VPN初心者向けセキュリティガイド：サブスクリプションURL・公衆Wi-Fi・個人情報

アカウント情報とサブスクリプションURLは別々に管理する

アカウント情報はユーザーパネルへのログインに使い、サブスクリプションURLは通常、クライアントにノード設定を取得させるために使います。URLにアカウントを識別するトークンが含まれている場合、入手した人がパネルにログインせず設定を取得し、関連リソースを利用できる可能性があります。誰にでも共有できる一般的なURLではなく、認証情報として管理してください。

サブスクリプショントークン、ノード認証情報、更新権限の仕組みはサービスごとに異なります。「パスワードを変更すれば古いサブスクリプションが必ず無効になる」とは限りません。また、クライアントから設定を削除しても、サーバー側で失効させたことにはなりません。漏えい後の対応は、パネルで利用できる機能とサポート窓口への確認に基づいて行ってください。

パスワードを設定する際、他のWebサイトと同じものは使わないでください。パスワード管理ツールで生成できる場合は、専用のパスワードを作成して保存しましょう。共用パソコンでは、ブラウザーにログイン情報を記憶させないようにします。操作後はパネルからログアウトし、端末にダウンロードした設定ファイルも削除してください。タブを閉じるだけでは、ログイン状態が終了しないことがあります。

クライアントへのインポート：入手元を確認してから権限を許可

クライアントをインストールする際は、サービスの公式案内からプロジェクトの配布ページやアプリストアにアクセスし、開発者名とプロジェクト名を確認してください。検索結果の広告、チャットグループで転送されたインストーラー、名称が似たアプリは、アイコンが同じというだけで信頼できるとは限りません。VPNCJのクライアントとサブスクリプションは、ユーザーパネルのダウンロードページから確認できます。閲覧にはログインが必要です。

Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUICは、それぞれ異なるプロキシプロトコルまたは方式です。クライアントによって対応範囲は異なります。サブスクリプションを読み込めても、すべてのノードが正常に使えるとは限りません。クライアントのコア、バージョン、設定形式を確認し、「自動修復」を試すためにサブスクリプション全体を見知らぬサイトへ送らないでください。

特に注意したいのが、オンラインのサブスクリプション変換ツールです。変換サービスにURL全体を渡すと、設定を読み取られる可能性があります。変換が必要な場合は、ツールの動作方法とデータの送信先を事前に確認してください。信頼できるクライアントに直接インポートできるなら、余計な中継サービスを挟む必要はありません。

1. 公式案内からクライアントのダウンロードページを開き、配布元と対応OSを確認します。
2. 自分のパネルでサブスクリプションをコピーし、信頼できるクライアントに直接インポートします。公開メモやチャットグループを経由させないでください。
3. ドキュメントに従ってVPN接続に必要なシステム権限を許可し、許可内容を確認します。目的が不明な権限までまとめて許可しないでください。
4. 設定が反映されたことと、選択したノードに対応していることを確認してから、想定したルールモードで接続します。
5. インポート後、不要になった一時的なスクリーンショットやエクスポートファイルを削除し、クリップボードの履歴にURLが残っていないか確認します。

モバイル端末でVPNの許可を求められた場合、多くはアプリによるネットワークインターフェースの作成を許可するものです。サービスのプライバシーポリシーをシステムが保証するものではありません。デスクトップクライアントのシステムプロキシは、プロキシ設定に従うアプリだけに影響する場合があります。TUNモードはより多くの通信を扱えますが、ルーティング、除外設定、実装によって範囲が異なります。ステータスバーのアイコンだけで、すべてのアプリの通信経路を判断しないでください。

公衆Wi-Fi：ネットワークを確認してから、機密性の高い操作を行う

公衆Wi-Fiのリスクは、通信内容だけではありません。偽のアクセスポイント、偽のログインページ、設定のインストールを促す案内にも注意が必要です。施設のスタッフにネットワーク名と接続方法を確認し、不要な自動接続をオフにしてください。見覚えのあるネットワーク名でも、以前と同じ運営者が提供しているとは限りません。

ネットワークによっては、インターネットに接続する前にポータル画面で利用規約への同意が必要です。認証が済んでいないと、クライアントが接続できない場合があります。その場合は支払いやパスワード変更などの操作をいったん中断し、必要なネットワーク認証を済ませてから接続してください。ポータル画面でルート証明書、不明な構成プロファイル、リモート操作ツールのインストールを求められても、通常の接続手順として続行しないでください。

HTTPSはブラウザーと接続先サイト間の通信を保護しますが、サイト運営者の信頼性を保証するものではなく、フィッシングサイトによる情報収集を防ぐものでもありません。証明書エラーが表示されたら、警告を無視せず、URL、システム時刻、ネットワークの状態を確認してください。通信を暗号化しても、偽サイトに自分で入力した情報は守れません。

• ✅ アクセスポイントの提供元を確認し、ページのタイトルやロゴだけでなく、ブラウザーに表示された実際のドメインを確認する。
• ✅ クライアントの接続が安定してから機密性の高い操作を行う。接続が切れたら、情報の送信をいったん止める。
• ✅ システムで設定できる場合は、不要なファイル共有、ネットワーク探索、受信機能をオフにする。
• ❌ アクセスポイントの認証を通過するために、入手元不明の証明書、構成プロファイル、ツールをインストールしない。
• ❌ ブラウザーの証明書警告を、無視してよい通常の通知として扱わない。

