用过免费节点怎么办：四步自查清单
一句话结论
用过就先做四件事：卸载来路不明的客户端并检查系统里是否残留自定义根证书；修改在该期间登录过的重要账号密码并开启两步验证；核对账号的登录设备与第三方授权列表；把浏览器保存的敏感会话全部退出重登。四步做完，风险基本可以封口。
断开连接、删掉配置，这两步只能让网络侧的风险停止扩大。已经发生的部分不会回滚：装进系统的程序仍然在运行，被写入的证书仍然生效，平台那边对你账号的风险记录也还在。所以「我已经不用了」不等于「这件事结束了」。
好消息是需要做的事情有限，而且顺序明确。下面四步按「本机 → 凭据 → 授权 → 会话」的次序排列，每一步都是在切断上一步可能留下的后路。不要跳步，尤其不要在没清理干净本机之前就急着改密码——在一台仍被控制的设备上输入新密码，等于把新密码也一并交出去。
整个过程不需要专业工具，普通用户用系统自带功能就能完成。
先分清：哪些风险停用后消失，哪些不会
这决定了你要花多少精力。
| 风险类型 | 停用链路后 | 需要做什么 |
|---|---|---|
| 访问记录被节点方看到 | 停止新增，已记录的无法撤回 | 无法补救，只能评估影响范围 |
| 来路不明的客户端仍在运行 | 不会消失 | 卸载并检查残留（第一步） |
| 系统被写入自定义根证书 | 不会消失，且长期生效 | 手动移除（第二步） |
| 账号凭据可能已泄露 | 不会消失 | 改密码 + 两步验证（第三步） |
| 第三方授权被悄悄添加 | 不会消失 | 逐项核对并撤销（第四步） |
第一行是唯一无法补救的一项，也是判断严重程度的依据：想一想那段时间里你在这条链路上做过什么，如果只是浏览资讯，影响有限；如果登录过邮箱、收发过验证码、进行过支付，后面几步就必须认真做完。
第一步：把来路不明的程序和它的残留清干净
按顺序执行，每一项都有明确的理由：
- 在系统的应用列表里卸载对方提供的客户端。 不要只删快捷方式或程序目录，走正规卸载流程才能触发注册表与服务的清理。
- 检查开机自启项与后台服务。 有些安装包会留下常驻进程，卸载主程序后它仍然会跑，看到不认识的名字先禁用再排查。
- 检查系统代理设置是否被改回。 客户端异常退出时经常把全局代理留在系统里，表现是断开节点后所有网络都不通。
- 检查有没有装过 TUN/TAP 虚拟网卡或额外驱动。 这类组件权限很高，卸载客户端时未必会一起移除。
- 移动端额外看一眼 VPN 配置和描述文件。 iOS 的描述文件、Android 的 VPN 配置都可能在应用被删除后继续存在。
做完这五项，本机侧还剩最后一件事，它比上面任何一项都重要。
怎么确认系统里没有被装入自定义根证书
根证书的意思是：系统无条件信任由它签发的一切证书。一旦有人往你的信任列表里塞进自己的根证书，他就有条件在中间还原本来加密的内容，而浏览器不会显示任何警告。这就是为什么「请安装我们的证书」应当被视为一条止损线。
Windows 上打开本地计算机的证书管理器：
certlm.msc在「受信任的根证书颁发机构 → 证书」里按颁发者排序，重点看安装日期集中在你使用那段时间的条目。当前用户范围用 certmgr.msc 再查一遍。
macOS 可以先用命令列出被手动改过信任设置的证书：
security dump-trust-settings -d再打开「钥匙串访问」，在「系统」钥匙串里筛选证书类别，逐个确认颁发者。
移动端没有命令行，看设置即可：Android 在「设置 → 安全 → 加密与凭据 → 用户凭据」，iOS 在「设置 → 通用 → 关于本机 → 证书信任设置」。
判断标准很直接：凡是你不认识、也说不出为什么会在这里的颁发者，一律移除。企业办公设备可能存在公司统一下发的证书，这种情况先问 IT，不要自行删除。
第三步：哪些账号先改密码，顺序怎么排
不要一上来就把所有网站的密码都改一遍，那既耗时又容易半途放弃。按恢复成本排序，先处理最贵的：
