无日志承诺验证指南
架构安全只是半张拼图，另一半是「运营方不记录」的可验证性。
阅读全文 →
安全架构
Secure Core 详解：
Secure Core 详解：
双跳架构到底防的是什么
从连接路径说起
普通 VPN 的连接是单跳：你的设备加密流量发往一台出口服务器，出口服务器替你访问目标网站。结构简单、速度快，但整个信任模型压在一台服务器上——出口服务器是唯一信任点。
Secure Core 把这条路径强制拆成两段：流量先进入位于瑞士、冰岛、瑞典等高隐私保护司法管辖区的加固服务器，再转发到出口服务器，最后访问目标网站：
① 你的设备 → ② Secure Core 加固服务器（瑞士/冰岛/瑞典）→ ③ 出口服务器 → ④ 目标网站
它抵御的两种攻击模型
1. 出口服务器单点攻陷
如果出口服务器被攻击、被强制接管或被查封，攻击者看到的也只是来自 Secure Core 服务器的流量，无法回溯你的真实 IP。单跳结构下，这等同于全线失守。
2. 流量关联分析
能够同时观察网络进出两端的分析者，理论上可以通过时间特征把「进入的一端」和「离开的一端」对应起来。双跳 + 跨司法管辖区的物理隔离，把这种对应关系的建立难度显著提高。
加固服务器本身不是普通租用机
- 全磁盘加密：即使机房物理失守，数据也无法被直接读取；
- 部署在 Proton 自有或受控机房，而非随意的云主机；
- 接受独立安全审计，架构与配置可被第三方复核。
代价：延迟
多一跳物理距离，延迟必然增加，速度略低于直连节点。日常浏览、邮件、通讯几乎无感；但对延迟极敏感的场景（竞技游戏、大文件持续传输），可以临时切回普通节点。开启 VPN Accelerator 与就近选择入口可以缩小差距。
谁应该常开
- 处理敏感事务的用户：涉及来源保护、客户机密、未公开研究数据；
- 长期在不可信网络工作的人：跨境差旅、共享办公网络、酒店 Wi-Fi 重度用户；
- 高风险人群：记者、律师、研究人员、活动人士——这也是这套架构最初的设计对象。
如果你只是看流媒体、日常加密浏览，普通节点 + Kill Switch 已经足够，不必为用不到的威胁模型支付延迟。
实测建议：开启 Secure Core 前后各测一次本地到常用目标站点的往返延迟（ping）与下载速度，用数据决定是否常开。Secure Core 属于 VPN Plus 付费功能，免费版无法开启——对比见免费版 vs Plus。
常见问题
开启 Secure Core 后网速会明显变慢吗？
会略慢。多一跳物理服务器意味着更高延迟；日常浏览影响不大，但极限速度场景可临时关闭。Accelerator 与就近入口能缩小差距。
出口服务器被攻陷，攻击者能拿到我的真实 IP 吗？
不能。攻击者只能看到来自 Secure Core 加固服务器的流量。该设计的前提是入口与出口不被同一方同时控制，跨司法管辖区部署正是为此。
哪些人应该长期开启？
处理敏感事务、长期处于不可信网络，或属于高风险人群（记者、律师、研究人员、活动人士）的用户建议常开；普通用户视场景临时开启即可。