VPN安全利用ガイド：購読リンクの管理、公共 Wi-Fi のリスクと入力情報の注意点

安全性の範囲：通信の暗号化ですべての操作が守られるわけではない

VPNやプロキシのクライアントは、接続経路を通る通信を保護できますが、ウェブサイトの信頼性を判断したり、偽サイトに自分でパスワードを入力するのを防いだりはできません。端末のマルウェアやブラウザー拡張機能、漏えいしたログイン状態も、接続しただけでは解消されません。

デバイス全体を通すトンネル、システムプロキシ、ブラウザーのプロキシでは、通信を通す範囲が異なります。システムプロキシは通常、その設定に従うアプリだけに適用されます。ブラウザー拡張機能も、ブラウザー内の一部のリクエストのみを処理する場合があります。TUNモードはより多くの通信を処理できますが、ルーティング、除外ルール、DNS設定にも左右されます。ステータスバーのアイコンだけで、すべてのアプリが同じ経路を使っていると判断しないでください。

HTTPSはブラウザーと接続先のウェブサイト間の通信を暗号化し、サイトの身元を確認する仕組みです。VPNで代用することはできません。証明書の不一致や信頼できない接続を示す警告が出た場合は、機密情報の入力をやめ、ドメイン名、端末の時刻、ネットワーク環境を確認してください。検証を無効にしてアクセスを続けるのは避けましょう。鍵マークが表示されていても、運営者が信頼できるとは限りません。

サブスクリプションURL：アクセス用の認証情報として管理する

サブスクリプションURLは、単なるヘルプページのアドレスではありません。ノード設定を取得するためのアクセストークンが含まれている場合があり、取得できる内容にノードの認証情報が含まれることもあります。有効なURLを入手した人が、自分のクライアントに設定をインポートしてアカウントの通信容量を使う可能性があります。具体的な権限はサーバーの実装によって異なりますが、機密性の高い認証情報として管理してください。

アカウントのパスワードとサブスクリプショントークンは、通常は別々の認証情報です。そのため、ログインパスワードを変更しても、漏えいしたサブスクリプションが無効になるとは限りません。サブスクリプションのQRコードも、追加の保護が施されたものではありません。多くの場合、URLをスキャン可能な画像に変換しただけなので、スクリーンショットの共有でも元のURLを共有した場合と同様のリスクがあります。

サブスクリプションは信頼できるクライアントか、保護された認証情報の保管庫に保存してください。公開メモ、共有スプレッドシート、コードリポジトリには記載しないでください。デバイス間でコピーする際は、クリップボードの同期や共有履歴にも注意が必要です。形式を変換する場合は、信頼できるローカルツールを優先しましょう。オンライン変換では第三者がURL全体にアクセスする可能性があるため、HTTPS対応だけで安全とは判断できません。

クライアントへのインポート：入手元を確認し、設定を点検する

サブスクリプションをインポートする際は、まずクライアントの入手元を確認し、自分のサブスクリプションを取得して、インポート結果を確かめてから対象のアプリでテストします。検索広告、知らないグループのファイル、不明なミラーサイトからインストーラーを入手しないでください。VPNVisitのクライアントはすべて管理パネルから入手します。iOSを除き、ログイン後にクライアントを取得できます。iOSでは有効なプランが必要です。サブスクリプションの取得にもログインが必要です。

1. 配布元を確認する。プログラムはサービスの管理パネルか、クライアントの公式配布元から入手してください。インストーラーの名称と配布元を確認しましょう。OSからネットワーク拡張機能やVPN設定の権限を求められた場合は、要求しているのがインストールしたばかりのプログラムか確認してください。
2. 自分のサブスクリプションをインポートする。クライアントに用意されたサブスクリプションのインポート機能を使い、ノードサーバーのアドレス欄にURLを入力しないでください。インポートに失敗したら、コピー漏れがないか、ログインが有効か、形式に対応しているかを確認します。URL全体を知らない相手に送らないでください。
3. 追加された設定を確認する。設定名、ルールの入手元、プロキシモードを確認してください。設定によっては外部のルールやスクリプトを参照する場合があります。提供元と用途を確かめ、知らない設定を通常のノード一覧と同じようにそのまま受け入れないでください。
4. アプリごとに通信経路を確認する。普段使う対象アプリでテストし、クライアントの接続記録も確認してください。ウェブページが開けたとしても、そのリクエストが成功したことしか分かりません。バックグラウンド同期、他のブラウザー、すべてのDNSリクエストが同じ経路を使っている証明にはなりません。

