VPN 应用的分析设置到底发送了什么？

你的隧道是加密的，隐私页面说不保留日志，而应用仍然附带了会报告你打开哪些界面的诊断库。这是两种不同的数据流，适用不同的政策。连接日志记录隧道去了哪里；分析事件记录你如何使用应用。读了一种就以为它覆盖另一种，正是这个设置所暗示的误解。

开关通常控制什么

多数客户端会把可选的报告与服务运行必需的处理分开。开关通常管控崩溃报告、使用事件和性能测量，而身份验证、计费与防滥用工作不受其开关状态影响，照常进行。

崩溃报告包含堆栈追踪、设备型号、系统版本和应用版本。使用事件会列出界面与功能，有时还带有时长。性能事件记录连接时间、协议选择和错误代码。支持诊断是第四类，通常由用户手动触发，可以打包日志与配置。

发送方并不总是图标上的品牌。应用内嵌的 SDK 可能发往它自己的端点，崩溃服务也可能是另一家公司。所以通知中的接收方清单和开关的标签同样重要。

让报告具备识别性的字段

仅看类别并不能回答隐私问题，真正起作用的是与事件绑定的标识符。一份看似无害的报告，只要每一行都出现同一个安装 ID，就能变成一份历史记录。

账号关联是最强的连接键，因为它把设备的历史变成人的历史。在许多司法辖区，即使报告不含姓名，IP 地址也属于个人数据；在某些平台上，稳定的标识符还能在重装后保留下来。

如果原始标识符仍留在发送方一侧，聚合就不等于匿名化。若通知声称统计是匿名的，就要追问方法：舍弃了什么，在哪一步舍弃，接收方能否重新关联这些事件。

谁接收报告

追查接收方，而不是品牌。应用开发者可能自己运营端点，也可能把品牌授权给其他运营方；分析供应商和崩溃服务是另外的当事方。隐私通知应当写明这些角色，以及各自接收哪些类别。Mozilla 订阅服务的隐私声明将账号数据与技术、诊断类别分开，这正是值得寻找的划分方式。

保存期限在每一环节各自设定。开发者可能只保留很短一段时间，而分析供应商按其自身政策保留更久，通过邮件发出的支持包可能比两者都长寿。要问数据在谁手里，而不只是谁收集了它。

跨境传输也应纳入同一审视。另一个地区的诊断端点会产生一种隧道加密并不影响的传输，因为报告根本没有经过隧道。

关闭它做了什么、没做什么

关闭开关会停止未来的可选报告。它不能撤回已经发出去的报告，也不会从接收方那里删除它们。删除是提供商数据处理流程中的另一项请求，而且可能需要账号标识符，而不是设备上的设置。

必要的处理仍在继续。登录、订阅续费、欺诈检查和服务健康状态可能依据其他基础被记录，操作系统也有自己的崩溃与分析功能，应用开关从来管不到它们。如果目标是停止设备诊断，就要检查系统层面的设置。

排障时可以有意识地使用这个设置：打开诊断，复现故障，收集打包文件，然后关闭上报，并在工单关闭后删除打包文件。手动添加的附件值得和自动上传的一样审查，因为日志文件可能包含比分析事件多得多的内容。

把通知和设备实际发出的东西对照

不用解密内容也能看到目的地。在 macOS 和 Linux 上，连接列表会显示客户端与哪些远程地址通信：

sudo lsof -i -P -n | grep -i vpnclient
ss -tup | grep -i vpnclient

TLS 隐藏了载荷，所以输出只能证明目的地和大致时间，而不是里面的字段。但这足以检验一项声明：如果通知只提到一个分析接收方，而应用还联系了未列出的域名，那就在照单接受政策之前先问清楚。

把接受的类别、与它们绑定的标识符以及持有这些数据的接收方写下来。当应用更新 SDK 或提供商更换所有者时，这份简短记录比脑子里的记忆更有用。