このVPN初心者向け安全ガイドでは、まず具体的な注意点を確認します。サブスクリプションURLは認証情報として管理し、公衆Wi-Fiは接続元を確かめてからVPNに接続しましょう。追加情報を求められたら用途を確認し、「ネットワークの修復」といった表示を理由にパスワードを渡したり、証明書をインストールしたりしないでください。接続できたことが示すのは通信経路が確立したことだけで、すべてのアプリがその経路を使うことや、閲覧先の安全性を保証するものではありません。

守るべきものは、アカウント、クライアント設定、そして実際のアクセスです。アカウントのパスワードが漏れると、第三者が管理画面に入るおそれがあります。パスワードが知られていなくても、サブスクリプションURLが漏れると、相手に接続設定を取得される可能性があります。偽サイトにアクセスすれば、ログイン情報を攻撃者に直接渡してしまうこともあります。それぞれ必要な対処は異なります。

サブスクリプションURLを公開してはいけない理由

サブスクリプションURLは、一般的なサービス紹介ページのURLとは異なります。クライアントはこのURLからサーバーアドレスや接続パラメーター、認証情報を取得します。URLにはアカウント権限を識別するトークンが含まれていることもあります。多くのサブスクリプション機能はURL自体で認証するため、更新のたびに管理画面のパスワードを求めません。つまり、「パスワードを知られていない」だけでは、漏えいしたURLを守れません。

QRコードも、より安全な形式というわけではありません。完全なサブスクリプションURLや個別のノード設定がそのまま含まれている場合があります。グループにスクリーンショットを投稿したり、チュートリアル動画にQRコードを映したり、見知らぬ相手にインポート画面を見せたりすると、同じ認証情報が漏れる可能性があります。ノード名や地域は通常、重要な秘密情報ではありません。隠すべきなのは、設定の取得や認証に使える情報です。

ファイル名だけでなく、情報の用途で判断する
情報 含まれる可能性のある内容 推奨する取り扱い
管理画面のアカウントとパスワード アカウントへのログイン権限 他サービスと異なるパスワードを使い、信頼できるパスワード管理ツールに保存する
サブスクリプションURL、サブスクリプションQRコード 設定の取得権限とアカウントトークン 選んだクライアントだけに渡し、公開・転送しない
ノード共有URL、設定ファイル サーバーアドレス、鍵、認証パラメーター 認証情報として保護し、調査前に個人情報などを伏せたコピーを作る
診断ログ、エラー画面のスクリーンショット アクセス先ドメイン、ローカルパス、サブスクリプションURL 内容を確認し、障害に関係する部分だけを提出する

保管には、保護されたパスワード保管庫や端末内の安全なストレージを利用しましょう。公開メモや共有ドキュメント、複数人で使うクリップボードへの保存は避けてください。サブスクリプションURLをコピーした後は、クリップボードの履歴や端末間同期にも注意が必要です。現在の内容を消去しても、別の端末に保存された履歴まで消えるとは限りません。

クライアントの入手元から設定のインポート権限まで

まず、管理画面に用意されたリンクか、クライアントの公式配布元からソフトウェアを入手し、配布元と対応プラットフォームを確認します。検索結果に出てくる同名アプリ、フォーラムの添付ファイル、第三者が再パッケージしたインストーラーは、アイコンやファイル名だけで安全な入手元とは判断できません。VPNGotのクライアントとサブスクリプションの入口はログイン後に利用できます。iOSのダウンロードリンクには有効なプランが必要です。詳しくは初心者向けガイドをご覧ください。

インポートする前に、クライアントが設定で使われているプロトコルに対応しているか確認しましょう。Shadowsocks、VMess、Trojan、VLESSなどのプロトコル名が同じでも、異なるクライアントで共通して使えるとは限りません。サブスクリプションファイルの形式も異なる場合があります。「対応していない設定」と表示されたら、クライアントのドキュメントと管理画面の案内を確認してください。同じURLを正体不明のサイトに何度も入力するのは避けましょう。

オンラインのサブスクリプション変換を利用すると、元のURLを変換サービス側に渡すことになります。変換後に接続できても、サービス側がデータをどう扱うかは分かりません。まずはサービスが提供する互換性のある入口を利用してください。変換が必要な場合は、どこで処理されるのか、ツールの入手元は信頼できるかを確認しましょう。