WindowsとmacOSでは、システムプロキシとTUNモードを区別してください。iOSとAndroidでは、OSのVPN状態とクライアントの分流設定を確認します。Linuxでは、起動方法、ルーティング、リゾルバーの設定にも注意が必要です。画面上の名称はクライアントによって異なるため、使用中のクライアントのドキュメントを確認してください。「証明書の検証をスキップ」などの設定を、一般的なトラブルシューティング用のスイッチとして使わないでください。

公共Wi-Fiのリスク：まず接続先を確認し、ログインする

公共Wi-Fiには、通信を盗み見られるリスクだけでなく、偽のアクセスポイントや認証ページ、設定のインストールを促す画面にも注意が必要です。施設のスタッフにネットワーク名と認証方法を確認し、不要な自動接続設定はオフにしましょう。施設名と同じネットワーク名でも、それだけで正規の接続先とは限りません。

ネットワークによっては、ポータル認証を済ませるまでVPN接続を確立できない場合があります。まずOSが表示する認証画面を開き、接続に必要な情報だけを入力してください。VPNのパスワードやネットバンキングのパスワードを求められたり、用途不明のルート証明書や構成プロファイルのインストールを促されたりした場合は、操作を中止して確認しましょう。「ネットワークの修復」を理由に、見知らぬ証明書をシステムから信頼される状態にしないでください。

認証が終わったら、クライアントの接続状態をもう一度確認してから機密性の高いサービスにアクセスしてください。公共ネットワークでは、不要なファイル共有やローカルネットワークの検出をオフにするのが安全です。金融サービスの利用や重要なアカウントの復旧時にアクセスポイントの信頼性を確認できない場合は、自分で管理できるネットワークを使いましょう。VPNでは、マルウェアに制御された端末を修復できません。

DNSと通信の振り分け：リクエストの実際の経路を確認する

DNSはドメイン名をネットワークアドレスに変換します。保護された経路を通す予定のDNSリクエストが、ローカルネットワークのリゾルバーに送られると、想定外の情報漏えいにつながる可能性があります。確認時は、クライアントのDNSモード、OSの名前解決設定、ブラウザーの暗号化DNS、通信の振り分けルールをあわせて見ましょう。出口IPだけでは判断できません。

DNSチェックページに見知らぬ地域やプロバイダーが表示されても、それだけで漏えいとは判断できません。リゾルバーが分散型の基盤を使っている場合があり、表示される位置情報も正確とは限りません。実際のルールに基づき、どのドメインを直接接続し、どれをプロキシ経由で名前解決するのか、ブラウザーが独自のDNS設定を使っているのかを確認してください。チェックページの「合格」表示を得るためだけに、設定をむやみに重ねないでください。

通信の振り分けは、リクエストを直接接続にするかプロキシ経由にするかを決めるもので、追加の暗号化レイヤーではありません。中国本土のネットバンキング、社内システム、ローカルネットワーク上の機器では、従来の経路を維持する必要がある場合があります。海外のウェブサイトは利用目的に応じて設定してください。ルールを誤ると、ログイン時の不正利用検知、アクセス失敗、意図しない直接接続につながることがあります。変更後は別のブラウザーだけで確認せず、対象のアプリで再度チェックしましょう。

Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUICは、それぞれ異なるプロキシプロトコルまたはプロトコル体系です。認証、通信、暗号化の仕組みも異なるため、名称だけで安全性を判断できません。たとえばVLESS自体には通信内容を暗号化する機能がなく、実際の運用ではTLSなどの安全な通信方式と組み合わせる必要があります。対応プロトコルは管理パネルとクライアントの説明を確認してください。この記事のプロトコル一覧は、VPNVisitの対応プロトコルを示すものではありません。

