VPN初心者安全ガイド：アカウントとサブスクリプションURLの管理、公共Wi-Fi対策

初心者が知っておきたい、パスワード・サブスクリプションURL・設定ファイルの違い

このVPN初心者向け安全ガイドでは、よくある疑問に答えます。アカウントのパスワードは共有せず、サブスクリプションURLも認証情報として管理しましょう。公共Wi-Fiでは、プロキシに接続していても、サイトの正当性とアプリの接続状態を確認する必要があります。ネットワーク接続、アカウント権限、個人情報にはそれぞれ異なるリスクがあり、接続アイコンだけですべてを解決することはできません。

アカウント情報は通常、ユーザーパネルへのログインやプラン・端末設定・サポート依頼の管理に使います。サブスクリプションURLは、アプリがサーバー情報や関連設定を取得するためのものです。URL内のトークンによって設定を閲覧できる場合があり、アカウントのパスワードを再入力する必要がないこともあります。つまり、「URLだけでパスワードはない」からといって、公開してよいわけではありません。

画面が狭い場合は左右にスクロールしてご覧ください。エクスポート内容はアプリによって異なります。設定ファイルから機密情報が除かれているとは限りません。

アカウントの管理：専用パスワードと正規のアクセス先

ネットワークサービスには専用のパスワードを設定し、仕事用アカウントや通販サイト、ほかのサービスと使い回さないでください。パスワードマネージャーを使えば、長くランダムなパスワードを生成・保存でき、サイトのドメインに応じた入力先の確認にも役立ちます。自動入力されなくなった場合は、急いで現在のページに貼り付けるのではなく、まずアドレスを確認しましょう。

VPNOYでは、メールアドレスなしでユーザー名とパスワードを使ってアカウントを作成できます。作成後は、ユーザー名とパスワード、アカウント確認に必要な情報を保管してください。手続きが簡単でも、バックアップを省略しないようにしましょう。アカウントの復旧方法は、ユーザーパネルに実際に表示される手順に従ってください。メールでのパスワード再設定が必ず利用できるとは限りません。

正規サイトだと確認したアクセス先をブックマークし、見知らぬメッセージに含まれる短縮URLから毎回アクセスするのは避けましょう。ドメインを確認するときは、ページ上のブランド名だけでなく、ホスト名全体を見てください。ブラウザーに暗号化された接続と表示されても、証明書で保護されていることを示すだけで、目的のサービスのサイトだと保証するものではありません。

共有パソコンでは、パスワードを保存したり、ログイン状態を長期間維持したりしないでください。利用後はユーザーパネルからログアウトし、ダウンロードした設定ファイルやクリップボードの内容を削除しましょう。ブラウザーのプライベートウィンドウで減らせるのは、端末に残る一部の履歴です。ダウンロード済みファイルの保護や、アカウントからのログアウトの代わりにはなりません。

サブスクリプションURLの取り込み方法と、貼り付けてはいけない場所

正規のユーザーパネルで確認したサブスクリプションURLをコピーし、信頼できるアプリのサブスクリプション追加画面に貼り付けます。初回の設定はクイックスタートガイドをご覧ください。取り込み後、想定した設定が表示されることを確認したら、一時メモやチャットの下書き、クリップボードの履歴を削除しましょう。端末間のクリップボード同期によって、別の端末にも内容が共有される場合があります。

サブスクリプションURL全体を、検索エンジンや公開フォーラム、オンラインQRコード作成サービス、出所不明の変換サイトに入力しないでください。元のURLを読み取る必要がある変換サービスは、通常、URL内のトークンや取得した設定にもアクセスできます。変換が必要な場合は、信頼できるアプリのローカル機能を優先し、開発元や必要な権限を確認しましょう。

スクリーンショットで相談するときは、URL全体、QRコード、サーバーのパスワード、トークン欄を隠してください。URLの一部だけを隠しても十分ではありません。画面の別の場所に同じ認証情報が表示されていることがあります。設定ファイルを一般的なテキスト添付のように気軽に送らず、問題の特定に必要な箇所だけを共有しましょう。

Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUICなどは、アプリによって対応状況が異なります。ファイルの拡張子を変更するだけでは互換性を確保できません。取り込めない場合は、アプリが対応する形式とユーザーパネルの取り込み方法を確認してください。見知らぬサイトにURLを次々と渡して試すのは避けましょう。プロトコル名だけで安全性は判断できず、ソフトウェアの更新状況や設定、サーバー側の構成も重要です。

公共Wi-Fiの対策：ネットワークを確認してから接続を確かめる

公共ネットワークのリスクは、通信が暗号化されているかどうかだけではありません。偽のアクセスポイントやログインページ、証明書のインストールを促す画面は、プロキシに接続する前にも遭遇する可能性があります。施設のスタッフにネットワーク名を確認し、同じ名前のアクセスポイントが複数ある場合は、電波が強いだけで信頼できると判断しないでください。利用後は、そのネットワークへの自動接続をオフにしましょう。

ネットワークによっては、先に認証ページを開く必要があります。必要な接続確認だけを行い、身元を確認できないページにネットワークサービスのパスワードを入力しないでください。また、ポップアップの指示に従ってルート証明書、見知らぬアプリ、端末管理プロファイルをインストールしてはいけません。ブラウザーに証明書の警告が表示されたら、無視してログインを続けず、アクセスを中止してください。