| 优先级 | 账号类型 | 为什么排在这里 | 必做动作 |
|---|---|---|---|
| 1 | 主邮箱 | 其他账号的找回入口都在这里，它一旦失守，改别处密码没有意义 | 改密码 + 两步验证 + 检查转发规则 |
| 2 | 支付与银行类 | 直接对应资金损失 | 改密码 + 两步验证 + 检查绑定设备 |
| 3 | 手机运营商账号 | 关系到短信验证码的接收权 | 改密码 + 开启服务密码 |
| 4 | 社交主账号 | 被冒用会波及联系人，且申诉周期长 | 改密码 + 两步验证 |
| 5 | 其他站点 | 影响有限，但复用过同一密码的必须一起改 | 改密码，停止密码复用 |
两步验证优先选应用生成的动态码或硬件密钥，短信验证码是兜底选项——它依赖运营商这一环，而这一环恰恰在第三优先级里。
邮箱那一行的「检查转发规则」经常被漏掉：如果对方设置过自动转发或自动归档规则，即使你改了密码，新邮件仍然会被复制走一份。
第四步：登录设备、第三方授权和会话，逐项回收
密码改完不代表已有的会话失效。很多平台的登录态是独立于密码的，必须手动回收：
- 在账号安全页面查看登录设备列表，退出所有不认识的设备，能选「退出全部设备」就选它，然后自己重新登录一次。
- 检查第三方授权（OAuth）列表，撤销你不记得授权过的应用。这一项在邮箱和社交账号里最关键，因为一个授权可能长期具备读取权限。
- 检查邮箱的转发规则、自动回复和恢复邮箱/手机号，这三处是最常见的持久化落脚点。
- 清理浏览器保存的会话，退出敏感站点后重新登录，让旧的登录凭据作废。
支付类账号还要额外做两件事：查一遍近期交易记录，以及确认没有新增的免密支付或代扣授权。
做到什么程度算封口
不需要无限期地担心下去。三个条件同时成立，就可以认为这件事结束了：系统里没有陌生的程序、驱动和根证书；重要账号已经换过密码并开启两步验证；登录设备与第三方授权列表里没有不认识的条目。
之后的一两周里留意异常信号即可——非本人操作的登录提醒、陌生设备通知、邮箱里出现你没发起过的密码重置邮件。没有这些信号，就不用反复回头检查。
之后还要用代理服务，按什么标准挑
自查解决的是存量问题，避免重来一次靠的是换掉来源。判断标准和这次踩坑的原因是对应的：有没有可追溯的运营主体、客户端是否来自官方仓库或官网、对能力的表述是不是可验证的。
想先搞清楚一条链路为什么会免费、供给方图什么，可以回头看免费节点的四类来源与反推方法；如果卡在预算上，预算有限时的替代思路讲的是需求量化与小额试错，不涉及具体品牌。整个话题的关系图在免费节点安全专题里。
小结
停用不等于结束，本机侧和账号侧的风险需要手动收口。顺序是先清理程序与根证书，再按邮箱、支付、运营商、社交的优先级改密码并开启两步验证，然后回收登录设备与第三方授权，最后处理浏览器里的会话。访问记录被看到的部分无法补救，其余四项都能在一个下午内做完。三个封口条件成立后就不必再反复检查，把精力放到换一个来源可核验的服务上。
常见问题
只用过一两次，也需要走完四步吗
看你做过什么。如果全程只是浏览网页、没装任何程序、没登录账号，清理客户端和断开链路就够了；只要装过对方提供的安装包或登录过账号，四步都要走。
怎么判断系统里有没有被装入自定义根证书
Windows 用 certlm.msc 查看本地计算机的受信任根证书颁发机构，macOS 在钥匙串访问的系统钥匙串里筛选证书，Android 在设置的加密与凭据里看用户凭据，iOS 看设置里的证书信任设置。陌生颁发者一律移除。
改密码要不要按顺序
要。邮箱排第一，因为它是其他账号的找回入口；接着是支付与手机运营商账号，然后是社交主账号，最后是普通网站。顺序错了，改完的密码可能被已经泄露的邮箱重新覆盖。
自查做到什么程度可以不用再担心
系统里没有陌生的程序、驱动和根证书，重要账号已换密码并开启两步验证，登录设备与第三方授权列表里没有不认识的条目，这三项同时成立就可以认为风险已经封口。