Безопасен ли Happ: что видит приложение, сервис и никто

Что о вас знает приложение Happ, что видит сервис подписки, что остаётся у оператора и что не видит никто. И как выбрать сервис, которому можно доверить свой трафик.

Вопрос «безопасен ли Happ» на самом деле про три разных звена: приложение, сервис, через чьи серверы идёт трафик, и сеть между ними. У каждого звена свой объём знания о вас. Разложим честно.

Что видит приложение

Happ — клиент без аккаунта. У него нет вашего логина, номера, почты; ему негде хранить историю. Что у него есть:

• ссылка-подписка и скачанный по ней список серверов;
• настройки: режим, правила маршрутизации, выбранный DNS;
• локальные логи соединения, если вы их включили.

Приложение построено на открытом ядре Xray, его релизы лежат на GitHub. Риск с этой стороны один — поставить подделку: как отличить настоящий Happ.

Что видит сервис подписки

Через сервер сервиса проходит весь трафик, который вы отправили в туннель. Технически сервис может видеть:

Иначе говоря, сервис видит примерно то же, что до него видел оператор: «этот пользователь ходил на такие-то домены». Ключевой вопрос — что он с этим делает: хранит ли, продаёт ли, отдаёт ли по запросу. Ответ есть только в политике сервиса и в его репутации.

Что видит оператор

С включённым туннелем оператор видит зашифрованное соединение с одним адресом — сервером сервиса. Если ссылка использует VLESS с Reality, это соединение выглядит как обычный заход на крупный сайт: как это устроено. Внутрь оператор не заглянет. Что он по-прежнему знает: что вы в сети, сколько трафика передали и с каким адресом.

Как выбрать сервис, которому можно доверять

Приложение одно на всех, а доверие — вопрос к сервису. Признаки нормального:

• Понятно, кто это. Есть сайт, кабинет, поддержка, а не бот-раздатчик ключей без имени.
• Пробный период без карты. Сервис не боится, что вы проверите и уйдёте.
• Без автосписаний. Значит, ему не нужно «ловить» вас картой.
• Современные протоколы. VLESS с Reality вместо голого Shadowsocks или устаревшего VMess.
• Не просит лишнего. Для входа достаточно почты или Telegram — не паспорта и не доступа к контактам.

У Вятка всё это есть: вход по email-коду, 3 дня без карты, оплата по СБП без автосписаний.

Что не видит никто

Содержимое HTTPS-страниц, переписку в мессенджерах со сквозным шифрованием, пароли, которые вы вводите на сайтах с замком в адресной строке. Туннель не расшифровывает это, потому что не может: шифрование там между вашим браузером и самим сайтом. Туннель добавляет слой поверх, но не снимает нижний.