網路供應商看得到我的瀏覽紀錄嗎？ISP 能看到什麼

簡單說：你的網路供應商（ISP）看不到你搜尋了什麼，但看得到你造訪的每一個網站，就算是 HTTPS、無痕模式，或是你刪除紀錄之後也一樣。 它能看到每個網域、你什麼時候連線、待了多久，以及傳輸了多少資料。它看不到具體的頁面、你的搜尋字詞，也看不到你在加密網站上輸入的內容。加密 DNS 能減少外洩的資訊，VPN 或 Tor 則能把網站本身也藏起來。

關於網路供應商，有兩種流行的說法，而兩種都不對。一種說你的 ISP 什麼都讀得到，連你在搜尋框打了什麼都知道。另一種說，有了 HTTPS 的鎖頭圖示，ISP 就什麼都看不見。真相在兩者之間，而知道確切的界線在哪裡，你就知道哪些方法值得花時間。

網路供應商看得到什麼、看不到什麼

把每一次網頁請求想像成一個信封。HTTPS 把裡面的信封起來，但外面的地址必須保持可讀，網路才能把它送到。

在 HTTPS 網站上，ISP 看不到的： 網域後面的完整網址、你的搜尋字詞、填寫的表單、密碼、訊息，以及頁面內容。

ISP 看得到的： 你連到的網域、時間、停留多久、多常回來，以及大約交換了多少資料。

所以你的 ISP 不知道你在某個健康網站上讀了哪一篇文章。它知道的是，你每個星期二晚上 11 點 40 分造訪那個健康網站，待了二十分鐘。這種規律往往比文章本身透露得更多。

ISP 看得到你在 Google 上搜尋什麼嗎？

看不到字詞。各大搜尋引擎都透過 HTTPS 載入，所以你輸入的文字、跳出來的建議和搜尋結果頁面，傳輸時都是加密的。你的 ISP 看到的是一條連到 google.com 的連線，看不到你問了什麼。

它看得到的是接下來發生的事。你點開的每一個搜尋結果，都是對另一個網域的另一次造訪，而這些網域是看得見的。如果你搜尋某個症狀，接著打開三個醫療網站和一家診所的預約頁面，光從這些網站就不難猜出你搜尋的主題。

你的搜尋紀錄本身是由搜尋引擎保存，不是 ISP。如果你登入了 Google，紀錄就存在你的 Google 帳戶裡，而這些是控制它的設定（英文）。

網站名稱會從三個地方外洩

大多數教學停在「HTTPS 隱藏內容，但不隱藏網域」。真正有用的是網域從哪裡外洩，因為每一種外洩的解法都不同。

DNS 查詢。 載入網站之前，你的裝置會先問 DNS 伺服器，把網站名稱轉換成位址。預設情況下，這個問題會以未加密的方式送到 ISP 的 DNS 伺服器。這就是一份你造訪過的每個網域的即時清單。
TLS 交握中的 SNI 欄位。 HTTPS 連線的第一則訊息，會在一個叫做伺服器名稱指示（Server Name Indication，SNI）的欄位裡寫出你要去的網站，而這個欄位傳統上是以明文傳送。較新的標準「加密用戶端問候」（Encrypted Client Hello，ECH）可以把它藏起來。目前的 Chrome 和 Firefox 都支援 ECH，Cloudflare 也為免費方案上的網站預設開啟（英文），但仍有許多網站還沒提供。
目的地 IP 位址。 封包總得送到某個地方。在大型共用主機上，一個 IP 可能對應數千個網站；在專用伺服器上，它就直接指向某一個網站。

每一層保護下，ISP 看得到什麼

你的設定	網站名稱	具體頁面和內容	ISP 仍然看得到的
一般 HTTP（現在很少見）	看得到	看得到	全部
HTTPS，預設 DNS	透過 DNS、SNI 和 IP 看得到	看不到	每個網域、時間、資料量
HTTPS + 加密 DNS	透過 SNI 和 IP 看得到	看不到	透過交握看到大部分網域
HTTPS + 加密 DNS + ECH	大多看不到，IP 仍可能指向該網站	看不到	目的地 IP、時間、資料量
VPN	看不到	看不到	你在使用 VPN、使用時間和資料量
Tor 瀏覽器	看不到	看不到	你在使用 Tor、使用時間和資料量

用無痕模式或刪除紀錄後，ISP 還看得到嗎？

兩種情況都看得到，原因也一樣。無痕模式和「清除瀏覽紀錄」按鈕，只會處理瀏覽器存在你裝置上的那份紀錄。你的 ISP 從來不讀那份紀錄。它看到的是你的流量在經過它的網路時，當下的樣子。

無痕模式或私密瀏覽： 你的連線離開裝置的方式和一般視窗完全一樣，所以 DNS 查詢、網站名稱和 IP 位址都還是看得到。我們的 what incognito mode actually hides（英文）說明了其他部分。
刪除紀錄： 清除瀏覽紀錄、Cookie 或快取，只會刪掉本機的紀錄。ISP 系統記錄下來的東西是在它那一端產生的，只要它保存這類紀錄，就會一直留在那裡。你裝置上的任何操作都碰不到它。

