このVPN初心者向けセキュリティガイドでは、アカウント情報、サブスクリプションURL、公共Wi-Fiの対策で何を優先すべきかを解説します。まず認証情報を守り、次にクライアントの信頼性を確認し、最後に通信経路を検証しましょう。接続成功の表示は接続が確立したことを示すだけで、すべてのアプリがプロキシ経由で通信しているとは限りません。また、接続先サイトの本人確認にもなりません。
アカウント情報とサブスクリプションURL：用途の異なる認証情報
管理画面のパスワードはアカウントへのログインに使い、サブスクリプションURLはクライアントに接続設定を読み込ませるために使います。用途は異なりますが、どちらも秘密にしておく必要があります。サブスクリプションURLにトークンが含まれている場合があり、取得できる設定情報にサーバー認証情報が含まれることもあります。URLを知った人が別の端末に設定を読み込んでサービスを利用できる可能性がありますが、具体的な範囲はサービス側の認証情報の設計によります。
そのため、サブスクリプションURLを気軽に転送してよいインストール案内のページと考えてはいけません。公開チャットやオンライン変換ツール、検索欄に貼り付けないでください。誰かに相談するためスクリーンショットを送る場合は、アカウント名だけでなく、URL全体、QRコード、サーバー認証情報も隠してください。QRコードは情報を別の形式で表したものにすぎず、撮影画像から認証情報を読み取られる可能性があります。
管理画面には、普段使うメールやショッピングサイトとは別のパスワードを設定しましょう。信頼できるパスワードマネージャーに保存し、そのマネージャー自体のロック解除情報も適切に管理してください。共有パソコンではログイン状態を保存せず、管理画面からログアウトした後、ダウンロードファイルやクリップボードの履歴、ブラウザーの履歴に設定情報が残っていないか確認しましょう。
クライアントの入手元と権限：設定を読み込む前に確認
まずサイトの管理画面からクライアントの案内先を開き、ダウンロードページとソフトウェアの提供元を確認します。検索結果に表示された同名のインストーラーを公式版と決めつけたり、チャットの添付ファイルにある「修復ツール」を実行したりしないでください。VPNGiftのダウンロード先は管理画面にあります。サブスクリプションの取得にはログインが必要です。iOS以外ではログイン後にクライアントを取得できます。iOSの案内先は有効なプランがある場合に利用できます。
プラットフォームによって権限の仕組みは異なります。Windowsのクライアントはシステムプロキシを使う場合もあれば、追加権限が必要な仮想ネットワークアダプターを使う場合もあります。macOSではネットワーク設定の追加やネットワーク拡張の有効化を求められることがあります。AndroidやiOSのクライアントは、システムのVPNインターフェースを利用する場合があります。システムの許可ダイアログが表示されても、インストール元が正規だと確認されたわけではありません。アプリの提供元も確認しましょう。
- インストーラーが管理画面から案内された配布元のものか確認し、システムに表示される発行元と警告内容を確認します。
- クライアントの説明に基づいてネットワーク関連の権限を許可し、用途を説明できない権限は許可しないでください。
- サブスクリプションの読み込みはクライアント内の機能を使い、不明なオンライン変換サービスにURLを渡さないでください。
- 読み込み後に設定を更新して接続先を選び、プロキシモードとルールが用途に合っているか確認します。
- 見分けやすい設定名を付け、使わなくなった古い設定は削除して、知らないサブスクリプションへの誤接続を防ぎましょう。
システムプロキシと仮想ネットワークアダプターは、同じ機能として扱えません。前者は通常、アプリがプロキシ設定に従うことを前提としており、一部のアプリは迂回する場合があります。後者はより多くの通信を取り込めますが、ルーティングや除外設定、クライアントの実装に左右されます。メニュー名が似ていても、プラットフォームごとに対象範囲が完全に同じとは限りません。
公共Wi-Fi：暗号化接続で守られる範囲