1. アクセスポイントの提供元を確認し、不要なファイル共有や近くの端末の検出機能をオフにします。
2. ネットワーク認証が必要な場合は、認証ページが施設の案内と一致することを確認してから、必要な操作を行います。
3. 信頼できるアプリを開き、設定が読み込まれて接続できていることと、現在のルーティングモードを確認します。
4. 目的のサイトにアクセスするときは、ドメインと証明書の状態を確認し、出所不明のページから機密性の高い操作を行わないようにします。
5. ネットワークの切り替え後や端末のスリープ解除後は、接続状態を改めて確認します。以前の状態がそのまま続くとは限りません。

HTTPSはブラウザーとアクセス先の間の通信内容を保護しますが、利用者がフィッシングサイトにパスワードを入力することまでは防げません。プロキシやVPNは対象経路上の通信を保護できますが、Webページが信頼できるかどうかを代わりに判断するものではありません。信頼性を確認できないアクセスポイントでは、機密性の高い操作を控え、信頼できるネットワークに切り替えるのが安全です。

送信元IP・DNS・ルーティングルールの確認方法

接続後はIPアドレス確認ページで、現在のブラウザーリクエストの送信元を確認できます。送信元が変われば、そのリクエストが別の経路を通ったことは分かりますが、すべてのアプリがプロキシを経由している証明にはなりません。DNSリクエストやほかの接続が別経路を通っていないとも限りません。確認時は、ブラウザー、アプリのモード、実際に使うアプリをあわせてチェックしましょう。

ルールモードでは、ドメインやアドレス、プロセスなどの条件に応じて接続経路が決まります。意図的な直接接続ルールを、すべて漏えいと呼ぶべきではありません。DNSリークとは通常、保護された経路で処理されるはずの名前解決リクエストが、別のDNSリゾルバーに送信されることを指します。判断する前に、使用中のアプリのDNS処理方法、システム設定、ブラウザーの暗号化DNS設定を確認してください。

WindowsやmacOSのシステムプロキシ設定に対応しないアプリもあり、独自のネットワーク設定を持つ場合があります。Androidでは、アプリごとの設定で一部のアプリが明示的に対象外になることがあります。iOSのルーティング動作は、アプリの実装と設定によって異なります。ほかのOSの設定名をそのまま当てはめたり、ネットワークを制御するツールを複数同時に有効にして、アイコンだけで結果を判断したりしないでください。

特定のアプリが直接接続している場合は、ルールの適用状況、アプリの除外設定、アプリのログを確認してから、経路を変更するか判断しましょう。TUNなどの通信制御モードに対応していても、検証を省略してよいわけではありません。切断時の通信遮断機能がある場合は、説明を読んだうえで、機密性の低い操作で動作を確認してください。どのソフトウェアにも同じ保護機能があるとは限りません。

URLが漏えいしたら、認証情報の種類に応じて対処する

サブスクリプションURLを公開グループやコードリポジトリ、サポート依頼のスクリーンショットに投稿した場合は、第三者に読み取られた可能性があるものとして対応してください。投稿を削除すれば拡散を抑えられますが、保存されたコピーまでは回収できません。まずユーザーパネルにサブスクリプションのリセットやトークン更新の項目があるか確認します。明確な方法が見つからない場合は、ユーザーパネルからサポート依頼を送り、元のURLを何度も送信しないでください。

1. 公開した内容を削除し、漏えいした場所と情報の種類を記録して、後から確認できるようにします。
2. サービスで利用できる機能に応じて、サブスクリプションの認証情報を更新し、古いURLが無効になったことを確認します。
3. 自分の端末を新しいサブスクリプションに更新し、自動更新が古いURLを参照していないか確認します。
4. パスワードも漏えいした場合は、アカウントのパスワードを変更します。セッション管理機能があれば、ほかのセッションからもログアウトしてください。
5. 不審な通信やアカウントの変更がないか確認し、不明点があれば機密情報を伏せてサポートに問い合わせます。

パスワードの変更とサブスクリプションのリセットは別の操作です。サービスによってはサブスクリプション専用のトークンを使っており、パスワードを変更しても古いURLが無効にならない場合があります。反対に、サブスクリプションをリセットしても、ログイン中のユーザーパネルのセッションが無効にならないことがあります。どちらも個別に確認し、一方だけで対処を終えないようにしましょう。

問い合わせ時と日常利用時の安全チェック

サポートに問い合わせる際は、OSとアプリの名称、エラーメッセージ、発生状況、機密情報を伏せたログを伝えられます。アカウントのパスワード、サブスクリプションURL全体、問題に関係のない個人情報は送らないでください。診断に必要な範囲を明らかに超える情報を求められた場合は、正規サイトから依頼元を確認しましょう。

• ✅ 信頼できる配布元からアプリを入手し、OSとソフトウェアを最新の状態に保ちます。見知らぬメッセージに添付された改変版はインストールしません。
• ✅ パスワードは他と使い回さず、サブスクリプションURL、QRコード、設定のバックアップは機密情報として扱います。
• ✅ 問い合わせ前にスクリーンショットやログを確認し、トークン、パスワード、個人を特定できる情報を隠します。
• ✅ ネットワークを切り替えた後は接続状態を再確認し、保護が必要なアプリがルーティング対象から除外されていないか確認します。
• ❌ ブランド表示や暗号化接続のアイコンだけを見て、ドメインの確認を省略しないでください。
• ❌ 量子暗号、専用回線、プロトコル名を、フィッシング対策やアカウント保護の代わりにしないでください。

IEPL専用回線、中継、直接接続は回線の構成方法を表し、主に通信経路や利用時の性能に関わります。サブスクリプションURLが認証情報であることは変わりません。VPNOYは量子暗号を採用していますが、アカウント情報や設定を適切に管理する必要があります。通信が暗号化されていても、端末がマルウェアから守られるわけではなく、自分で入力した情報がサイトに収集されないという意味でもありません。