唯一能改變 ISP 看到什麼的方法，是改變從你裝置送出去的東西，也就是上表那幾層保護在做的事。

用行動數據時，電信業者看得到你的紀錄嗎？

看得到。用行動數據時，電信業者就是你的 ISP，它看到的網域層級資訊和家用網路供應商一樣：你的手機連到哪些網站和服務、什麼時候連，以及傳輸了多少資料。連上 Wi-Fi 時，看得到的就變成那個 Wi-Fi 背後的家用 ISP，再加上管理路由器的人。

有些電信業者直接寫明他們會使用這些資訊。以美國為例，Verizon 的 Custom Experience 計畫會使用「你在行動裝置上造訪的網站和使用的應用程式的相關資訊」（英文）。Verizon 表示它只使用每個網址的開頭部分，並會過濾掉敏感類別，而且除非你選擇退出，否則你就會被納入這個計畫（截至 2026 年 10 月）。你可以在 My Verizon 的隱私偏好設定中退出。電信業者手上還有比瀏覽紀錄更敏感的資料：2024 年 4 月，美國聯邦通訊委員會（FCC）因為美國最大的幾家無線電信業者出售客戶即時位置資料的存取權，對它們合計開罰約 1.96 億美元，下文會再說明。

要縮小電信業者看得到的範圍，可以在 Android 上開啟「私人 DNS」：在「設定」中依序輕觸「網路與網際網路」和「私人 DNS」。選「自動」時，只要網路支援就會使用加密 DNS，你也可以自己指定供應商。在 iPhone 上，加密 DNS 需要設定描述檔或 App。在手機上使用 VPN，則能讓電信業者完全看不到網站名稱。

1 分鐘檢測你自己的瀏覽器

上面提到的外洩，有兩種你現在就能檢查。

你的 DNS 有加密嗎？ 前往 one.one.one.one/help。如果你使用 Cloudflare 的解析器，它會告訴你是否透過 DNS over HTTPS 或 DNS over TLS 連線。許多其他解析器也有類似的檢查頁面。
你的 SNI 有加密嗎？ 前往 tls-ech.dev，這是一個支援 ECH 的測試頁面。如果它顯示「You are not using ECH」，代表你的瀏覽器剛剛以明文把網站名稱告訴了 ISP。如果它說你正在使用 ECH，網站名稱就被藏起來了。如果還是顯示沒有，先開啟加密 DNS。瀏覽器是透過 DNS 查詢取得每個網站的 ECH 金鑰，而 Mozilla 說明（英文）ECH 需要靠 DNS over HTTPS 來取得它。沒有啟用 ECH 的網站，不管你怎麼做都還是看得到。

ISP 真的會看你的瀏覽紀錄嗎？

不是那種有人一頁一頁翻看你整晚活動的意思。蒐集是自動化的，而這份紀錄會被用在三個地方。

廣告和行銷。 2021 年 10 月，美國聯邦貿易委員會（FTC）發表了一份幕僚報告，調查涵蓋約 98% 行動市場的六家大型 ISP。報告發現它們「能存取使用者所有的網路流量和即時位置資料」（英文），把個人資料、App 使用和網頁瀏覽資料結合起來投放廣告，還把部分用戶歸入種族、性傾向等敏感類別，同時「沒有給消費者有意義的選擇」。
維運網路。 供應商會用流量資料管理自家網路的壅塞和安全。
法律要求。 在美國，一張傳票就足以讓供應商交出用戶的姓名、地址、「連線時間和時長紀錄」（英文），以及它分配的 IP 位址。更詳細的紀錄需要法院命令或搜索票，而法律並不要求供應商通知你。

所以「我的 ISP 在乎我搜尋什麼嗎？」最誠實的答案是：那裡沒有人在讀，但紀錄確實存在，有商業價值，也可以被交出去。

ISP 為什麼要保存這份紀錄

因為它有價值，而美國法律允許。2016 年，FCC 通過了一套規則，要求 ISP 在使用或出售瀏覽紀錄等敏感資料前，必須先取得使用者的同意。這套規則還沒生效就被美國國會廢除：S.J.Res. 34（英文）在 2017 年 4 月 3 日簽署。

位置資料說明了這件事能走多遠。2024 年 4 月，FCC 因為美國最大的幾家無線電信業者出售客戶即時位置資料的存取權，合計開罰約 1.96 億美元：AT&T 約 5,700 萬美元、Verizon 4,700 萬美元、T-Mobile 8,000 萬美元、Sprint 1,200 萬美元，Krebs on Security（英文）有詳細報導。2026 年 6 月，美國最高法院站在 FCC 這一邊（英文），判 AT&T 和 Verizon 敗訴。

網路供應商會保存你的紀錄多久？

在美國，沒有一般性的法律要求 ISP 保存你造訪過的網站紀錄，也沒有法律要求它們刪除，所以各家公司做法不同，只在各自的隱私權政策裡大致寫明。其他國家則有強制規定。以英國為例，2016 年的《調查權力法》（Investigatory Powers Act）允許政府要求供應商保存「網際網路連線紀錄」最長 12 個月（英文）。

