网连隐私政策

1. 我们如何理解 Apple 的隐私披露要求

Apple 要求开发者在 App Store Connect 中准确披露应用以及第三方服务实际收集、使用和传输的数据，并保持隐私政策、App 隐私标签和应用行为一致。我们据此说明网连作为本地工具会在设备本机处理哪些信息、检测过程中可能访问哪些第三方服务，以及用户在国内或弱网环境下应如何理解检测结果。

2. 本应用不会做的事

• 除你主动发来的支持邮件外（见第 13 节），我们不会收集、接收、保存或分析你的个人信息。
• 不会要求注册账号或登录。
• 不会向开发者自有服务器上传你的检测结果。
• 不会出售用户数据。
• 不会将数据用于广告投放、广告归因或跨应用追踪。
• 不会请求或读取定位（Core Location）权限，也不会将用户引导到「系统设置 › 隐私与安全性 › 定位服务」去授予权限。
• 不会读取通讯录、照片、相机、麦克风、日历或蓝牙等系统隐私数据。
• 不会读取 Safari 等其他应用的偏好设置；相关项目仅提示用户手动核对。

3. 本机处理的信息

为了完成网络环境检测，网连会在你的 Mac 本机读取、计算和展示以下信息。这些信息由应用在本机使用，我们不会收集或上传：

• 网络信息：本机局域网 IP、DNS 服务器、IPv6 可用性、系统代理配置（HTTP/HTTPS/SOCKS/PAC 的启用状态与目标地址）、网络接口类型和网络变化状态。
• 公网出口信息：公网 IP、国家或地区、城市、ISP、组织、时区、代理/VPN/数据中心标记、两条线路的 IP 一致性结果。
• 信誉检测结果：VPN、机房、Tor 出口名单的比对结论（均来自随应用内置的离线名单）和检测错误信息。
• DNS 解析链探测结果：用你的系统 DNS 解析固定域名 www.apple.com 得到的 A 记录地址、据此在本机判断解析是否落在 198.18.0.0/15（本机代理接管）或私网等特殊地址段的结论、所问的系统 DNS 服务器地址与检测时间，以及以你的公网出口 IP 反向查询得到的 PTR 主机名（在信誉页展示）。这些结果只保存在本机。
• 链路与目的地样本：6 个内置站点的 TCP + TLS 握手可达性与握手耗时、网关往返与 DNS 解析耗时样本、多次采样得到的出口 IP（用于判断出口是否稳定）、登录门户判定结果。上述结果随检测快照保存在本机，不上传。
• 系统环境信息：系统时间、时区、语言与区域、IPv6 风险提示。
• 硬件概览：CPU 型号、内存容量、GPU 名称、显示器厂商/型号/序列信息、设备序列号、网络接口 MAC 地址。
• 环境档案：由本机局域网子网线索、接口类型和 DNS 列表在本机计算的网络环境指纹（不读取 Wi-Fi 名称/SSID，不使用定位），用于识别「同一个网络环境」并记录首末次出现时间。
• 自定义皮肤图片：你在设置中主动选择的背景图片会缩小后保存于本机数据目录，仅用于窗口背景展示，不上传；可在设置中随时移除。
• 网络事件时间线：公网 IP、局域网、DNS、时区不一致等事实变化的本机记录。
• 连接诊断结果：连接分段耗时（DNS/TCP/TLS/首字节）、直连与系统代理对比、测速与多地探测结果 -- 仅在你主动发起检测时产生并展示。
• 工具页结果：「工具」页中 DNS 多记录、TCP ping、端口检测、HTTP 响应头与重定向链、ASN 与注册信息、代理 PAC 测试、证书检查（你添加到证书监控的域名与最近一次结果例外，见第 4 节）、中断感知、IPv6 双栈的输入与结果只在你主动运行时产生，保留在本次运行的内存里（切页不丢、退出应用即消失），不落盘、不上传；「hosts 文件查看」只读取本机 /etc/hosts 的内容展示，不联网；小工具（子网 / CIDR 计算、二维码、URL / Punycode、时间戳、MAC 地址解析）全部在本机计算、不联网，二维码里填写的 Wi-Fi 名称与密码只在内存中用于生成图案，不写入应用数据。
• 差异对比摘要：为支持「两次检测差异对比」，每次智能检测会随评分历史多存一份摘要（接入方式、系统 DNS 服务器数量、（旧记录中的）DNS 解析器所在国家、网关往返延迟、系统代理类型、常用站点可达数与总数），不含 IP 地址与 DNS 服务器地址，只保存在本机。
• 实时流量：菜单栏状态面板打开期间，应用每秒读取一次当前主网络接口的累计收发字节数（系统提供的网络接口统计），用两次读数之差和系统运行时长算出的时间间隔得出上传 / 下载速率，只在面板中显示。面板关闭即停止读取；测速进行期间同样读取，用来在表盘上实时显示速率；读数只在本机计算，不保存、不上传，也不会为此发出任何网络请求。
• 应用设置：菜单栏显示偏好、通知偏好、菜单栏点击行为、悬浮挂件（样式、动画形象及其名称、动画档位）与告警规则开关等。

上述硬件和系统信息仅用于在应用界面中向你展示当前设备环境，保存在本机，不会上传至开发者服务器。包括设备序列号、网络接口 MAC 地址、显示器序列信息在内的硬件标识信息不会离开你的设备，不会发送给任何第三方服务，也不会用于任何形式的用户识别、设备指纹或追踪。设备序列号与 MAC 地址在界面中默认以遮蔽形式显示，点按后才完整显示；报告导出与诊断信息导出均不包含设备序列号、MAC 地址与显示器序列信息。

