5 min di lettura
GitHub ospita il codice sorgente e le build dei client VPN più diffusi: v2rayN, v2rayNG, Hiddify, NekoBox, sing-box, Amnezia e altri. Scaricare da lì va bene, e spesso è necessario quando un'app è stata rimossa dallo store. Ma GitHub ha un rovescio della medaglia: gli attaccanti creano copie di repository popolari e caricano build con stealer all'interno. Nel luglio 2026 gli specialisti di Solar 4RAYS hanno descritto falsi di utility per aggirare i blocchi con gli stealer Salat e Santa. Distinguere l'originale dalla copia richiede un minuto, se sai dove guardare.
Le ricerche «vpn github» nelle due grafie e «scaricare vpn github» fanno insieme circa 29 mila impressioni al mese nella ricerca russa (Yandex Wordstat, agosto–settembre 2026).
È importante capirlo: quasi tutto ciò che trovi su GitHub sono client, non servizi VPN. Un client sa connettersi, ma non ha server. Gli serve un link o un abbonamento di un servizio, oppure il tuo server.
| Client | Piattaforme | Cosa fa |
|---|---|---|
| v2rayN | Windows | Importa link vless://, vmess:// e abbonamenti |
| v2rayNG | Android | Lo stesso su Android |
| Hiddify | Android, iOS, Windows, macOS, Linux | Client universale con interfaccia semplice |
| NekoBox | Android, Windows, Linux | Client basato sul core sing-box |
| sing-box | Le principali | Core e client ufficiali del progetto |
| Amnezia | Le principali | Client più procedura guidata per il proprio server |
Un confronto dettagliato dei client più diffusi è in v2rayTun, Hiddify o Streisand, e Amnezia ha un articolo dedicato: Amnezia VPN: cos'è e come configurarla.
amnezia-vpn/amnezia-client; per Hiddify, il link dal sito ufficiale..apk per Android, .exe o .msi per Windows, .dmg per macOS.Un file della sezione Releases del repository ufficiale è esattamente ciò che hanno pubblicato gli sviluppatori. Tutto il resto (link nel README di fork altrui, archivi su servizi di file hosting, «build corrette») è motivo di sospetto.
Secondo Solar 4RAYS, i repository falsi hanno sempre gli stessi segnali:
Questi falsi di solito durano poco e vengono cancellati, ma nel frattempo fanno vittime. Uno stealer si prende password salvate, cookie del browser e sessioni di messaggistica. Perché è pericoloso anche con l'autenticazione a due fattori lo spieghiamo in infostealer e sessioni rubate.
Passaggi dettagliati: password trapelate: cosa fare.
Anche un client autentico da GitHub è solo metà della storia. L'altra metà è il server a cui ti colleghi. Abbonamenti e chiavi gratuiti dai repository GitHub con «liste di configurazioni funzionanti» sono gestiti da sconosciuti: il proprietario del server vede a quali indirizzi ti colleghi e può tenere log. Inoltre queste chiavi vengono bloccate in fretta, perché le usano migliaia di persone insieme.
Se vuoi il pieno controllo di client e server, resta il tuo VPS: la tua VPN su un VPS.
BessyConnect è un servizio pronto con la propria app dagli store ufficiali, senza importare chiavi a mano né cercare abbonamenti. Il protocollo è VLESS con mascheramento Reality, i server sono più di cento, gli indirizzi vengono aggiornati dal servizio, non si conservano log, la registrazione non è obbligatoria e non ci sono limiti di dispositivi.
È sicuro scaricare una VPN da GitHub? Sì, se è la sezione Releases del repository ufficiale trovato dal sito del progetto. Pericolose sono le copie: account nuovi senza stelle, con Issues disattivate e istruzioni per disattivare l'antivirus.
Quale client VPN scarico da GitHub? Su Windows di solito v2rayN o Hiddify, su Android v2rayNG, Hiddify o NekoBox. Per il proprio server, Amnezia. Il client ha comunque bisogno di un link, di un abbonamento o di un server tuo.
Su GitHub c'è una VPN gratuita? Su GitHub ci sono client gratuiti e repository con elenchi di configurazioni gratuite. Ma quei server sono gestiti da sconosciuti, vengono bloccati in fretta e il proprietario vede le tue connessioni.
Come capisco che un repository è falso? Guarda l'età dell'account, il numero di stelle e fork, se le Issues sono attive e dove si trova la build. La richiesta di disattivare l'antivirus o aggiungere il programma alle esclusioni è quasi certamente segno di un falso.
Cosa faccio se ho installato un client da un repository falso? Rimuovi il programma, controlla il sistema con un antivirus e, da un altro dispositivo, cambia le password chiudendo tutte le sessioni attive di email, banche e messaggistica.
BessyConnect log: cosa vede tecnicamente qualunque servizio VPN, cosa conserviamo e cosa no, e cinque modi per verificarlo senza crederci sulla parola. Altro
Sicurezza wifi pubblico: bar, aeroporti e hotel mettono a rischio i tuoi dati. La VPN BessyConnect (VLESS+Reality) protegge tutto il traffico nella rete. Altro
Log VPN: cosa conserva davvero un servizio e cosa vede il tuo provider internet. Privacy spiegata con onestà. BessyConnect su VLESS+Reality non tiene log. Altro