什么是搜查令金丝雀（warrant canary）？

定期以密码学方式签署的声明，证明未收到任何搜查令、传票或禁言令。沉默本身如何成为信号——以及金丝雀无法证明什么。

搜查令金丝雀是什么

这个名字借自煤矿：金丝雀曾被带下矿井充当活体传感器，矿工关注的不是它在歌唱，而是它何时停止。搜查令金丝雀把同样的“反向逻辑”应用到法律强制上。某些法律文书——尤其是附加于国家安全调取要求之上的禁言令——禁止收件人承认它们的存在。但没有任何已知法律禁止服务商如实地声明“我们没收到过”。于是服务商按固定周期、以签名的公开声明说出这句话：截至本日期，我们收到过零份搜查令、零份国家安全调取函、零份禁言令。

这一形式早于主机行业出现，与 2000 年代将其推广开来的图书馆同属公民自由的土壤。让它超越“仪式”的，是签名和周期：声明经 PGP 签名，因此无法被悄悄伪造；而发布节奏——这里为每月一次——把发布变成一种习惯，一旦中断便意味深长。任何人都可以订阅这个信息源，并在任何一天简单地核对：最新一份声明是否按时发布了。

机制如何运作

四个要素让金丝雀真正可用。首先是声明本身，它逐一列举“没有发生过的事”——未收到搜查令、未收到传票、未收到禁言令、未交出密钥、基础设施未被查封——因为笼统的“一切安好”无法被证伪，因此也无法传递任何信号。其次是 PGP 签名，它把声明绑定到已公开的密钥上，任何持有该密钥的人都能识别出被篡改或凭空捏造的金丝雀。第三是发布周期，它给沉默设定了期限：一份按月发布的金丝雀若在约定的宽限日期之后仍未出现，按照事先约定即视为警报。最后是分布式镜像，即使主站不可用，缺席依然可见——而这恰恰是金丝雀为之存在的场景之一。

核对一份金丝雀不需要任何专业知识：打开页面，用公开密钥验证签名，再对照周期检查日期。读者所验证的，是一个特定法律主体就“送达于它的法律文书”所作的否定性声明。这一范围既是这套机制的力量所在，也是它的边界所在——接下来的章节会诚实而非宣传式地讨论这一点。

为什么沉默本身就是信号

这套设计的精妙之处在于：它从不要求服务商在法律强制下开口说话。一旦法律文书送达，服务商在法律上被禁止宣布此事——但没有任何规定要求下一份定期声明必须出现，而保持沉默不违反任何命令。缺席替它说话。这就是金丝雀的“语法”是否定式的、其失效模式是错过日期而非坦白供述的原因：这套机制从不要求任何人违法，它只要求主机保持一个发布习惯——而法律强制本身会让诚实地维持这一习惯变得不可能。

这也是为什么细节比概念更重要。宽限期应足够短才有信息价值——以天计，而非以周计。签名声明应写明日期及其覆盖的期间，这样重发一份旧金丝雀就无法冒充新声明。签名密钥的指纹应公布在主机自身站点之外的某个地方。以上每一个选择都在把“请相信我们”变成“请来核验我们”——这正是这一装置提供的全部认知升级。

金丝雀能证明什么、不能证明什么

它能做到的：为客户和研究人员提供一个关于某一件具体事情、可持续验证的公开信号——签署主体是否收到过它所列举的法律文书——并通过长年按时发布的签名，展示一种姿态而非一纸承诺。VPSbit 的金丝雀正是这样的产物：每月更新、经 PGP 签名、向公众开放，每份声明覆盖自上一份以来的期间。

它做不到的同样具体。它不具法律证明力——法庭不会赋予其任何证据效力，它也替代不了真实法律文书所触发的程序性权利。它只覆盖签署主体：送达于数据中心运营方、 transit 传输商、域名注册商或任何上游的服务商，都不在声明范围之内——因此主机层面的透明度只是多层保障中的一层，而非全部保证。它无法排除“被迫在未来撒谎”的情形——处于秘密命令之下的主机原则上可以一边继续签名一边说谎，任何密码学协议都无法阻止签名者撒谎；抵御手段是公信力、镜像分发，以及谎言被拆穿后身败名裂的可见代价。它还无法区分恶意隐瞒与疏忽导致的错过期限——因此对任何迟到的金丝雀，诚实的解读都应是“按最坏情况假设，并去别处核验”，而不是“大概是这个月太忙了”。坦率陈述这些边界，正是金丝雀区别于护身符的地方；局限性页面在匿名性问题上贯彻了同样的纪律。

VPSbit 的金丝雀及其明示的局限

这里的做法刻意保持“乏味”：每月初的几天里，用项目 PGP 密钥签署一份新声明并发布在金丝雀页面，逐一列明未收到的法律文书——搜查令、国家安全调取要求、禁言令、查封——并列出运营层面的证明，例如哪些服务保持完好。签名可用已公开的密钥验证，历史记录保持在线，发布周期公开，因此一次未按时发布是明确的事件，而非可以随意解释的事。

局限随产物而行，因此就写在产物本身上：金丝雀只代表这一法律主体及其自有基础设施，不代表技术栈中的第三方；一份迟到的声明是需要调查的信号，而非任何事情的证明；整套装置依托于发布者的既往记录——这也正是周边保障存在的意义：带补偿的 SLA、公开的溢价、账单机制有据可查的结算页——让项目在日常层面同样经得起审计。金丝雀只是众多传感器中的一个；把它当作隐私主机客户每月应检查的最低限度，而不是全部成绩单。