iCloud 私密轉送把流量拆成兩跳，讓任何一方都無法同時知道你是誰、造訪了哪裡。本文說明它的涵蓋範圍，以及網站仍能看到什麼。
iCloud 私密轉送（iCloud Private Relay）是 Apple 提供給 iCloud+ 訂閱者的隱私功能，它把你的 Safari 流量分兩跳轉送，讓 Apple 與第二跳的營運方都無法同時看到你的身分和你造訪的網站。它不是 VPN：只涵蓋部分流量，刻意保留你的大致位置，也不會改變瀏覽器指紋。本文說明它隱藏了什麼、網站為何會把你顯示在錯誤的城市，以及網站如何辨識它。
重點整理
- 私密轉送使用兩跳：Apple 的入口中繼能看到你的真實 IP 但看不到目的地，合作夥伴的出口中繼能看到目的地但看不到你的真實 IP。
- 它涵蓋 Safari 瀏覽、DNS 查詢與部分未加密的 App 流量——不像 VPN 那樣涵蓋整台裝置，也不涵蓋 Chrome、Firefox 等其他瀏覽器。
- 網站看到的是已公布中繼位址範圍內的出口 IP：能認出這是中繼，卻無法追溯到你。其位置刻意模糊，所以你可能被顯示在錯誤的城市。
- 它不會改變瀏覽器指紋，也可能觸發把中繼位址範圍列入名單的 VPN／代理偵測。
- 想知道網站看到了什麼，可用 IP 情報工具查看出口 IP、ASN 與位置，再用 VPN／代理檢測測試它是否被判為代理。
兩跳如何拆分信任
一般連線中，網站能看到你的 IP，你的網路業者能看到你要造訪的網站。單一營運方的 VPN 只是把這些資訊全部交給一家公司。私密轉送則把它拆開：
- **入口跳（Apple）。**裝置把請求送到 Apple 營運的中繼。Apple 知道你的真實 IP，但看到的只是無法讀取的加密請求，不知道你要造訪哪個網站。
- **出口跳（合作夥伴）。**第二個中繼由 Cloudflare 等合作夥伴營運，負責解出目的地並轉送請求，同時配發對外 IP。它知道請求前往哪裡，但看到的傳送方只是 Apple 的中繼。
這種拆分信任的設計在我們的隱私工具比較中已有概述，Cloudflare 自己的文章 iCloud Private Relay: What Cloudflare Customers Need to Know 則從合作夥伴角度介紹出口這一側。Chrome 曾嘗試類似的兩跳設計，比較及其下線原因見 Chrome IP Protection。
協定層：MASQUE
想了解底層的讀者：私密轉送的通道採用 IETF MASQUE 工作小組標準化的做法，也就是透過 HTTP 代理連線承載其他流量。RFC 9298 定義了在 HTTP 中代理 UDP，同系列的 RFC 9484 則把同樣的概念延伸到完整的 IP 封包。對使用者來說，重點是中繼跳走的是一般的 HTTP/3（QUIC）連線，在中間網路看來與一般網頁流量無異。使用這項功能不需要了解這些，但它說明私密轉送建立在開放標準之上，而不是私有的 VPN 協定。
私密轉送涵蓋什麼，不涵蓋什麼
| 流量 | 是否受私密轉送保護？ |
|---|---|
| Safari 瀏覽（HTTP 與 HTTPS） | 是 |
| 經系統解析器發出的 DNS 查詢 | 是 |
| 部分未加密的 App 流量 | 是 |
| Chrome、Firefox 等其他瀏覽器 | 否 |
| 大多數其他 App 與系統服務 | 否 |
| 瀏覽器指紋 | 不改變 |
| 流量時序與流量大小 | 不隱藏 |
由此有兩個後果。第一，Safari 在轉送時，Chrome 裡的網站仍看到你的真實 IP。第二，凡是不依賴 IP 就能認出你的手段——Cookie、登入狀態、Canvas 或字型指紋——都照常運作。如果你在意 DNS，DNS 洩漏防護指南介紹了其他工具中查詢是如何洩漏的。
為什麼網站顯示的位置不對
私密轉送提供位置設定：保留大致位置（你所在的大概區域，本地內容仍可用），或僅使用國家與時區（範圍更大、更私密）。兩種情況下，出口 IP 都取自分配給某個區域的位址池，而非你的真實位址，所以地理位置資料庫會把你定位到該區域的中心——常常是附近的城市，有時並不正確。
這不是網站或裝置的故障，而是功能正常運作。資料庫如何把 IP 換算成城市、為何這些判斷會偏差，見 IP 地理位置準確度，這裡不再重複。如果商店顯示了錯誤地區的價格，或天氣小工具報錯了城市，先到 Apple ID 設定看看私密轉送是否開啟，再懷疑是故障。