同様に、IEPL専用線、中継、直接接続は回線の構成方法を表すもので、プライバシー方針やエンドツーエンド暗号化と同じ意味ではありません。回線の名称だけでは、サーバー側のデータ処理方法は分からず、接続先サイトのHTTPS検証の代わりにもなりません。回線とプロトコルについては回線とプロトコルの解説をご覧ください。

情報の入力：現在の機能に必要な情報だけを送信する

まずページの運営元を確認し、そのうえで情報が必要か判断してください。VPNVisitでは、メールアドレスなしでアカウントを作成でき、ユーザー名とパスワードを利用できます。普段使っているメールのパスワード、決済パスワード、他のサイトのパスワードを使い回さないでください。メールアドレスが不要でも、認証情報の管理は必要です。ユーザー名と専用のパスワードを安全に保管し、管理パネルで利用できるアカウント復旧方法も確認しておきましょう。

決済は管理パネルで注文を確認した後、案内された決済方法に進んでください。VPNVisitはAlipay、WeChat Pay、USDTに対応しています。注文内容と受取先情報を確認し、見知らぬ相手からのダイレクトメッセージに記載されたQRコードやアドレスは使わないでください。通常の支払いで、サポート担当者に決済パスワード、ウォレットのシードフレーズ、秘密鍵を渡す必要はありません。遠隔操作で相手に処理を任せることも避けてください。

• ✅ 入力前にドメイン全体と現在の機能を確認し、ページの配色やブランド画像だけで真偽を判断しない。
• ✅ 問い合わせ時は、利用環境、クライアントのバージョン、エラー内容、すでに確認した項目を伝える。スクリーンショットの認証情報は隠す。
• ✅ サポートが必要な場合は管理パネルからチケットを送信し、身元が分からない相手へのダイレクトメッセージで情報を送らない。
• ❌ 公開フォーラムにサブスクリプションURL全体、ログイン状態、決済情報、未確認の設定ファイルを貼り付けない。
• ❌ 相手が「アカウントの確認に必要」と主張しても、パスワード、復旧キー、遠隔操作の権限を渡さない。

ウェブサイトのプライバシーポリシーは、データの取り扱い方針を示すものですが、技術面での絶対的な保証ではありません。サービスを評価する際は、収集する情報の範囲、保存目的、利用できるサポート窓口を確認し、宣伝文句だけで判断しないでください。サービスの利用に関係のない個人情報を、動作確認のために余分に送信することも避けましょう。

漏えいが判明した後の対応手順

サブスクリプションが漏えいした疑いがある場合は、まず共有を止め、公開した内容を削除してください。次に管理パネルで、サブスクリプションのリセットやトークン更新の機能があるか確認します。機能があれば認証情報を更新し、自分のデバイスに再インポートしてください。管理パネルに該当する項目がない場合は、チケットで状況を説明し、旧サブスクリプションとノードの認証情報を無効にする方法を確認しましょう。

スクリーンショットを削除したりパスワードを変更したりしただけで、問題が解決したと判断しないでください。ダウンロード済みの設定に有効なノード認証情報が残っている場合があります。古いサブスクリプションから設定を取得できるかどうかと、古いノード認証情報で接続できるかどうかも別の問題です。対応後は無効化された範囲を確認し、アカウントの通信量やログイン履歴で確認できる異常を調べましょう。根拠のない推測で、アカウントが使われたと断定しないでください。

アカウントのパスワードが漏えいした場合は、すぐに他と異なるパスワードへ変更し、管理パネルに機能があれば他のセッションを無効にしてください。同じパスワードを使い回していた他のアカウントも、それぞれ個別に対処する必要があります。不審なクライアントをインストールしたり、見知らぬ証明書を信頼する設定を許可したりした場合は、まず端末と不審な設定を確認・削除してください。その後、安全な環境で認証情報を更新し、新しいパスワードの再取得を防ぎましょう。