公共 WiFi 安全清单

今天的公共 WiFi 比你以为的安全，但也比你想的能追踪你。内容层面：绝大多数网站已经是 HTTPS，中间人看得到你连了哪个域名，但看不到内容。追踪层面：开放网络 + 固定 MAC 地址 = 你的设备可以被同一个场地的 WiFi 设备长期关联，这和"被黑客攻击"是两件事，但很多人更在意后者，而忽略了前者。

VPN 到底在保护什么？三件事：把流量包进一条你自己建立的加密隧道（别人看到的只是一条连到 VPN 服务器的连接）、让 DNS 查询不在本地网络上明文进行、以及隐藏你"连的是哪个站点"这一层元数据。它不替代 HTTPS，两者叠加。

三档分类怎么用。"必须用"的意思是：在没有 VPN 的情况下做这件事，你的风险明显高于可接受范围，先开 VPN 再操作。"建议用"的意思是：做了没大事，但开 VPN 成本很低，值得顺手做。"不必用"的意思是：现代默认配置已经覆盖了主要风险，强行上 VPN 只是增加麻烦和断连可能（例如在需要稳定低延迟的视频通话里）。

自己手机热点比公共 WiFi 稳。热点是你自己设备直接加密并独享的通道，同一广播域里没有其他陌生设备。如果你的套餐流量够，或者有随身 WiFi，机场和咖啡馆这种场合优先用热点。

· 在门户页面输入银行卡或邮箱密码。强制门户的用途只是"放你上网"，不需要你的支付信息。弹出要求输入卡号、验证码或主密码的页面，一律关掉。

· 把"装了 VPN"当成绝对安全。如果你或你的公司往设备里装过自签的根证书，浏览器会信任它——这正是很多公司做 HTTPS 审计的方式。在这样的设备上，VPN 的保护会被绕过。

· 在公共网络上收到多因素认证推送随手点"批准"。攻击者可以在别处用你的账号发起登录，你的手机就会收到推送。原则是：不是你刚刚发起的登录，一律点"拒绝"。

· 开着自动加入 + 固定 MAC。这是"假热点"最省事的做法：名字和真的一模一样，自动连上，密码还不用输。

· 用公共电脑或共用平板登录个人账号。浏览器会记住会话，设备上任何人都能接着用。宁可退出登录，也不要"下次再登"。

· 把充电宝直接插陌生 USB 口。这不是 WiFi 问题，但常在同一个场景发生：公共充电桩。

· 不评估具体网络的安全性。本工具按场景类型给出的是"这类环境通常怎样"，不能判断某个机场某个航站楼的某个 SSID 是否被动了手脚。要判断那个，只能靠现场信号——网络名是否与商家标识一致、是否需要密码、有没有异常证书提示。

· 不推荐 VPN 产品，也不替你连接。本页不包含任何品牌、套餐或价格比较。选 VPN 时真正该看的是：是否有独立审计与日志政策、是否支持 WireGuard 等现代协议、在你常去国家的服务器覆盖、以及 kill switch（断线自动阻断）是否存在。

· 不覆盖设备丢失与恶意软件。手机丢失、装到盗版 App、公共充电桩、蓝牙配对被冒用，这些是另一类问题，清单里的措施帮不上。

· 不是合规检查表。涉及公司数据、跨境传输或行业监管要求的工作设备，请以你雇主的 IT 与合规政策为准。

输入：场景＝咖啡馆；连接方式＝密码贴在墙上的公共 WiFi；操作＝网银、社交、看视频；自动加入＝开着；Mac 随机化＝没开过；VPN＝没装。

输出：暴露面四项为被动监听 55、主动中间人 63、门户钓鱼 30、长期追踪 80，综合等级"偏高"，最需要防的是"长期追踪"。操作分类：网银＝必须用 VPN（没有 VPN 就把这一项挪到有信号或用热点的时段）；社交＝不必用（若用端到端加密的应用），视频＝不必用。

怎么解读：注意最该防的那一项不是"黑客"，而是"长期追踪"——你没开随机化、还开着自动加入，意味着这个咖啡馆的 WiFi 可以把你的设备标识长期串起来。改这两个设置的成本几乎为零，比纠结要不要买 VPN 更划算。而"必须用 VPN"的那一项，最省事的办法其实是换个时段做，不是硬上工具。