随应用内置的离线数据：公网 IP 的国家、运营商（AS 名称）、VPN / 机房 / Tor 出口标记，路径追踪每一跳的位置，以及出口国家对应的时区，都取自随应用安装的数据文件，在你的 Mac 上本机查询，不联网、不向任何服务发送你的 IP。这些数据来自 DB-IP（DB-IP Lite 数据库，CC BY 4.0 许可）、X4BNet 的 VPN 与机房名单（MIT 许可，按 iptoasn 公有领域数据展开）、开发者自维护的机房与 VPN ASN 补充表（依据各地区互联网注册机构的公开登记，随应用内置）、Tor Project 公布的 Tor 出口名单（CC0，只含 IPv4）和 IANA 公布的数据（时区对照为公有领域，RDAP 引导表为 CC0）；署名与许可全文见「设置 › 关于」。这些名单随应用版本更新，可能滞后，未收录不代表没有风险。macOS 26 及以上的城市级位置数据由苹果托管的资源包提供，系统在后台下载，下载中或不可用时公网页会显示「城市数据下载中 / 暂不可用」，macOS 14 / 15 只到国家级。

4. 本机保存的信息

网连会在本机保存必要的应用状态，以便下次启动时恢复最近一次检测结果：

• 最近一次检测快照，包括公网、网络、系统、硬件和评分等结果。
• IP 历史、安全评分历史、网络事件时间线和环境档案。
• 用户偏好设置，使用 macOS 的 UserDefaults 或应用支持目录保存，其中包括你在连通性页自行添加的站点列表，以及多地探测「探测我的出口 IP」的确认记录。
• AI 服务定时探测的上次判定与变化记录（最多保留最近 100 条）。
• 证书监控（Pro）：你添加的域名清单（最多 20 个）与每个域名最近一次的检查结果（签发者名称、证书到期时间、检查时间）。证书到期提醒的内容（含域名）会写进网络事件时间线。
• 测速历史（Pro）：每次测速的时间、档位、下载 / 上传速率、延迟、接入方式、出口所属网络编号（ASN）与当时的线路基准速率，不含 IP 地址。
• 线路基准记录（免费版与 Pro 都会保存）：每次测速得到下载速率时，记下时间、出口所属网络编号（ASN）、下载速率、测速口径与档位，只保存在本机、保留近 30 天（至多 500 条），用来对比这条线路平时的水平；不含 IP 地址与运营商名称，不上传，不参与 iCloud 同步。
• 桌面小组件「看板」档（Pro）：见下面桌面小组件快照一条。
• 你自己填写的第三方 API key（AI 服务检测里的 OpenAI、Anthropic、Google Gemini；xAI 不使用 key）：保存在本机的钥匙串里，不同步到 iCloud，不写入应用设置、检测历史、导出报告或反馈信息（诊断信息里只记录「是否已配置」）。key 只会发给它所属的服务方（见第 5 节），不发给开发者。你可以随时在应用里删除：AI 服务的 key 在「AI 检测」页；「重置全部设置」会一并清掉这些 key，「一键清除检测痕迹」不会清除它们。删除应用后，钥匙串里的条目可能仍会残留，想彻底清除请先在应用里删除，或在系统「钥匙串访问」里手动删除。旧版本曾支持填写 proxycheck.io 的 key，该功能已移除；升级后网连启动时会尝试删除本应用先前写入钥匙串的那一条 proxycheck.io key（只删本应用写入的条目，不触及其他应用的钥匙串内容）；若删除失败（例如钥匙串被锁定），可在系统「钥匙串访问」里手动删除。
• 各诊断与网络工具免费次数的记账（多数为「每日免费 1 次」，两次检测差异对比为「免费共 3 次」；含当日已用次数、累计使用次数、最近一次记账时刻；「IPv6 双栈」（记账名 freeRun.ipv6DualStack）与「出口与配置自查」（freeRun.exitSelfCheck）各自独立记账：IPv6 双栈检测得出结论（两栈一致、出口不一致或没有 IPv6）才记 1 次，探测失败、无法判断或中途停止不记；出口与配置自查拿到 UDP 出口才记 1 次，DNS 解析失败、无响应、其他失败或取消不记），以及用于防止这些记账被篡改的时间校准记录。
• 应用内购买的解锁状态，以及免费试用的起始时间（仅适用于 2.0.0 版本之前已开始试用的用户，新安装不再记录）：购买本身由 Apple 的 StoreKit 处理，应用仅在本机记录状态，不上传。
• 桌面小组件快照：为了让「网连状态」桌面小组件显示最近一次检测结果，应用会在本机与小组件共用的 App Group 共享容器中保存一份精简快照，内容为安全评分与等级、一句话结论、出口国家或地区、网络接入类型（如 Wi-Fi、有线）、至多 3 个状态标签（线路一致性、信誉、是否检测到代理 / VPN）、上次检测时间与界面语言。快照不含任何 IP 地址，也不含城市、ISP 或硬件标识；小组件只读取这份快照，本身不联网、不写入任何文件。小组件上的「检测」按钮由系统在网连主程序里执行，小组件自身仍不联网。已购买 Pro 并使用「网连看板」小组件时，快照会多存一段看板数据：最近 30 天的评分走势点（每 12 小时至多一点）、最近一次评分较上次的差值、网关往返延迟、最近一条网络事件的类型与时间，以及一份由网连主程序签名的 Pro 授权标记；同样不含 IP 地址。

这些数据存储在你的 Mac 本地（开启 iCloud 同步时，其中的评分历史、IP 历史与环境档案另有一份在你自己的 iCloud 私有数据库中）。卸载应用或手动清理应用数据后，这些本机记录可能会被删除。你也可以随时在「设置 › 隐私」中使用「一键清除检测痕迹」，删除检测快照、IP 历史、评分历史、事件时间线、环境档案、AI 服务定时探测的变化记录、最近 10 轮检测各阶段的耗时统计、桌面小组件快照、测速历史、线路基准记录、证书检查结果，并清空本次运行中的 Pro 探测结果与内存缓存（证书监控的域名清单、应用设置与购买状态不受影响）。开启 iCloud 同步（Pro）后，清除时还可以勾选「同时删除 iCloud 中的数据」，把 iCloud 里的评分历史、IP 历史与环境档案一并删除；你其他 Mac 上已经同步过的这些记录也会随之清除，还没上传的保留。

