限性，但即使在瀏覽非HTTPS網站時，它也能提供一些實用功能。首要優勢在於隱藏您的真實IP位址。您造訪的網站看不到您的IP位址，而是看到VPN伺服器的IP位址。
這意味著網站（以及任何有權存取其日誌的第三方）無法輕易將您的活動與您的家庭網路連接或您的確切位置關聯起來。對許多人來說，這種基本的匿名性已經非常重要，尤其是在造訪他們不希望透露真實 IP 位址的網站時。
VPN 的另一個功能是保護您身邊最容易受到日常風險影響的區域：它可以防止您的網路服務供應商確切地看到您造訪的網站以及您在這些網站上的活動內容（即使他們能夠偵測您正在使用 VPN）。它還可以保護您免受公共網路上的窺探，例如機場或飯店 Wi-Fi 上的常見攻擊。
總結一下：VPN 可以保護你免受附近間諜（ISP、網路管理員、本地攻擊者）的侵害，並向網路隱藏你的 IP 位址，但它並不能神奇地將不安全的網站變成輸入敏感資料的安全環境。
VPN 無法在沒有 HTTPS 的網站上做什麼
最大的誤解在於VPN的限制。如果網站沒有啟用HTTPS ，VPN不會自動加密VPN伺服器與網站之間的連線。這部分連接仍然容易受到網站伺服器附近或中間基礎設施的竊聽。
VPN也無法阻止網站查看並儲存您以明文形式發送的資料。如果您在HTTP頁面上輸入使用者名稱和密碼，網站會直接接收這些憑證，沒有任何保護措施。如果該頁面存在安全漏洞、遭到入侵，或者管理員未能妥善管理這些數據，您的憑證最終可能會洩露。
另一個重要的限制是：VPN 的設計初衷並非保護您免受惡意網站的侵害。如果某個頁面是釣魚網站，試圖誘騙您輸入資料或下載惡意軟體，VPN 也無法阻止您落入陷阱。雖然 VPN 提供的 IP 位址可以使您保持“匿名”，但您仍然容易受到欺騙。
此外，需要注意的是，根據 VPN 提供者的日誌記錄政策和管轄範圍，他們可能能夠查看您的活動元資料（例如您造訪的網域名稱、造訪時間、流量大小等）。對於未使用 HTTPS 的網站，如果他們攔截了 VPN 到網站的流量，理論上甚至可以查看網站內容，因此對 VPN 提供者的信任是另一個關鍵因素。
最後，VPN並不能解決作業系統漏洞、裝置惡意軟體或糟糕的基本安全措施等問題。如果你的電腦已被感染，使用VPN幾乎毫無作用：惡意程式可以在加密之前讀取你輸入的內容。為了降低這種風險，請使用網路安全軟體。
那麼，關於 VPN 保護，誰的說法才是正確的呢？
回到你收到的意見，兩者都有一定道理，但其中也存在細微差別。有人告訴你VPN只能保護你裝置到VPN伺服器之間的流量，關於流量加密的說法是正確的：VPN確實能確保資料在傳輸過程中保持加密狀態。
然而，這種觀點在身分和隱私方面存在不足。 VPN也會影響網站對你的看法，因為它們偵測到的是 VPN 伺服器的 IP 位址，而不是你的 IP 位址。從這個意義上講，你的身分在整個連接過程中確實都受到了保護，即使在未加密的 HTTPS 部分也是如此。
另一方面，那些聲稱「無論資訊如何傳輸，VPN都能保護你」的說法過於簡單化，可能會造成誤導。如果網頁未使用HTTPS，則訊息並非端對端加密，連線的部分環節仍有安全隱患。
最準確的解釋是：VPN 可以保護你的連線免受某些方面（例如 ISP、本地網路以及一些中間方）的干擾，並隱藏你的 IP 位址，但它並不能取代瀏覽器和網站之間的 HTTPS 加密。如果沒有 HTTPS，連線的最後一部分永遠無法完全安全。
因此，就那個警告你不再使用HTTPS的頁面而言，僅僅使用VPN並不能完全保證輸入密碼或敏感資料的安全。 VPN可以提升你的隱私保護並降低某些風險，但並不能消除根本問題：網站沒有提供端對端加密。
即使使用 VPN，造訪未加密的網站仍然存在實際風險。
除了理論之外，了解即使使用 VPN 也仍然無法存取 HTTPS 網站的特定風險至關重要。首先是未加密部分中的憑證或個人資料被盜。如果有人能夠存取 VPN 和網站之間的流量，他們就可以讀取您發送的內容。
這也會增加VPN和網站伺服器之間遭受中間人攻擊的可能性。如果沒有HTTPS，就無法有效驗證您是否正在與合法伺服器通信，這就為攻擊者冒充網站打開了方便之門。
另一個問題是資料完整性無法得到保證。使用 HTTPS 時，如果有人在傳輸過程中篡改內容，瀏覽器可以偵測到。而如果沒有 HTTPS，即使你使用了 VPN，攻擊者也可能在不知不覺中將惡意程式碼注入到從網路載入的頁面中。
此外，您的瀏覽活動可能會受到網站伺服器或最終傳輸環節中中間方的深入監控。使用 VPN 並不能阻止內容以未加密的形式傳輸到不安全的伺服器，因此您的隱私仍然會受到部分損害。
最後，許多遺失或停用HTTPS的網站往往維護不善或過時。這增加了其他嚴重漏洞的風險，以及伺服器本身遭受攻擊導致資料外洩的可能性，而VPN無法阻止這種情況。
使用 VPN 造訪不安全網站時的最佳實踐
鑑於以上所有因素，理想情況下，您應該使用 VPN 作為額外的保護層，但在造訪不安全的網站時仍需保持謹慎。第一個建議很簡單：即使您使用了 VPN，也請避免在沒有 HTTPS 的頁面上登入或輸入敏感資料。
如果您出於某種原因別無選擇（例如，某個舊服務只能以這種方式運行），請考慮建立專用憑證，不要重複使用您在其他網站上使用的密碼。這樣，即使您的憑證洩露，造成的損失也會更小。
另一個好習慣是始終查看瀏覽器的警告。如果您的現代瀏覽器警告您某個頁面不安全或憑證無效，請務必重視。 VPN 不會忽略這些警告，如果網站看起來不可信，最好立即退出。
選擇信譽良好、擁有明確的零日誌政策和強大加密功能的 VPN 提供者也十分明智。如果您打算將信任從 ISP 轉移到 VPN，至少要確保它是一家信譽良好且透明的公司；或考慮使用更高級的自託管 VPN方案。
最後，請確保您的系統保持最新狀態，使用一款優秀的瀏覽器，並且盡可能啟用諸如“僅限 HTTPS”之類的功能，或者安裝一些擴展程序，強制頁面在允許的情況下使用 HTTPS。雖然這些措施無法解決網站完全不提供 HTTPS 的情況，但它們確實有助於最大限度地減少意外的不安全連線。
綜上所述，VPN 的確是提升連線隱私和安全的重要工具，但它並不能取代 HTTPS，也無法修復安全防護薄弱的網站漏洞。 「VPN 包治百病」的說法遠非事實：VPN 可以保護您免受某些攻擊者的侵害，隱藏您的 IP 位址，並增強您的瀏覽安全性，但如果某個網站停止使用 HTTPS，您在連接的最後階段以及與該網站伺服器互動時仍然存在安全漏洞。因此，是否將資料委託給 VPN 應該基於對這種風險的評估，而不是基於人們有時賦予 VPN 的那種虛假的「萬無一失」的感覺。