OSに表示されるVPN設定の許可は、クライアントがネットワークトンネルを作成するためのもので、一般的な手順です。一方、連絡先の読み取り、写真へのアクセス、リモート操作の有効化は、通常、サブスクリプションのインポートに必要ありません。権限の名称はプラットフォームによって異なるため、許可の説明をよく読み、すべての確認画面で一律に許可しないでください。

ルート証明書のインストールには、特に注意が必要です。ルート証明書を追加すると、暗号化接続に対する端末の信頼判断が変わる可能性があります。通常のサブスクリプションインポートで必要となるものではありません。組織のネットワークやデバッグ環境で必要な理由を明確に理解している場合を除き、エラーを消すために見知らぬ証明書をインストールしたり、クライアントのサーバー証明書検証を無効にしたりしないでください。

公衆Wi-Fiへの接続手順

ホテルやカフェ、駅のネットワークは、名称を偽装されている場合があります。現地の案内表示やスタッフに確認して正しいネットワーク名を確かめ、自動接続が不要ならオフにしましょう。電波が強いからといって、安全なネットワークとは限りません。接続元を確認できないネットワークでは、重要な操作を控えるか、信頼できるネットワークに切り替えてください。

  1. 必要な接続認証を済ませます。公衆Wi-Fiによっては、認証ページを開いてからでないとインターネットに接続できません。その場合は接続に必要な手続きだけを行い、ついでに重要なアカウントへログインしないでください。接続に関係のないアカウントのパスワードを求められたり、証明書のインストールを要求されたりしたら、中止して確認しましょう。
  2. インターネットに接続してからクライアントを起動します。設定を選んで接続を確認し、システムプロキシ、アプリごとのプロキシ、トンネルモードのどれが使われているかを確認します。「クライアントが起動中」だからといって、「通信がすべてVPNを経由している」とは限りません。
  3. その後、目的のWebサイトを開きます。ドメイン名が正しいことと、HTTPSで接続していることを確認してください。証明書エラーが表示されたら操作を止め、VPNに接続しているからといってブラウザーの警告を無視しないでください。
  4. 利用場所を離れたら自動接続の設定を見直します。使わなくなったWi-Fiから切断し、必要に応じて保存済みネットワークを削除します。端末の共有機能やデバイス検出機能が、その環境に適しているかも確認しましょう。

VPNは、トンネルを通る通信が端末とサーバーの間を移動する際の保護には役立ちますが、フィッシングサイトを見分けてくれるわけではなく、信頼できないサイトを安全に変えるものでもありません。HTTPSも引き続き重要です。VPNの接続先から通信が出た後も、目的のサイトとの暗号化接続がアプリの内容を保護します。

公衆ネットワークが頻繁に切断される場合は、ステータスバーのアイコンだけで判断しないでください。クライアントによっては、切断時の保護機能やOSの常時接続設定がありますが、対応状況や例外ルールはプラットフォームごとに異なります。これらの機能を頼りにする場合は、切断後に実際どう動作するかをテストしてください。有効かどうか分からない場合は、重要な操作をいったん中断しましょう。

ルーティングルールとDNSの確認方法

ルーティングルールによって、どのリクエストをプロキシ経由にし、どれを直接接続するかが決まります。システムプロキシが影響するのは、通常、プロキシ設定に従うアプリだけです。トンネルモードではより広い範囲の通信を経由させられますが、除外設定が残っている場合もあります。ブラウザーで目的のサイトを開けても、バックグラウンド同期やダウンロードツールなど、ほかのアプリも同じ経路を使っているとは限りません。

DNSはドメイン名をIPアドレスに変換します。一般にDNSリークとは、保護された経路を通ると想定していた名前解決のリクエストが、実際にはローカルネットワークなど別の経路を通る状態を指します。DNSの経路と出口IPは別々に確認する必要があります。出口の地域が想定どおりでも、名前解決の経路まで正しいとは限りません。

まずクライアントのDNSとルーティングに関する説明を確認し、信頼できる検査ページで接続前後の出口とDNSリゾルバーを比較します。検査結果に表示されるのは通常、リゾルバーのアドレスや運営主体であり、通信経路全体を直接示すものではありません。ブラウザーのセキュアDNS、システムのキャッシュ、アプリ独自の名前解決方式も結果に影響する可能性があります。