網站如何辨識私密轉送
Apple 公布了出口 IP 位址範圍，任何網站都可以拿訪客位址去比對。結果是：這條連線能被認出是中繼，卻無法追溯到你——網站知道「這位訪客正在使用 iCloud 私密轉送」，但不知道對方是誰。許多網站認為這無害，也有些網站把它當作一般代理處理。
由於出口位址範圍是已知的，各類訊號大致如下：
- **IP 信譽與 ASN。**該位址屬於合作夥伴網路，而非家用寬頻。IP 情報工具會顯示網站所能看到的 ASN 與類型。
- **一致性檢查。**如果時區與語言指向一個國家，出口 IP 卻在另一個國家，反詐欺系統可能會提高風險分數。私密轉送在設計上會避免這種情況：兩種位置設定都會讓出口 IP 留在你真實所在的國家與時區，這正是它與把出口設在別國的 VPN 的關鍵差異。
- **代理標記。**部分 VPN 與代理偵測會收錄中繼位址範圍，即使使用者什麼都沒做錯也會對其發起驗證或封鎖。這類誤判如何產生及怎麼處理，見為什麼正常使用者會被判為 VPN 使用者。
私密轉送不做什麼
很容易把名字理解過頭。私密轉送不會：
- **改變瀏覽器指紋。**你的 User-Agent、螢幕、字型、Canvas 與 WebGL 輸出仍然照常送出。無論你以哪個 IP 出現，指紋都能跨站辨識你；我們對 VPN 與指紋辨識的比較解釋了為什麼隱藏 IP 與防止追蹤是兩回事。
- **涵蓋其他瀏覽器或整台裝置。**只有該功能處理的流量會被轉送。
- **讓你選擇出口國家。**你無法選擇出現在哪裡，所以它不適合用來看串流片庫或繞過地區限制。
- **隱藏你正在使用中繼這件事。**位址範圍是公開的，這本就是設計的一部分。
私密轉送沒有生效的常見原因
如果你預期看到中繼 IP，看到的卻是自家寬頻的 IP，通常代表這條連線上私密轉送並沒有運作。常見原因有：
- **沒有訂閱 iCloud+。**私密轉送屬於付費的 iCloud+，免費的 iCloud 不包含。
- **所在地區未提供。**Apple 在部分國家和地區不提供這項功能，包括中國大陸。
- **對目前網路關閉了。**在 iPhone 和 iPad 上可以針對個別 Wi-Fi 或行動網路關閉它，部分學校、公司或公共網路也會封鎖它；此時裝置會直接連線，網路設定中通常會顯示提示。
- **用的不是 Safari。**在 Chrome 或 Firefox 裡檢測，看到的一定是你的真實 IP。
最快的確認方式：在 Safari 中開啟 IP 情報工具，記下 IP 與 ASN，再關閉私密轉送測一次。
私密轉送、VPN 與 Chrome 的做法
VPN 把整個連線交給一個你必須信任的營運方，可以選擇位置，但也會因資料中心 IP 而落入黑名單。私密轉送放棄這種彈性，換來拆分信任與零設定。Chrome 已下線的 IP Protection 範圍更窄：只針對一份追蹤器網域清單，且只在無痕模式下生效。如何在這些方案間取捨，見隱私工具比較。
常見問題
iCloud 私密轉送會隱藏我的 IP 位址嗎？
對你在 Safari 中造訪的網站來說，會：它們看到的是中繼出口 IP，而不是你的 IP。你的網路業者仍能看到你連線到 Apple 的中繼，Safari 以外的流量不在涵蓋範圍內。
iCloud 私密轉送和 VPN 一樣嗎？
不一樣。VPN 把裝置的全部流量交給一家服務商，並允許你選擇位置。私密轉送在兩個營運方之間拆分信任，主要涵蓋 Safari 與 DNS，且不能選擇國家。
為什麼 iCloud 私密轉送顯示的位置不對？
它刻意從某個區域的位址池配發出口 IP，或只保留你的國家與時區。地理位置資料庫會據此把你定位到該區域，可能與你實際所在的城市不同。
網站能偵測到 iCloud 私密轉送嗎？
能，因為出口位址範圍是公開的。網站能判斷訪客正在使用中繼，但僅憑 IP 無法知道訪客是誰。
私密轉送會改變我的瀏覽器指紋嗎？
不會。指紋訊號來自瀏覽器與裝置，而不是 IP。你可以用指紋檢測查看瀏覽器暴露了什麼。
結論
iCloud 私密轉送設計良好、使用成本低，能避免網站與網路把你的 IP 與 Safari 瀏覽行為配對。但它不是完整的 VPN，不能抵禦指紋辨識，對網站也並非隱形。開啟和關閉它各跑一次 IP 情報工具與 VPN／代理檢測，就能看清到底變了什麼。
推薦閱讀：