iCloud 同步（可选，Pro，默认关闭）：只有你已购买 Pro、并在「设置 › 隐私 › iCloud 同步」里自己打开后才会启用。启用后，评分历史与 IP 历史（含检测时间、出口 IP、IP 版本、国家 / 城市、运营商、代理 / VPN 标记、扣分码与检测摘要：接入方式、DNS 服务器数量、网关延迟、系统代理类型、站点可达数）与环境档案（局域网网段、接入方式、DNS 服务器、最近出口 IP、出口国家与分数、首次 / 末次检测时间与次数）会保存到你自己的 iCloud 私有数据库，在登录同一 Apple 账户的 Mac 之间同步；记录内容由 Apple 的 CloudKit 在设备上加密后才上传，开发者无法访问。云端记录名不含明文 IP。每条记录带一个随机的安装标识（不含设备名与硬件信息），用于区分它来自哪台 Mac。同步会占用你自己的 iCloud 空间。设置、桌面小组件快照与购买状态不参与这项同步。关闭同步不会删除 iCloud 里已有的记录；你可以在「一键清除检测痕迹」时勾选「同时删除 iCloud 中的数据」一并删除（你其他 Mac 上已同步过的记录也会随之清除，还没上传的保留），也可以在「系统设置 › 点边栏顶部你的名字 › iCloud › 管理」里删除本 App 的 iCloud 数据；网连发现云端数据被删除后会自动关闭同步，本机记录不受影响。

其中，各诊断与网络工具免费次数的记账、用于防止这些记账被篡改的时间校准记录、已购解锁状态缓存（仅本机，不上传，用于启动时尽快显示已购状态），以及用于校验它们未被篡改的签名密钥，还会额外保存在本机的 macOS 钥匙串中；卸载应用后，钥匙串中的这些条目可能仍会保留。如需删除钥匙串中的这些条目，请联系 support@netlink.jeman.net。

自 2.2.0 起，上面这些免费次数记账里的计数与日期也会保存在你自己的 iCloud 键值存储中，用于在重装或多台 Mac 间保持一致；开发者无法访问。这份副本不随卸载应用或「一键清除检测痕迹」删除，开发者也无法代为删除。

桌面小组件快照保存在共享容器 ~/Library/Group Containers/L59DPZ37AM.com.netlink.app/ 中，执行「一键清除检测痕迹」时会被一并删除，小组件随之回到「尚未检测」状态。macOS 在你把应用移到废纸篓后可能仍保留该共享容器与应用数据目录；如需彻底删除，请先退出网连，再在访达中选择「前往 › 前往文件夹」，分别打开 ~/Library/Group Containers/ 与 ~/Library/Containers/，删除前者中的 L59DPZ37AM.com.netlink.app 文件夹，以及后者中属于网连的文件夹（实际文件夹名为 com.netlink.app 与小组件使用的 com.netlink.app.widget，访达中可能按应用名称显示为「网连」或「Netlink」）。

报告导出（PDF / Markdown / JSON / CSV / 分享卡片 PNG）完全在本机生成，文件保存位置由你在系统保存面板中选择；导出过程不联网，导出内容不会上传给开发者或任何第三方。

设置中的「导出诊断信息」同样完全在本机生成：内容为应用版本、系统版本、当前设置摘要与最近一次检测的脱敏结果（IP 已部分遮蔽），保存为文本文件到你选择的位置，仅在你主动导出时写入，不会上传。诊断信息导出还包含最近 10 轮检测各阶段的耗时统计（不含 IP），同样保存在本机，并随「一键清除检测痕迹」一并清空。

5. 第三方网络服务

网连本身不收集任何信息，也不将数据发送给开发者服务器。部分检测功能需要你的设备直接访问第三方网络服务，以判断公网出口、IP 地理位置、代理/VPN 标记、风险和连通性。访问这些服务时，你的公网 IP 地址和常规网络请求信息会被相应第三方服务接收，这是完成实时检测所必需的。除本节末尾「自动联网」所列情形外，下列访问都只在你主动发起检测时发生。

接收数据的第三方清单

依照《中华人民共和国个人信息保护法》第二十三条，我们逐家告知接收方的名称、联系方式、处理目的、处理方式和个人信息的种类，并在你首次使用联网检测前单独征得你的同意（见第 10 节「数据去向同意与撤回」）。网连没有自己的服务器，数据都由你的设备直接发给这些第三方，开发者不经手、不接收；这些第三方如何处理收到的请求，适用其各自的隐私政策与服务条款。隐私联系方式后标注的日期是我们最近一次打开其官方页面核对的日期。