分割トンネルとDNS：接続済みでも、すべての通信が同じ経路を通るとは限らない

分割トンネルのルールでは、どの通信を直接接続し、どれをプロキシに通し、どれを拒否するかを決めます。ルールモードで一部のWebサイトがローカルネットワークを経由するのは、想定どおりの場合もあり、ただちに不具合とはいえません。一方、グローバルプロキシを選択しても、名前だけですべてのアプリがプロキシを通るとは判断できません。各アプリがシステム設定に従うか、迂回ルールがあるかを確認してください。

DNSはドメイン名をネットワーク上のアドレスに変換します。一般にDNSリークとは、名前解決のリクエストが想定した保護経路を通らず、意図しないDNSサービスへ送信されることです。関係するネットワーク事業者に検索したドメインが見える可能性はありますが、それだけでHTTPSの通信内容まで解読されたことにはなりません。クライアント、システム、ブラウザーの暗号化DNS、アプリ内蔵のDNSが、それぞれ処理に関わる場合があります。

確認する前に、まず期待する動作を明確にします。対象アプリの通信はプロキシ経由か直接接続か、DNSはどこで処理するかを整理してください。そのうえで、クライアントの現在の設定、ルールの適用記録、信頼できる検査ツールの結果を確認します。ブラウザーの出口検査で分かるのは、その時点でのブラウザーのリクエストだけです。DNS検査も、使用するDNSサービスやルールと合わせて判断し、見慣れない名称だけで結論を出さないでください。

設定が想定と異なる場合は、まずクライアントの公式ドキュメントを確認してください。入手元が不明なルール一式を安易に貼り付けないようにしましょう。変更後は対象アプリを再テストし、IPv6などの経路も想定どおりか確認します。トラブルシューティング用のスクリーンショットには必要な項目だけを残し、ログ全体を公開の掲示板にアップロードしないでください。

個人情報：手続きに必要な情報だけを提供する

情報を入力する前に、何の手続きに使うのか、誰が受け取るのか、本当に必要なのかを確認してください。VPNCJの利用登録にメールアドレスは不要で、ユーザー名とパスワードで登録できます。プロフィールを埋めるためだけに、サービスの利用と関係のない身元、勤務先、住所、身分証明書の写真を自分から提供しないでください。

サポートに問い合わせる際は、まずOS、クライアント、エラーメッセージ、問題が起きた操作、おおまかな状況を伝えます。追加資料が必要になった場合は、対象範囲を確認してください。ログにはドメイン、トークン、端末名、ローカルパスが含まれることがあります。スクリーンショットにはブラウザーのタブ、アカウント残高、別のセッションが写る場合もあるため、送信前に一つずつ確認しましょう。

プライバシーポリシーと暗号化プロトコルが説明する内容は異なります。プロトコルは通信の仕組みを扱い、ポリシーはサービスによるデータの取り扱いを説明します。ポリシーを読む際は、収集する情報の範囲、利用目的、保存方法、共有先、問い合わせ窓口を確認してください。「ログを保存しない」といった記載があっても、適用範囲を確認し、あらゆる状況で個人を特定されない保証だと解釈しないでください。

サブスクリプションURLの漏えいは、認証情報の種類に応じて対処する

URLを誤ってグループに送信した、スクリーンショットが公開ページに載った、信頼できないツールにサブスクリプションを渡したと気づいたら、まずそれ以上の拡散を止めてください。メッセージを削除すれば、その後の露出は減らせますが、すでに保存されたコピーまでは回収できません。公開ページから内容が見えなくなっただけで、対応が完了したと考えないでください。

1. 公開内容を取り下げる。該当するメッセージ、共有ファイル、スクリーンショットを削除し、誰でもアクセスできるバックアップがないか確認します。
2. 漏えいした情報の範囲を確認する。パネルのパスワード、サブスクリプショントークン、ノード認証情報、ログを区別し、一部だけでなく該当する情報すべてに対処します。
3. 公式窓口から失効または再発行する。パネルにサブスクリプションのリセットや失効機能があるか確認します。不明な場合はサポートに連絡し、古い認証情報を無効にする方法を確認してください。
4. 自分の端末を更新する。新しい認証情報を取得したら再インポートし、古い設定や自動更新タスクを確認して、以前のURLを使い続けないようにします。
5. ログイン経路を見直す。パスワードも漏えいした場合は変更し、パネルにセッション管理機能があれば確認します。パスワードの変更ですべての認証情報が自動的に失効するとは限りません。

普段から設定を何度も変更する必要はありません。信頼できる入手元を使い、OSとクライアントを最新の状態に保ち、共有前に機密情報を確認するほうが、ノードを頻繁に切り替えるより直接的なリスク軽減につながります。具体的な設定方法は使い方ガイドで確認できます。権限や失効方法が分からない場合は、ヘルプセンターをご覧ください。