  • ✅ 現在の設定とルーティングモードを確認し、保護したいアプリが直接接続やバイパスの対象になっていないか確認する。
  • ✅ 出口とDNSの検査結果を比較し、地域名だけで判断せずクライアントのログも確認する。
  • ✅ 端末とクライアントのIPv6対応を確認し、特定のアドレス経路だけを検証することのないようにする。
  • ❌ 検査で見慣れないDNSリゾルバーが表示されても、すぐにサービスが通信内容を盗み見ていると決めつけず、まずブラウザーとシステムの設定を確認する。

設定を変更する場合は、一度に一項目だけ変更し、再接続してから確認してください。複数のプロキシクライアントやブラウザー拡張、DNS変更ツールをむやみに併用すると、通信経路の把握が難しくなります。使える設定を控えておけば、ツールを次々と入れ替えるよりも原因を調べやすくなります。

安易に入力しないほうがよい情報

まず、アカウントの作成、支払い、トラブルサポートで必要な情報を分けて考えましょう。VPNGotではメールアドレスは不要で、ユーザー名とパスワードでアカウントを作成できます。ユーザー名に公開しているSNSの名前を使う必要はありません。また、ほかのサイトと同じパスワードを使わないでください。不要な個人情報を提供しないことで、異なるアカウントが結び付けられるリスクを抑えられます。

支払いは管理画面で案内されている方法を利用してください。VPNGotはAlipay、WeChat、USDTに対応しています。「回線有効化フォーム」などと称するページに、決済アカウントのパスワードや取引承認用のパスワード、ウォレットのリカバリーフレーズを入力しないでください。支払い証明のスクリーンショットには、実名やアカウント情報が含まれる場合があります。提出前に、確認に不要な情報を隠しましょう。

サポート担当者から端末の遠隔操作やパスワード保管庫のエクスポート、サブスクリプションURL全体の送信を求められても、表示名だけで相手を信用しないでください。まず、公式サイト内の管理画面のサポートチケットから本人確認を行いましょう。問い合わせには、利用端末のプラットフォーム、クライアントのバージョン、エラー表示、発生状況、試した操作を記載すれば十分です。設定一式を最初から渡す必要はありません。

匿名・ノーログはVPNGotのプライバシーポリシーに関する説明であり、あらゆる個人情報の紐付けが防げるという保証ではありません。アクセス先のサイトは、ログインアカウント、Cookie、端末の特徴などから利用者を識別する場合があります。また、端末内のマルウェアはVPN接続では対処できません。アカウントの保護、ブラウザーの設定、ソフトウェアの更新もそれぞれ行いましょう。

URLが漏えいした場合の対処

サブスクリプションURLを公開してしまった場合は、まず公開された内容を削除し、その後で認証情報を無効化しましょう。投稿を取り消しても、誰もコピーを保存していないとは限りません。管理画面にサブスクリプションのリセットや古いトークンの失効機能があるか確認してください。機能があれば案内に従って失効させ、古いURLから設定を取得できないことを確かめます。

管理画面に該当する機能がない場合は、サポートチケットで状況を説明し、失効方法と既存ノードの認証情報も更新すべきか確認してください。ログインパスワードを変更しても古いサブスクリプションが無効になるとは限りません。また、サブスクリプションURLを変更しても、すでにダウンロードされたノード設定がすぐに無効になるとは限りません。それぞれ個別に確認が必要です。

その後、各端末でサブスクリプションを更新し、古い設定と不要な共有コピーを削除します。パスワードも公開された、または使い回していた場合は、関連アカウントのパスワードも変更してください。管理画面にセッション管理機能がある場合は、ログイン中のセッションも確認しましょう。通信量の異常は調査の手掛かりにはなりますが、増加しただけで不正利用があったとは断定できません。

まとめ：まず認証情報を守り、通信経路を確認しましょう。サブスクリプションURLやQRコードは認証情報として管理します。公衆ネットワークは接続元を確認してから利用し、情報の入力を求められたら用途を確かめてください。漏えいが起きた場合は、古い権限を失効させて設定を更新することが重要です。スクリーンショットの削除や接続先の変更だけでは不十分です。

日常的に使うために、ツールを何度も切り替える必要はありません。クライアントとOSを最新の状態に保ち、設定の入手元を把握し、通信経路を説明できるようにして、問題が起きたときに権限を取り消す方法を知っておくことが、初心者でも続けやすい安全対策です。