• Cloudflare, Inc.（www.cloudflare.com）
  隐私联系：privacyquestions@cloudflare.com（2026-10-02 核对）
  处理目的：判断公网出口、登录门户、解析一致性与出口一致性，在你使用 AI 检测的 key 模式时确认出口所在地区，以及连通性握手检测。
  处理方式：你的设备直接向其发送；其中 1.1.1.1 的连通性检测只做 TCP + TLS 握手。
  个人信息种类：你的公网 IP（源 IP）；你在域名诊断与 DNS 记录工具里输入的域名（加密 DNS）；出口 IP 与端口（STUN）；访问的主机名。
  发送时机：智能检测（全量）、后台轮询与网络切换重检、你使用对应工具时。具体为：公网出口查询、登录门户检测（明文 HTTP）、出口稳定性采样、IPv6 双栈与「直连与代理对比」，带宽测速进行到上传阶段时确认这次测速出口所在的网络（免费版与 Pro 都会发，向 one.one.one.one 请求；没有 IPv4 路径时改用不限地址族再请求一次），以及你在 AI 检测页填了 OpenAI、Anthropic 或 Gemini 的 API key 时，一键全测开跑时的出口地区确认（每次开跑查一次）。这些检测向 one.one.one.one 与 1.1.1.1（含 IPv6 地址）请求 /cdn-cgi/trace；加密 DNS 用 cloudflare-dns.com；出口与配置自查向 stun.cloudflare.com 发 UDP 请求。
• Google LLC（Google Public DNS、ai.google.dev）
  隐私联系：support.google.com/policies?p=privpol_privts（2026-10-02 核对）
  处理目的：加密 DNS 解析、连通性检测与 AI 服务可用性检测。
  处理方式：你的设备直接向其发送；连通性检测与 AI 服务检测默认只做 TCP + TLS 握手；你填了 Gemini key，且开跑时查到的出口在其官方公布的支持地区内，才向官方端点发调用并带上你的 key。
  个人信息种类：你输入的域名（dns.google）；你的源 IP；访问的主机名（www.google.com、gemini.google.com、generativelanguage.googleapis.com）；你自己填写的 Gemini API key（仅在你填写后）。
  发送时机：智能检测、你使用域名诊断与 DNS 记录工具时、你使用连通性与 AI 页时、AI 服务定时探测与出口变化后复核（只握手），以及你填了 key 后一键全测的第 1 轮（且出口在支持地区内）。
• RIPE NCC（www.ripe.net）
  隐私联系：ncc@ripe.net（2026-10-02 核对）
  处理目的：显示 IP 或 AS 号的登记信息。
  处理方式：你的设备直接向其 RDAP 服务（rdap.db.ripe.net）发送。
  个人信息种类：你的源 IP；你输入的、归 RIPE NCC 管理的 IP 或 AS 号。
  发送时机：只在你于 ASN 与注册信息工具里点查询时。
• Globalping（globalping.io，api.globalping.io，由 jsDelivr 团队开发）
  隐私联系：legal@globalping.io（其隐私政策第 12 节「Contact Us」，2026-10-03 核对）
  处理目的：从多个地点探测你指定的目标。
  处理方式：你的设备直接向其发送；测量数据是公开的。
  个人信息种类：你的源 IP；你在多地探测、路径追踪、多地 DNS / HTTP 与中断感知里输入的探测目标。
  发送时机：只在你主动发起上述探测时。
• OpenAI（openai.com，api.openai.com、chatgpt.com）
  隐私联系：dsar@openai.com（其隐私政策，2026-10-03 核对）
  处理目的：AI 服务可用性检测与连通性检测。
  处理方式：你的设备直接向其发送；默认只做 TCP + TLS 握手，不发 HTTP / API 请求；你填了 OpenAI 的 API key，且开跑时查到的出口在其官方公布的支持地区内，才会在一键全测的第 1 轮向其官方端点发一次「列出模型」请求并带上你的 key。
  个人信息种类：你的源 IP；访问的主机名（SNI）；你自己填写的 API key（仅在你填写后）。
  发送时机：智能检测、AI 服务定时探测与出口变化后复核（永远只握手、不读 key）、你使用连通性与 AI 页时。
• Anthropic（www.anthropic.com，api.anthropic.com；非欧洲区为 Anthropic PBC）
  隐私联系：privacy@anthropic.com（2026-10-02 核对）
  处理目的：AI 服务可用性检测。
  处理方式：同 OpenAI：默认只握手；你填了 key，且开跑时查到的出口在其官方公布的支持地区内，才在一键全测第 1 轮发一次「列出模型」请求并带上 key。
  个人信息种类：你的源 IP；访问的主机名（SNI）；你自己填写的 API key（仅在你填写后）。
  发送时机：你在 AI 检测页手动检测时，你在该页打开定时探测之后，以及你在「设置 › 告警」打开出口变化后复核之后（后两者只握手）；智能检测不联系。
• SpaceXAI LLC（xAI）（x.ai，api.x.ai）
  隐私联系：x.ai/privacy-portal（其隐私政策第 12 节，2026-10-03 核对）
  处理目的：AI 服务可用性检测。
  处理方式：只做 TCP + TLS 握手，不发 HTTP / API 请求（xAI 未公布 API 支持地区清单，网连不使用 xAI 的 key）。
  个人信息种类：你的源 IP；访问的主机名（SNI）。
  发送时机：你在 AI 检测页手动检测时，你在该页打开定时探测之后，以及你在「设置 › 告警」打开出口变化后复核之后（后两者只握手）；智能检测不联系。
• GitHub, Inc.（github.com；欧洲为 GitHub B.V.）
  隐私联系：privacy@github.com（官方页面写作 privacy[at]github[dot]com，2026-10-02 核对）
  处理目的：连通性检测内置站点。
  处理方式：你的设备直接向其发送，只做 TCP + TLS 握手，不发 HTTP 请求。
  个人信息种类：你的源 IP；访问的主机名。
  发送时机：智能检测、你使用连通性页时。
• 维基媒体基金会（Wikimedia Foundation）（www.wikipedia.org）
  隐私联系：privacy@wikimedia.org（2026-10-02 核对）
  处理目的：连通性检测内置站点。
  处理方式：你的设备直接向其发送，只做 TCP + TLS 握手，不发 HTTP 请求。
  个人信息种类：你的源 IP；访问的主机名。
  发送时机：智能检测、你使用连通性页时。
• Apple Inc.（www.apple.com）
  隐私联系：apple.com/legal/privacy/contact（2026-10-02 核对）
  处理目的：带宽测速；打开 iCloud 同步后在你的设备之间同步历史与配置。
  处理方式：测速调用 macOS 自带的 networkQuality 工具，你的设备直接向苹果的测速服务器发送；iCloud 同步存入你自己的 iCloud 私有数据库，开发者不经手。
  个人信息种类：你的源 IP（测速）；同步的历史记录与配置（仅在你打开 iCloud 同步后，见第 4 节）。
  发送时机：你点测速时；你打开 iCloud 同步之后（打开前会另行说明并征得你的同意）。内购、城市位置数据资源包下载、免费次数记录（含其 iCloud 键值同步）和 iCloud 账户状态查询由苹果系统服务处理，适用苹果的隐私政策，不在上述同意范围内。

此外，你输入或添加的目标（连通性页的自定义站点、域名诊断、连接分段耗时、TCP ping、端口检测、HTTP 响应头等），网连会按你的指令向这些目标本身发起请求；系统 DNS 与运营商也会看到你系统发出的 DNS 查询。以下各条详细说明。