ホテルやカフェ、空港のネットワークでまず注意したいのは、接続先の正当性を確認しにくいことです。同じ名前のアクセスポイントが施設の提供とは限りません。接続する前に施設へネットワーク名と認証方法を確認し、似た名前のアクセスポイントに端末が自動接続しないようにしましょう。認証ページが表示された場合は、接続に必要な操作だけを行い、VPNの管理画面パスワードや他のサイトのパスワードは入力しないでください。
公共ネットワークの運営者や同じネットワーク上の攻撃者が、一部の通信を監視、遮断、妨害する可能性があります。証明書が正しく検証されたHTTPSは、アプリと接続先サイトの間の通信内容を保護します。VPNやプロキシのトンネルは、端末から対応する出口まで、その経路を通る通信を保護します。保護する範囲は異なるため併用できますが、偽サイトに自分でパスワードを入力してしまうことは防げません。
証明書エラーが出る、ルート証明書のインストールを求められる、または接続のためにシステムのセキュリティチェックを無効にするよう求められた場合は、機密情報を扱う操作を中断してください。VPNを使っても、正しくない証明書が信頼できるものに変わるわけではありません。ブラウザーの鍵マークは通信が暗号化されていることを示すだけで、サイト運営者の信頼性を保証しません。ログイン前にはページ上のロゴだけでなく、ドメイン名全体を確認しましょう。
- ✅ 接続前にアクセスポイントの正当性を確認し、利用後は不要な自動接続設定をオフにする。
- ✅ システムで設定できる場合は公共ネットワーク用の設定を使い、不要なファイル共有とデバイス検出をオフにする。
- ✅ 接続と接続先ドメインを確認してから、決済やアカウント変更などの重要な操作を行う。
- ❌ 証明書の警告を無視しない。不明な認証ページの指示に従って証明書や構成プロファイルをインストールしない。
DNSとスプリットトンネル：接続後に確認すること
DNSはドメイン名をネットワークアドレスに変換します。DNS漏えいとは一般に、DNS問い合わせが想定した経路を通らず、関与を望まないネットワーク事業者などに伝わることを指します。プロキシを有効にしても、システムのDNS設定が自動で変わるとは限りません。ブラウザー内蔵の暗号化DNS、クライアントの名前解決設定、スプリットトンネルのルール、システムキャッシュなどが実際の結果に影響します。
確認にはクライアントのログ、ルールの適用記録、信頼できる検査ツールを組み合わせましょう。検査ページに表示されたDNSリゾルバーが想定と異なる場合は、さらに調べる必要があります。ただし、リゾルバーの所在地と出口の所在地が異なるだけでは、DNS漏えいの証拠にはなりません。暗号化DNSを使っても、DNS通信がVPNのトンネルに入っているとは限らず、ローカルネットワーク経由でリゾルバーに接続している場合があります。
| 確認項目 | 考えられる状態 | 次に確認すること |
|---|---|---|
| ブラウザーの出口が変わった | 現在のブラウザー通信は対応する出口を経由している | 他のアプリの通信経路も確認する |
| 一部のアプリが直接接続している | アプリがシステムプロキシを使わないか、直接接続ルールが適用されている可能性がある | ルールのログ、アプリの設定、仮想ネットワークアダプターのモードを確認する |
| DNSリゾルバーが想定と異なる | 名前解決の経路が設定と異なる可能性がある | システム、ブラウザー、クライアントのDNS設定を確認する |
| 切断後もアプリが通信を続ける | ローカルネットワークへのフォールバックが許可されている可能性がある | 通信遮断機能を確認し、実際に切断して挙動をテストする |
スプリットトンネルは、ドメイン、アドレス、アプリに応じて通信経路を選ぶ機能です。ローカルサービスへの直接接続は想定どおりの場合があり、すべての直接接続を漏えいとみなすべきではありません。重要なのは、機密情報を扱うアプリが予定外の経路を通っていないかです。出口の確認はVPNGiftのIPアドレス確認ページから始められますが、ウェブページの結果が示すのはそのときのウェブ通信だけで、端末全体の通信状況ではありません。
クライアントに接続切断時の通信遮断機能がある場合は、適用範囲を確認してから接続を切り、対象アプリが通信を続けられるか試してください。スイッチの名称だけで効果を判断しないでください。業務用端末では組織が設定したネットワークポリシーが適用されている場合もあります。DNSやルーティングを変更する前に、管理者の指示に従いましょう。