你能查看或索取自己的 ISP 紀錄嗎？

你的帳戶裡沒有列出你造訪過哪些網站的頁面，帳單上也不會顯示。不過你可以去問，而在某些地方，供應商必須回答。

在歐盟和英國， GDPR 賦予你權利，確認一家公司是否處理你的個人資料，並取得「正在處理的個人資料副本」（英文）（第 15 條）。你可以向供應商的隱私權或資料保護聯絡窗口提出當事人查閱請求。
在美國加州， CCPA 賦予你權利，可以知道超過其規模門檻的企業「蒐集了哪些具體的個人資訊」（英文），大型 ISP 都在範圍內。大多數供應商都有處理這類請求的隱私權申請表單。
在美國其他州， 可以查看供應商的隱私權政策和你所在州的隱私法，看看有沒有類似的查閱權。

你會拿到什麼，取決於供應商實際保存了什麼。你拿到的可能是帳戶、帳單和使用量資料，而不是網站清單，而這本身就是一個有用的答案。

如何讓網路供應商看不到你的瀏覽紀錄

依序做以下幾件事。每一步關掉一種不同的外洩。

持續使用 HTTPS。 幾乎所有大型網站都在用，目前的瀏覽器也會盡可能自動升級到 HTTPS。它已經能對 ISP 隱藏頁面和內容，但無法隱藏網域。
開啟加密 DNS。 在 Chrome 中，前往「隱私權和安全性」，開啟「使用安全 DNS」；在 Edge 和 Firefox 中，到隱私權或安全性設定裡找安全 DNS 或 DNS over HTTPS 的選項。然後選一個你信任的解析器。在 Android 上，使用「私人 DNS」設定。在 iPhone 上，加密 DNS 需要設定描述檔或 App。這樣就能拿掉 ISP 原本收到的那份明文查詢清單。接著執行上面的 SNI 測試，看看 ECH 有沒有生效。
想連網站名稱也藏起來，就用 VPN。 VPN 會把所有流量包進一條通往 VPN 伺服器的加密通道，所以 ISP 只看得到你連上了 VPN，以及傳輸了多少資料。問題在於：現在能看到你去哪裡的變成 VPN 公司。這讓營運者成了唯一的關鍵，也是為什麼一個可疑的免費 VPN 可能比不用還糟（這裡教你怎麼分辨，英文）。
要最高標準，就用 Tor 瀏覽器。 Tor 讓流量經過好幾個中繼站，沒有任何一個中繼站同時知道你是誰和你要去哪裡。它比較慢，有些網站也會封鎖它，但它能對 ISP 隱藏你的目的地，而不需要你信任單一營運者。

這些方法都無法讓你對網站本身隱身。你一抵達，網站就看得到你的造訪，網站上的追蹤器也看得到它們被設計來看的東西。

一個設計上沒有東西可交出的 VPN

如果你要把信任從 ISP 轉移到 VPN，就轉給一個設計上不會保存 ISP 原本保存那些東西的 VPN。Secria VPN 不保留活動紀錄：我們不記錄瀏覽紀錄、DNS 查詢或流量內容。連線進行中，我們會保存它所屬的帳戶和裝置、使用中的伺服器以及開始時間，而這筆紀錄會在連線結束時消失。DNS 由我們自己的伺服器解析，不會交給第三方解析器；伺服器把狀態保存在 RAM 中；每一條 WireGuard 通道都帶有 ML-KEM-1024 抗量子金鑰。這很重要，因為你的 ISP 正是那種能把今天的加密流量存起來、以後再試著解密的角色。單買每月 7.99 美元，或包含在 Pro 方案中。

常見問題

用了 VPN，ISP 還看得到我的瀏覽紀錄嗎？ 看不到。開啟 VPN 後，ISP 看得到你連上了 VPN 伺服器、什麼時候連，以及傳輸了多少資料，但看不到你造訪的網站。如果 VPN 有 DNS 外洩，部分網站名稱還是可能漏出去，所以要測試一下有沒有外洩。

Tor 能對 ISP 隱藏我的瀏覽紀錄嗎？ 可以。ISP 看得到你連上了 Tor 網路、什麼時候連，以及傳輸了多少資料，但看不到你透過它造訪的網站。只有 Tor 瀏覽器裡的流量受到保護；同一台裝置上的其他 App 仍然會正常連線。

ISP 看得到我下載了什麼嗎？ 透過 HTTPS 下載時，它看得到網站和檔案的大概大小，看不到檔名或內容。BitTorrent 這類點對點 App 就不一樣了：它們會讓你連上許多其他電腦，而這些電腦全都看得到你的 IP 位址，它們的流量模式也很容易辨認。

Wi-Fi 的主人也看得到我的紀錄嗎？ 他們看得到你的裝置透過他們的路由器連到哪些網站和 App，和 ISP 一樣是網域層級，但看不到 HTTPS 上的頁面或搜尋內容。會不會留下紀錄，要看路由器而定。我們的 what the Wi-Fi owner can see逐一說明各種路由器的情況。