• 公网出口查询（Cloudflare）：用于获取并校验你的公网出口 IP。网连向 Cloudflare 的两条线路各发一次 HTTPS 请求（one.one.one.one 与 1.1.1.1 的 /cdn-cgi/trace），两者互相比对；请求为普通 HTTPS GET，不含个人数据，Cloudflare 会看到你的公网 IP。公网 IP 的国家、运营商与 VPN / 机房标记不再联网查询，取自应用内置的离线数据（见下文「随应用内置的离线数据」）。「IPv6 双栈」检查还会经 1.1.1.1、2606:4700:4700::1111 与 one.one.one.one 各查一次出口，只按国家 / 地区比对，结果不计入安全评分；「直连与代理对比」会向 1.1.1.1 的同一接口分别以直连与经系统代理各发一次请求，用来比对两路出口。带宽测速进行到上传阶段时，网连还会向 one.one.one.one 请求一次 /cdn-cgi/trace，只为确认这次测速出口所属的网络（运营商网络编号 ASN，取自应用内置的离线数据），用于测速页的「线路水平对比」；这次请求同样不含个人数据，Cloudflare 会看到你的公网 IP。应用还会读取这些响应里的服务器时间，用于校正本机时钟对免费次数的判定，不另发请求。AI 检测的 key 模式在开跑时还会按同一接口查一次出口所在国家，见下文「AI 服务可用性检测端点」。
• 连通性检测目标：6 个内置的常用网站与在线服务（chatgpt.com、gemini.google.com、www.google.com、github.com、www.wikipedia.org 与 Cloudflare 的 1.1.1.1）。网连只对这些站点做 TCP + TLS 握手，不发 HTTP 请求，因此「可达」只表示连接层通，延迟是建立连接的总耗时；对方看到的是主机名与你的源 IP。除在「连通性」页由你主动检测外，每次全量智能检测的「目的地」段也会逐个握手这些站点（单站 3 秒超时）。握手时系统会按默认方式校验证书，这可能使系统向证书颁发机构公布的 OCSP / CRL 服务器发出请求，网连本身不发这类请求。
• 你在连通性页自行添加的站点：仅在你于连通性页发起检测时，按你输入的地址发送 HEAD 请求（一次「检测全部」会对每个站点连续检测 3 轮）；全量智能检测不访问这些站点。站点列表只保存在本机应用设置中。
• AI 服务可用性检测端点：OpenAI、Anthropic、Google（Gemini）、xAI 四家（名称与域名见上文逐家清单）。默认只做 TCP + TLS 握手，不发任何 HTTP / API 请求、不带 API key，只按握手结果在本机判定「握手正常」「证书不受信」或不可达。xAI 未公布 API 支持地区清单，网连不使用 xAI 的 key，只对它做握手。只有你在「AI 检测」页填了 OpenAI、Anthropic 或 Google（Gemini）的 API key，一键全测开跑时才会先向 Cloudflare 查你的出口所在国家（向 one.one.one.one、1.1.1.1 及 2606:4700:4700::1111 各请求一次 /cdn-cgi/trace，每次开跑查一次，只在已保存上述三家之一的 key 时才查）；出口位于该家官方公布的支持地区内，才会在第 1 轮向这一家的官方端点发一次「列出模型」请求并带上你的 key，并按响应状态码与响应体里的公开错误码特征在本机判定「key 被拒」或「地区受限」；出口不在支持地区内或无法确认时不发 key 请求、只握手；请求不跟随重定向。定时自动探测永远只握手、不读取 key。仅在你主动发起检测或开启定时探测时访问。
• 带宽测速：调用 macOS 自带的 networkQuality 工具，测速流量发往苹果的测速服务器，网连不向其他测速服务发送数据；测速进行到上传阶段时另向 Cloudflare 发出口网络确认请求（一般一次，没有 IPv4 路径时再补一次），见本节「公网出口查询（Cloudflare）」。测速有「快速」（约 20 秒）与「完整」（约 45～60 秒）两档，两档都先测下载、再测上传，会产生真实的下载 / 上传流量，用量取决于你的网速，高速网络可达数百 MB 至数 GB；这些请求会到达苹果的服务器，苹果如何处理适用其自身政策。
• 多地探测、多地 DNS / HTTP、路径追踪、中断感知（Globalping 志愿探针网络，api.globalping.io）：你输入的探测目标（域名、IP 或网址）会先发送至 Globalping，再由分布在多个大区的第三方志愿探针节点执行：多地探测按 ping（每个节点 16 个包）或 traceroute，欧洲、北美、亚洲、大洋洲、南美五个大区各 3 个、最多共 15 个节点；多地 DNS 只查 A 记录，多地 HTTP 只发 HEAD 请求、不下载正文（你输入的完整网址，包括路径与查询串，都会发给这些节点，请不要在被检测的网址里带令牌等敏感查询参数）；路径追踪（mtr）每跳 3 个包，每一跳路由器地址的位置（国家，有城市数据时含城市）取自应用内置的离线数据，不再向任何服务查询；「中断感知」在本机前五步判不出原因时，也会把你输入的网址（HEAD 请求）发给 Globalping。按 Globalping 的服务条款，测量数据是公开的。你提交的探测目标与测得的结果，都可能被他人看到，因此请不要把凭据或敏感信息放进探测目标。如果你选择探测自己的公网 IP，该 IP 会被发送至 Globalping 及这些第三方志愿节点。应用会在你首次使用该选项前弹出一次性确认。按其公开接口说明，测量结果通常最长保留约 6 个月，其余处理适用 Globalping 自己的政策。网连向它发请求时，请求头带有应用名、版本与官网网址（Netlink/版本 (+https://netlink.jeman.net)）。这些请求使用不落盘的会话。