プロトコルと回線：名称だけで判断しない
Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUICはそれぞれ異なるプロキシプロトコルまたはプロトコル体系であり、プライバシーの安全度を示すラベルではありません。サブスクリプションに含まれるプロトコルと必要なパラメーターにクライアントが対応していなければ、正しく接続できません。VLESS自体には通信を暗号化する機能がないため、実際に使うトランスポート層のセキュリティ設定も確認が必要です。プロトコル名だけで通信全体が暗号化されると判断しないでください。
同様に、IEPL専用線、中継、直接接続は主に回線の構成方法を表します。IEPLは通常、国際イーサネット専用線を指します。中継では追加の転送ノードを経由し、直接接続では通常、サービス事業者が別途設けた入口の中継を経由しません。こうした構成は経路や使用感に影響しますが、サーバー側で認証情報をどう保管しているか、ログを保存するか、クライアントがDNSを正しく処理するかを単独で証明するものではありません。
選ぶ際は、通信設定、クライアントの入手元、プライバシーポリシー、実際の経路をそれぞれ確認しましょう。サービスがノーログ方針を掲げている場合は、適用範囲や例外、アカウントデータの取り扱いを確認してください。ノーログ方針が、接続先サイトからログインユーザーを特定できなくするという意味ではありません。ログインアカウント、ブラウザーの識別情報、決済記録は、それぞれ別の情報です。
登録と決済：アカウント情報と取引情報を分けて考える
VPNGiftの利用にメールアドレスは不要です。利用開始時に提供する情報を減らせる一方、アカウントの認証情報は自分で適切に保管し、事前に管理画面のアカウント復旧方法を確認しておきましょう。覚えやすさを優先して公開ニックネームをパスワードに使ったり、複数人が編集できる共有ドキュメントにアカウント情報を保存したりしないでください。
決済の際は管理画面から注文手続きに進み、支払先、プラン、金額を確認してください。決済事業者が取引処理のために扱う情報と、サブスクリプションをクライアントに読み込ませるための認証情報は別のものです。クライアントへのサブスクリプション読み込みに決済情報は必要ありません。接続の問題を調査するサポート担当者に、決済情報や取引承認情報の全体を公開する必要もありません。
サポートに問い合わせる際は、必要な注文識別情報と個人情報を隠したエラー内容を伝えられますが、決済画面全体のスクリーンショットは送らないでください。VPNGiftでは初回の支払いから60日以内であれば、理由を問わず全額返金を申請できます。注文や返金に関する連絡は管理画面から行い、本人確認ができていない個別チャットの相手に認証情報を渡したり送金したりしないでください。
認証情報が漏えいした疑いがある場合の対応手順
サブスクリプションのQRコードが写った画像を公開してしまった、説明のつかない通信量の消費がある、異常なログイン通知を受け取ったなどの場合は、まず関連情報の拡散を止めてください。メッセージを取り消すのは有効ですが、相手が複製を保存していない証明にはなりません。公開ページを削除したからといって、古いURLを使い続けてよいとは限りません。
- 信頼できる端末とネットワークから管理画面にログインし、漏えいした可能性のあるパスワードや使い回しているパスワードを変更します。
- 管理画面にサブスクリプションの再発行や認証情報の無効化機能があれば実行します。見つからない場合はサポート窓口から手順を確認してください。
- 管理可能なログインセッションがあるか確認し、管理画面の機能を使って信頼できなくなったセッションを終了します。
- 自分の各端末で有効なサブスクリプションを再度読み込み、古い設定を削除し、自動更新元を確認します。
- 個人情報を伏せて経緯をサポートに伝え、確認を依頼します。新しいURLを公開の場に再掲しないでください。
信頼できないクライアントをインストールした疑いがある場合は、サブスクリプションを変更するだけでは不十分です。関連ソフトウェアを削除し、システムプロキシ、ネットワーク拡張、証明書の設定を確認して、OSの公式手順に従って安全性を点検してください。端末が信頼できる状態に戻ったと確認できるまでは、同じ環境で新しい認証情報を入力しないでください。