公共Wi-Fi用VPN：酒店和机场的风险解析

2026年公共Wi-Fi真的危险吗？

两个官方来源给出了不同的答案，把它们放在一起读，是旅行者能做的最有用的事。

FTC描述的是典型情况：大多数网站都会加密流量，同一网络上的陌生人能看到的内容很少。BSI描述的是最坏情况：一个你无法确认来源的网络，用来做你承受不起损失的事情。在一趟旅行里，你常常同一天就会遇到这两种场景。

什么是仿冒热点？

仿冒热点是一个刻意伪装成合法网络的Wi-Fi：使用和酒店、机场休息室或咖啡馆网络相同或相似的名字。曾经连接过同名网络的手机可能会自动加入。运营它的人处在你和互联网之间，能看到你连接了哪些服务，还能把你引导到看起来相似的假登录页。

HTTPS仍然能保护真正加密网站的内容，但如果你把密码输进了假页面，它就无能为力了。这正是FTC自己提醒过的：骗子会制作假网站并加密，让你以为它们是安全的。

有帮助的做法：

• 向工作人员确认准确的网络名称，忽略那些只有细微差别的相似名字。
• 关闭公共网络的自动加入，退房后忘记该酒店网络。
• 一加入网络就立刻连接VPN，让流量在跨越该网络之前就被加密。
• 手动输入银行和邮箱的网址或使用官方App，而不是点击链接进入。

为什么酒店的强制登录页面会打断VPN

大多数酒店和机场网络都以强制登录页面开始：一个要求你接受条款、输入房间号或观看广告后才放行其他流量的页面。由此带来两个问题。

第一，登录页面的步骤发生在任何VPN能够连接之前，所以你填写的内容会经过本地网络传输。只填写酒店要求的信息（房间号、姓氏），绝不要填写你在别处也用的密码。

第二，设置为自动连接的VPN，尤其是开着断网保护的情况下，可能会把登录页面隐藏起来，让网络看起来像是坏了。解决办法很简单：断开VPN，打开任意一个普通网页让登录页面出现，完成登录，再重新连接VPN，之后才打开邮箱、银行等其他内容。

HTTPS保护了什么，又没保护什么

诚实的结论是：VPN把信任从酒店网络转移到了VPN服务商身上，这正是为什么经过审计的无日志政策很重要。NordVPN的无日志政策已通过六次独立审计，先是普华永道，后是德勤，最近一次是2025年。针对钓鱼，NordVPN的付费档位包含它现在称为next-gen antivirus的功能，据其介绍能提醒你注意诈骗网站并拦截追踪器。我们的最佳旅行VPN对比列出了NordVPN、Surfshark、ExpressVPN和Proton VPN各自的审计情况。

出行公共Wi-Fi检查清单

1. 出发前： 在每台设备上安装VPN、登录、在家连接一次，并打开断网保护。
2. 抵达后： 询问准确的网络名称，加入网络，完成强制登录页面，再连接VPN。
3. 办理银行业务和工作邮箱时： 按BSI的建议使用VPN，或改用自己的移动数据或eSIM。
4. 每次上网时： 确认是HTTPS加载，保持双重验证登录和自动更新开启（FTC建议）。
5. 用完之后： 不需要时关掉Wi-Fi（BSI建议），退房时忘记该网络。

如果担心的是银行卡安全，我们的Revolut境外收费攻略讲了如何在路上既安全又省钱地付款。至于VPN到底值不值得用，请看旅行需要VPN吗。旅行者用VPN的其他理由，则在我们的境外看流媒体和各国VPN规定攻略中。

常见问题

2026年公共Wi-Fi安全吗？

对日常浏览来说，大体上是安全的。美国联邦贸易委员会表示，由于加密技术的广泛使用，通过公共Wi-Fi网络连接通常是安全的。德国网络安全局BSI补充了一条限制：不要在境外Wi-Fi上打开机密数据，如果必须这样做，也只能通过VPN进行。

什么是仿冒热点（evil twin）？

一个刻意伪装成合法网络的Wi-Fi热点，比如复制酒店或机场网络的名字，让设备误以为是真的而加入。运营它的人掌控着这条连接：能看到你访问了哪些服务，还能把你引导到看起来相似的假登录页。VPN会在流量离开设备前就加密，向工作人员确认准确的网络名称也能帮你避开这种陷阱。

HTTPS是不是意味着酒店Wi-Fi不再需要VPN？

不完全是。HTTPS加密的是页面内容，这也是FTC认为公共Wi-Fi通常安全的原因。但它无法阻止网络运营方看到你连接了哪些网站和服务，也保护不了加密处理不佳的应用，而且FTC自己也提醒过，骗子会把假网站也加密，让它们看起来很安全。

为什么我的VPN在酒店Wi-Fi上连不上？

通常是因为强制登录页面（captive portal），也就是要求你接受条款或输入房间号的那个页面。在你完成之前，网络会拦截包括VPN在内的其他流量，如果开着断网保护（kill switch），登录页面还可能被隐藏。先断开VPN，在登录页完成操作，再重新连接VPN，之后再打开其他内容。

如果公共Wi-Fi上不能用VPN怎么办？

银行业务和邮箱改用自己的移动数据或eSIM，不用的时候关掉Wi-Fi（这是BSI的建议），确认网站是HTTPS加载的，并按FTC的建议打开双重验证登录和自动更新。敏感操作留到能信任的网络上再做。

一句话总结

看地图、读新闻，公共Wi-Fi完全没问题。要办理银行业务、工作邮箱或任何承受不起损失的事情，请照BSI说的做：用VPN，或者用自己的移动数据。提前在家设置好VPN，学会应对强制登录页面，加入网络前先确认名称。