01
Colitu 安全一览
绿色：在所列的每个平台上均按说明运行。黄色：部分实现，或有已说明的限制。红色：尚未提供。
| 开源应用 | Android、iOS、Windows 和 Linux 应用均为开源（GPL-3.0）。服务器软件为闭源。 |
|---|---|
| 加密隧道 | Hysteria2、VLESS Reality、VLESS XHTTP、Trojan 和 Shadowsocks 2022，使用成熟的实现（Xray-core、sing-box、Hysteria）。 |
| 流量内容与浏览历史 | 不记录。VPN 服务器不保存任何按连接的日志。 |
| 按用户统计的流量 | 在每台服务器上按约 15 秒的时间窗口记录，用于配额，保存 90 天，之后只保留各周期的合计。 |
| 通过隧道的 DNS | Android 和 iOS 应用以及 TUN 模式下均通过隧道。在系统代理模式下（Linux 的默认模式；新安装的 Windows 以 TUN 模式启动），代理之外的应用不通过隧道。 |
| IPv6 泄漏防护 | Android 和 iOS 上已阻止；Windows 和 Linux 在 TUN 模式且开启断网保护（kill switch）时已阻止。系统代理模式不在覆盖范围内。 |
| 断网保护 (kill switch) | Windows：独立服务，带持久化防火墙规则；Linux（TUN 模式）：nftables 规则；两者在应用崩溃后仍会继续阻断。Android 依赖系统的“始终开启的 VPN”设置；iOS 有一个可选的“无 VPN 时阻止互联网”开关（默认关闭）。 |
| 绕过 VPN 的地区性网站 | 自 Windows 和 Android 2.7.0、iOS 5.6.0 和 Linux 1.3.0 起，新安装默认关闭（隐私模式处于开启状态）；此前的安装保留原有设置。关闭隐私模式后，四个应用中，内置列表上的网站会绕过 VPN，但你连接到该地区的服务器时除外。详见 §9。 |
| 用户的两步验证 | 每个账户均可选用（在网站上设置）；四个应用在登录时都会要求输入验证码。管理员账户为强制要求。 |
| 通行密钥与会话管理 | 网站支持通行密钥（每个账户最多 10 个）；安全页面列出并可结束浏览器会话；修改密码会结束所有其他会话。应用仍像以前一样使用密码登录。 |
| 应用中固定的 API 连接 | 自 2026 年 10 月 10 日的应用版本起，四个应用都为 API 固定（pinning）Let's Encrypt (ISRG) 和 Google Trust Services 根证书颁发机构。限制：§12。 |
| 分流 | Windows、Android 和 Linux 支持按应用、网站和 IP 地址分流（按应用分流仅在 Windows 和 Linux 的 TUN 模式下可用）；iOS 支持按网站和 IP 地址分流，因为 iOS 仅对受管理的配置文件允许按应用 VPN。 |
| Colitu Shield（DNS 防护） | 可选。拦截广告、跟踪器、恶意软件、网络钓鱼、诈骗和加密货币挖矿域名（约 38 万条规则）。其解析器不记录查询日志，也不做统计。 |
| 第三方分析 | 任何应用（Android、iOS、Windows、Linux）中均没有。iOS 应用已在 5.4.1 版本中移除。 |
| 签名更新 | Android、Windows 和 Linux 使用已签名的更新清单（ECDSA P-256）加 SHA-256；iOS 使用 App Store 签名。 |
| Windows 代码签名 (Authenticode) | 尚未实现。 |
| 可复现构建 | 尚未实现。 |
| SBOM | 每个 Android 和 Windows 的 GitHub 发布版本均提供 SPDX；Linux 尚未提供。 |
| 独立安全审计 | 尚未完成。 |
| 漏洞披露 | security@colitu.com，政策见 §18 和 security.txt。 |
| 自托管 | 不提供。所有服务器均由 Colitu 自行运行。 |
02
安全与隐私文档
隐私政策我们存储哪些数据、原因以及保存多久的完整清单。开源与构建验证Windows、Android、iOS 和 Linux 应用的源代码，以及如何校验您下载的文件。已知限制Colitu 目前无法防护的内容以及仍然缺少的功能。安全路线图接下来的安全与隐私改进。Adaptive Connect 2.0 技术报告应用如何找到可用的路径并保持热备用就绪，包括方法与结果。负责任披露政策如何报告漏洞、适用范围、规则、安全港条款和响应时间。
status.colitu.com
Sistem durumu03
透明度
我们通过定期报告公布收到的官方请求和针对滥用采取的措施。
透明度报告
按期发布，最新的在最前。- 透明度报告 · Q3 20262026年7月1日 – 2026年9月30日发布于: 2026年10月1日
- 来自官方机构的请求
- 0
- 提供了数据的请求
- 0
- 内容和版权通知
- 0
- 滥用举报
- 0
- 被限制的账户
- 0
Colitu 于 2026 年 9 月 12 日上线；这份首份报告涵盖从上线到 9 月 30 日的时间。在此期间，我们没有收到任何机构提出的用户数据请求，也没有向任何人提供用户数据。
每份报告涵盖
- 来自官方机构的请求法院、警方或其他机构提出的用户数据请求。
- 提供了数据的请求这些请求中有多少导致了任何数据被提供。
- 内容和版权通知DMCA 及类似通知。
- 滥用举报关于我们服务器发出的垃圾信息、攻击或欺诈的举报。
- 被限制的账户因滥用而被限制的账户。
当我们收到请求时
我们会审查每一项请求的法律依据，并且只能提供我们已有的数据。流量内容、访问的网站、DNS 查询以及 VPN 服务器上的 IP 地址均不会被记录。我们实际持有的数据的完整清单见白皮书。
我们存储哪些数据04
事件记录
影响隐私或安全的事件会在此处和白皮书中说明。
漏洞披露
如果您发现了漏洞，请在公开分享之前先报告至 security@colitu.com。我们会在 3 个工作日内回复，并且不会对善意的研究采取法律行动。 披露政策
隐私、安全与滥用联系方式
- 隐私与数据请求privacy@colitu.com访问、更正或删除你个人数据的请求。
- 报告漏洞security@colitu.com在公开分享之前，请先在这里报告我们应用或基础设施中的漏洞；我们会在 3 个工作日内回复。 漏洞披露政策
- 滥用举报abuse@colitu.com来自 Colitu 服务器的垃圾邮件、攻击或版权通知。
最后更新: 2026年10月10日