• 公共加密 DNS 解析服务（域名诊断、DNS 记录工具）：Cloudflare（cloudflare-dns.com）与 Google Public DNS（dns.google）两家。发送内容为你输入的域名，用于多解析器解析一致性比对，并与你系统 DNS 的解析结果对照。一次域名诊断随机持续约 45～75 秒，期间多轮重复查询以比对结果：每一轮都会向这两家查询、并向目标重新获取一次 TLS 证书链（轮间停顿 3～6 秒）。
• DNS 多记录查询（工具页）：你输入的域名与所选记录类型（A / AAAA / CNAME / MX / NS / TXT）会按你选的解析器发出：选「系统 DNS」时以明文 UDP 53 发往系统 DNS 列表首项（不经系统的加密 DNS 配置文件）；选公共加密 DNS（Cloudflare 或 Google）时经 HTTPS 发往该服务（见本节「逐家清单」）。每类记录查询一次。请求使用不落盘的会话，查询内容不写进系统的磁盘 URL 缓存。
• TCP ping、端口检测（工具页）：按你的指令从本机直接连接你输入的主机与端口（不经系统代理），只做 TCP 握手计时 / 判断端口是否可达，连上后立即断开，不发送应用数据；一次端口检测最多 16 个端口。目标是你局域网里的地址时，会触发系统的「本地网络」权限提示。
• HTTP 响应头与重定向链、代理 PAC 测试（工具页）：HTTP 工具按你给出的协议（可为明文 http）访问你输入的网址，并像浏览器一样按系统代理设置转发：开了代理时请求经你设置的代理服务器发出；使用自动代理配置（PAC）时，网连会从你设置的 PAC 地址读取配置文件（上限 1 MB）。代理 PAC 测试只在本机用这份脚本为你输入的网址算出会走哪个代理，输入的网址不会外发；脚本里若调用 dnsResolve() 等函数，由系统自带的 PAC 引擎执行，可能因此产生对被测网址主机名的 DNS 查询。
• ASN 与注册信息（工具页）：
  • 你查询的 IP 或 AS 号所属的 AS 名称、国家与网段，取自随应用内置的离线数据，不联网；工具不再支持域名查询。
  • 号码归哪家地区互联网注册机构管理，由随应用内置的 IANA 引导表在本机判断，不联网补取。只有归 RIPE NCC 管理的 IP 或 AS 号，才会在你点击查询时，把该号码发给 RIPE NCC 的 RDAP 服务（rdap.db.ripe.net）读取登记信息；归其他注册机构管理的号码，只显示离线结果并写明由哪家管理，不向这些机构发请求，也不提供跳转链接。
  • 请求使用不落盘的会话，查询对象与应答不写进系统的磁盘 URL 缓存；单个应答上限 1 MB，整次查询约 20 秒封顶。
• 证书检查与证书监控：点「全部检查」，或你开启证书定时检查（Pro，默认关闭；应用运行期间每天本地时间 9 点之后检查一次）时，网连会向你自己添加的域名（https://<域名>/）发起一次 HEAD 请求，只读取握手时的证书链，不跟随重定向，请求使用不落盘的会话；证书在到期前 30 / 14 / 7 天与过期时各提醒一次，某个域名连续 3 次定时检查都没取到证书时也会提醒一次。域名清单与结果只保存在本机（见第 4 节）。域名诊断的「证书详情」同样在本机读取握手时的证书（签发者、有效期、SAN、证书链、内嵌 SCT 条数），不再向任何证书透明度日志查询服务发送你的域名。握手时系统会按默认方式校验证书，这可能使系统向证书颁发机构公布的 OCSP / CRL / AIA 服务器发出请求；除这项系统校验外，网连只连接你输入的目标域名。
• 出口与配置自查（工具页）：只有你点「开始自查」才会联网：网连向 Cloudflare 的 STUN 服务器（stun.cloudflare.com，UDP 3478 端口）发一个 STUN Binding 请求（丢包时最多重发 3 次），Cloudflare 会看到你的出口 IP 与端口，网连用它与 HTTP 方式看到的出口比对；本机配置核对（系统代理、DNS、IPv6 等）不联网。这项自查不会打开任何第三方泄漏测试网站，结果也不代表没有泄漏。
• 域名诊断的内网目标不外发：如果你输入的是私网、本机回环、链路本地或运营商级 NAT（100.64.0.0/10）IP 地址，或以 .local、.lan、.internal、.home、.corp、.intranet、.test、.invalid、.localhost 结尾的域名，该目标不会发送给上述公共加密 DNS 解析服务，只对目标本身做端口与证书检查。不在上述范围内的其他内网命名（例如 .home.arpa 或你自定义的内部后缀）仍会按公网域名处理。
• 登录门户检测（Cloudflare）：网连向 Cloudflare 的 1.1.1.1 发一个固定的明文 HTTP 请求（http://1.1.1.1/cdn-cgi/trace，不含个人数据），按响应判断当前网络是否存在强制登录门户；请求不跟随重定向。这个请求是明文 HTTP，传输途中的网络设备可以看到它。检测到疑似门户时，网连只会提示你在系统弹出的登录窗口或浏览器里完成登录，并可在稍后自动复测，不会替你打开浏览器，也不再请求苹果的热点检测页。
• 解析耗时采样：全量检测的「本机」段通过应用自建的 DNS 客户端，以明文 UDP 53 向系统 DNS 列表首项查询一个固定的公开域名（www.apple.com）最多 5 次，只为测量系统解析器的应答耗时（不经本机缓存）；发送内容只有这个固定域名，不含个人数据。注意这些查询是应用直接发出的明文 DNS 报文，不经过你在系统里配置的加密 DNS（DoH / DoT）配置文件。
• 反向 DNS（PTR）查询：全量检测的「信誉」段会把你的公网出口 IP 反转成 in-addr.arpa / ip6.arpa 形式的查询名，经系统解析器（getnameinfo）向你系统配置的 DNS 服务器发出，查询该 IP 的 PTR 主机名作为信誉线索（例如判断出口是否属于机房或运营商宽带）。该查询名本身包含你的公网出口 IP，会被承担解析的 DNS 服务器（可能是你的运营商，也可能是你自行配置的第三方 DNS）看到；查询结果（主机名）只在本机展示与保存，不上传。

