AES-256-GCM
传输层使用 AES-256-GCM 加密，密钥每次会话轮换，前向保密由 X25519 密钥交换保证。
01 / 机制
五层，逐层收紧。
DNS 防泄漏
DNS 查询走加密隧道，不使用本地运营商解析，避免域名查询暴露访问意图。
WebRTC 防泄漏
浏览器 WebRTC 可能绕过隧道暴露真实地址，客户端会阻断非隧道网卡候选。
断线保护
连接意外中断时立即阻断全部流量，等待重连完成，避免流量回落到本地网络。
双跳线路
专业订阅可选双跳：流量经两个入口转发，任一节点无法同时看到来源与目的地。
02 / 清单
保留与不保留。
| 数据 | 是否保留 | 保留时长 | 用途 |
|---|---|---|---|
| 访问的域名与页面 | 不保留 | — | — |
| DNS 查询内容 | 不保留 | — | — |
| 连接时间与所用入口 | 保留 | 30 天 | 计费与故障排查 |
| 流量总量 | 保留 | 30 天 | 套餐额度统计 |
| 设备型号与系统版本 | 保留 | 90 天 | 兼容性分析 |
| 支付信息 | 由支付机构处理 | — | 不进入我们的系统 |
连接元数据不与访问内容关联，导出时仅包含时间、入口代码与流量总量。
03 / 验证
怎么自己验证。
连接后访问任意 IP 查询页，确认显示的地址属于所选入口；再访问 DNS 泄漏检测页，确认解析服务器不是本地运营商。
断线保护可以用任务管理器强制结束客户端进程来验证：连接应在 1 秒内中断，浏览器无法访问外网。
自检面板只是辅助，真正的验证应该由你自己完成。我们不要求你只相信页面上的绿色对勾。