自动联网：除你主动发起的检测外，网连在运行期间会在以下情况下自动联网，所用的都是上面列出的服务：

• 你同意数据去向并运行过至少一次检测后，菜单栏图标或桌面悬浮挂件开启时（菜单栏图标默认开启），按「公网 IP 轮询间隔」（默认 5 分钟，可选 1 / 5 / 15 / 30 分钟）只向 Cloudflare 的域名线路（one.one.one.one）查询当前公网 IP；IP 没有变化就到此为止，IP 发生变化时才完整获取一次公网信息（两条 Cloudflare 线路，地理位置、运营商与名单标记取自应用内置的离线数据）。域名线路失败，或这一次只拿到了降级结果时，网连保持已知 IP、不发出「出口变化」通知。两者都关闭、且桌面上没有放网连小组件时轮询自动暂停。
• 你同意数据去向并运行过至少一次检测后，「网络切换时自动重新检测」开启时（默认开启），网络或 DNS 配置变化后（包括应用每次启动后首次获取网络状态时）会自动向 Cloudflare 的两条线路重新获取公网出口信息。
• 开启「启动后自动执行一次智能检测」（默认关闭）时，每次启动后首次打开主窗口会自动运行一次全量智能检测。
• 开启 AI 服务定时探测（Pro，默认关闭）时，每 30 分钟对 OpenAI、Anthropic、Google（Gemini）、xAI 四家做一次 TCP + TLS 握手；定时探测只握手，不发 HTTP / API 请求，也不读取你填的 API key。
• 开启出口变化后复核 AI 服务（Pro，默认关闭）时，公网出口变化并稳定后，对同样四家做一轮 TCP + TLS 握手，同样只握手、不读取 API key；短时间内反复变化时会合并处理，不会每次变化都发起。
• 开启证书定时检查（Pro，默认关闭）时，应用运行期间每天本地时间 9 点之后，向你添加的域名各发一次证书检查请求（上面「证书检查与证书监控」）；到点后最迟约半小时内跑到，一次都没拿到证书（多半断网）时隔半小时再试。
• macOS 26 及以上，启动后应用会在后台读取城市位置数据；数据还没就绪时，系统会替应用从苹果托管的服务器下载资源包，失败的话下次启动再试。macOS 14 / 15 没有这一步。

如何关闭这些自动访问见第 10 节。

此外，连接分段耗时诊断、域名诊断（端口连通性、TLS 证书链）会按你的指令直接向你输入的目标 URL 或域名发起网络请求；目标服务器会因此接收到来自你设备的常规网络请求。请只对你有权检测的目标使用这些功能。

开着系统代理时：网连里通过 HTTP / HTTPS 发出的请求（包括工具页的「HTTP 响应头与重定向链」「IPv6 双栈」「证书检查」、ASN 与注册信息、多地探测以及中断感知访问目标网址的请求），会像浏览器一样按你的系统代理设置发出，代理服务器因此会看到这些请求；TCP ping 与端口检测、出口自查的 STUN（UDP）请求、读取 PAC 配置文件，以及选「系统 DNS」时的明文 DNS 查询，不经代理、直接从本机发出。

这些第三方服务由各自运营方控制。我们不会从这些第三方服务接收或保存你的个人信息；它们如何处理访问日志、IP 地址和请求信息，适用其各自的隐私政策与服务条款。

外部入口：网连支持 netlink:// 链接、快捷指令（读取最近结果、开始检测、打开页面、诊断域名）、系统「服务」菜单、分享菜单与控制中心控件（macOS 26 起）。这些入口只认一份固定的动作与参数白名单；诊断域名类入口只会把域名填进「域名深度诊断」页，不会自动开始，开始与否由你决定。分享菜单里的「网连」是一个系统扩展：它只从你分享的网址或文字里取出域名，再把这个域名通过 netlink:// 链接交给网连主程序，扩展自身没有网络权限，不联网、不上传，也不读写免费次数与购买状态。快捷指令与外部链接触发的全量检测，如果距离任何来源的上次检测太近，只会打开窗口、不会重跑，并且每天有次数上限；桌面小组件的「检测」按钮与控制中心控件由你本人点按触发，检测进行中不会重复开跑。

6. 中国大陆及弱网环境下的可达性说明

部分第三方检测服务和连通性目标位于中国大陆以外，可能因地区政策、网络路由、运营商策略或服务自身限制而无法访问。不可达并不一定代表你的本机网络故障。

当公网或风险检测请求失败时，网连会显示失败原因；如果本机存在上次成功检测结果，应用可能展示旧结果，并明确标注为“上次成功检测结果”。旧结果不应被理解为本次检测成功。

7. 数据用途

网连在本机处理上述信息仅用于以下目的：

• 展示当前网络和公网出口环境。
• 识别可能的代理、VPN、Tor、数据中心或 DNS/IPv6 风险。
• 计算本机网络环境安全评分。
• 保存历史检测记录，便于用户回看网络变化。
• 根据用户设置显示菜单栏状态、菜单栏状态面板、桌面小组件、通知或应用界面。

8. 数据共享

我们不收集、不上传、不共享你的本机检测记录。以你同意数据去向（见第 10 节）为前提，应用访问第三方服务时，这些服务会因网络请求而接收到你的公网 IP 地址和请求元数据；接收数据的第三方逐家列在第 5 节。工具页的 ASN 与注册信息查询只会把你输入的、归 RIPE NCC 管理的 IP 或 AS 号发给 RIPE NCC；多地 DNS / HTTP、路径追踪与中断感知会把你输入的域名或网址发给 Globalping 志愿探针网络，Globalping 的测量数据是公开的；你自己填写的 API key 只发给对应的服务方。这些都是你主动发起或你主动开启的查询。除此之外，网连不会主动向任何第三方提交你的本机硬件概览、历史记录或应用设置。

9. 数据安全

网连使用系统提供的沙盒和网络权限运行（仅出站网络，无入站监听）。全量检测会测量路由器（默认网关）与本机网络配置的 DNS 服务器的响应延迟，用于判断本机网络连接状态，这类访问会触发系统的「本地网络」权限提示，按需允许即可；你在工具页（TCP ping、端口检测、HTTP 响应头与重定向链等）或域名诊断里输入局域网内的地址时，网连也只连接你输入的那个地址，同样可能触发该提示。网连自身发出的公网数据接口都使用 HTTPS，只有登录门户检测向 Cloudflare 的 1.1.1.1 发出一个固定的明文 HTTP 请求（见第 5 节，不含个人数据），以及出口自查向 Cloudflare 发出的一个不加密的 STUN（UDP）请求；你自行输入的地址（连通性页的自定义站点、连接分段耗时）按你给出的协议访问，未写协议时默认使用 HTTPS；DNS 解析链探测按 DNS 协议本身以明文 UDP 53 端口向你系统配置的 DNS 服务器发出固定域名 www.apple.com 的查询（A 与 AAAA 各 1 条），加解析耗时采样最多 5 条，每次全量检测最多约 7 条；这部分只发送固定域名，不含个人数据，但不经过系统的加密 DNS 配置文件；信誉段还会经系统解析器发出一条反向 DNS（PTR）查询，其查询名由你的公网出口 IP 反转而成，因此包含该 IP，同样走系统配置的 DNS 服务器，结果只在本机使用；域名诊断中的端口连通性检查会按你的指令向目标主机的 80、443、22、21、25、8080 六个端口发起 TCP 连接尝试（只在诊断的前 3 轮各尝试一次），仅用于判断端口是否可达，连接建立后立即断开，不发送应用数据，也不传输可识别个人的内容。请注意，任何互联网请求都可能被目标服务记录访问时间、IP 地址、User-Agent 或其他基础请求信息。

10. 用户控制

• 联网检测以你同意数据去向为前提，未同意时只显示本机信息（见下文「数据去向同意与撤回」）。你也可以选择不运行检测：测速、多地探测、域名诊断、连接分段耗时与「工具」页里的全部网络工具都只在你主动发起时才联网（证书定时检查需要你自己开启）；智能检测（全量）会访问第 5 节列出的公网出口、目的地与 DNS 探测服务，其中「目的地」段固定对内置站点做 TCP + TLS 握手（只握手、不发 HTTP 请求）。关闭设置中的「启动后自动执行一次智能检测」并且不手动发起检测，即可避免这些访问。
• 你可以关闭第 5 节「自动联网」所列的自动访问：在「设置 › 菜单栏」中同时关闭「在菜单栏显示图标」与「显示桌面悬浮挂件」，且桌面上没有放网连小组件，公网 IP 轮询即暂停；在「设置 › 通用」中关闭「网络切换时自动重新检测」，换网后不再自动获取公网信息；不开启 AI 服务定时探测与证书定时检查。以上都关闭并且不手动发起检测，即可避免对第 5 节所列服务的访问。
• 你可以在应用设置中调整菜单栏图标、通知、悬浮挂件与告警规则等偏好。
• 你可以随时删除自己填写的 API key（见第 4 节）；不填写 key 时，网连不会向各 AI 服务商发送任何带 key 的请求。
• 你可以在「设置 › 隐私」中使用「一键清除检测痕迹」，或通过删除应用数据、卸载应用来清理本机保存的历史记录。
• 多地探测的「探测我的出口 IP」需要你首次使用前明确确认。
• 你可以在 macOS 系统设置中管理应用通知、登录项和网络相关权限。

数据去向同意与撤回

首次启动时，引导的「数据去向」一步会逐家列出第 5 节的第三方；更新到本版本后的首次启动，则由主窗口弹出的同意页逐家列出。同意页会写明名称、隐私联系方式、处理目的、处理方式和个人信息的种类，由你单独选择「同意并继续」或「暂不同意」；在你同意之前，网连不会联系这些第三方（内购、苹果托管的资源包下载，以及免费次数记录的 iCloud 键值同步和 iCloud 账户状态查询由苹果系统服务处理，不在此列）。

• 选择「暂不同意」：网连进入本机模式，仍可使用本机网络、系统环境、历史记录、hosts 与五个离线小工具；需要联网的功能显示占位卡，你可以随时在占位卡或设置里改为同意。我们不会因为你不同意而停用本机可用的功能。
• 随时查看与撤回：在「设置 › 隐私 › 数据去向」可以再次查看逐家名单，并随时撤回同意；撤回后网连不再联系这些第三方，已在进行的全量检测会被取消。撤回不影响撤回前基于你的同意已经进行的处理；你已保存的结果可以用「一键清除检测痕迹」删除；开着 iCloud 同步的话，清除时仍可勾选「同时删除 iCloud 中的数据」（只删除你自己 iCloud 私有库里的记录，不上传任何内容），也可以在「系统设置 › 你的名字 › iCloud › 管理」里删除。
• 名单变化时重新征求：接收方增加，或某一家的用途、处理方式、个人信息种类、发送时机增加时，会重新征求你的同意；只是名称、联系方式或措辞的修订不会。
• iCloud 同步另行说明：打开 iCloud 同步（Pro）前，会再单独说明同步的内容与去向，并征得你的同意；未打开时不会向 iCloud 写入历史与配置。
• 你自己填写的 API key 只发给对应的服务方；不填写就不会发送带 key 的请求。

11. 儿童隐私

网连不是面向儿童设计的应用，不包含社交、广告、账号或用户画像功能。我们不会有意收集儿童个人信息。

12. 隐私政策更新

如果网连后续新增账号、自有服务器、广告、分析 SDK 或新的第三方服务，或扩大 iCloud 同步的范围，我们会更新本隐私政策，并在 App Store Connect 中同步更新 App 隐私信息。（报告导出已于 1.5.0 版本提供，其隐私实践见第 4 节：完全本机生成，不上传。）

13. 联系我们

运营者：网连（Netlink）开发者。

如果你对本隐私政策或数据处理方式有疑问，请发送邮件至 support@netlink.jeman.net，或访问支持页面。

你主动发来的支持邮件（包括你的邮箱地址、邮件内容）仅用于回复和排查该请求，不用于其他目的。应用内「发送反馈」可选附上诊断信息与当前主窗口截图：诊断信息包含 App 版本与构建号、macOS 版本、界面语言、最近一次检测的时间 / 分数 / 等级与扣分码、错误码、接入方式（Wi-Fi / 有线等）、系统代理开着的类型、IPv6 可用性、免费版或 Pro 版，不含 IP 地址、DNS 服务器地址、代理地址或硬件标识；截图为当前主窗口画面（可选，默认不勾选），如果窗口正显示你的公网 IP 等信息，截图中可能包含它，是否附带由你决定。以上内容只在你于邮件应用里点击发送后才会真正发出。

本政策用于说明网连当前版本的隐私实践，不构成法律意见。