VPN初心者向けセキュリティガイド｜サブスクリプションURL・公衆Wi-Fi・入力情報

サブスクリプションURLは認証情報。一般的なURLとは別物

サブスクリプションURLを使うと、通常はクライアントが接続設定を取得できます。設定にはサーバーアドレス、認証情報、接続パラメーターなどが含まれる場合があります。URLにアクセストークンが含まれていることも多く、アカウントのパスワードを知らなくても、URLを入手した人が設定をダウンロードできる可能性があります。見た目が普通のURLでも、公開用の解説リンクのように転送してはいけません。

サブスクリプションURLとアカウントのパスワードは、役割が異なります。パスワードは管理画面へのログインに使い、サブスクリプションURLは設定の取得に使います。個別のノード共有リンクには、その接続に必要な認証情報が直接含まれている場合もあります。どれかが漏れた場合は対処が必要ですが、対処方法は同じとは限りません。管理画面のパスワードを変更しても、以前のサブスクリプションURLが自動的に無効になるとは限りません。

QRコードは、URLを隠したものではありません。クライアントで読み取ればサブスクリプションURLを復元でき、他の人にも同じことができます。クライアント画面を見せる場合は、QRコード、完全なサブスクリプションURL、設定の詳細が映らないようにしてください。画面上で改行されていても、URLをつなぎ合わせて復元される可能性があります。

クライアントへのインポートとURL漏えいへの対処

JinVPNのクライアントダウンロードページから始め、初心者向けガイドで使用する端末に合った手順を確認してください。検索結果にある同名アプリ、チャットの添付ファイル、見知らぬ人から渡されたインストーラーだけで配布元を判断しないようにしましょう。クライアントにはネットワーク通信を処理する権限があるため、インストール元も信頼性を見極めるポイントです。

Windows、macOS、iOS、Android、Linuxでは、ネットワーク権限やプロキシの処理方法が異なります。同じ「接続」でも、システムプロキシの場合もあれば、仮想ネットワークインターフェースを使うモードの場合もあります。すべてのアプリがシステムプロキシに従うわけではありません。インポート前にクライアントの説明を確認し、他のプラットフォームの設定画面をそのまま当てはめないでください。

1. 信頼できる管理画面からサブスクリプションを取得する。アドレスバーのドメインを確認してからURLをコピーします。転送されたスクリーンショットにある、出所不明のQRコードは使わないでください。
2. クライアントの指定に従ってインポートする。通常、サブスクリプションは設定または接続先一覧として読み込まれます。エラーが出た場合は、形式の互換性とURLが完全かを先に確認してください。見知らぬツールに何度もアップロードして試すのは避けましょう。
3. ルールと接続状態を確認する。選択中の設定、接続先、プロキシモードを確認してから、実際に使うアプリで動作を確かめます。設定について詳しく知りたい場合は、使い方ガイドを参照してください。
4. 一時的なコピーを削除する。公開チャットのURL、一時的なスクリーンショット、不要になったエクスポートファイルを削除します。クリップボードの同期や履歴にもコピーした内容が残る場合があるため、端末の設定を確認してください。

URLを公開の場に送ってしまった場合は、まずそれ以上の拡散を防ぎ、管理画面でサブスクリプションまたはトークンをリセットする項目を探してください。操作が反映されたか不明な場合は、サポートチケット窓口で確認します。新しい情報に差し替えた後、各端末に再インポートし、古い認証情報が無効になったか確認してください。メッセージを削除しただけでアクセス権も取り消されたと考えてはいけません。

管理画面のパスワードも漏れた可能性がある場合は、別途パスワードを変更し、管理画面にセッション管理機能があれば確認してください。新しいサブスクリプションURLを元の公開チャットに再投稿したり、漏えいを確かめるために設定全体を見知らぬ人へ送ったりしないでください。

公衆Wi-Fiのリスクと保護範囲

公衆Wi-Fiのリスクは、通信が暗号化されているかどうかだけではありません。よく似た名前のアクセスポイントを誤って選ぶ可能性があり、ネットワーク管理者に接続メタデータを見られたり、認証ページから偽サイトへ誘導されたりすることもあります。施設にネットワーク名を確認し、不要な自動接続をオフにしてください。認証を済ませてから、重要な操作を行いましょう。

HTTPSはブラウザーと接続先サイト間の通信を保護し、証明書によってサイトの身元を確認します。ただし、よく似た綴りのドメインが信頼できるかどうかを判断したり、偽サイトに自分でパスワードを入力するのを防いだりするものではありません。証明書の警告が表示されたら、操作を止めて確認してください。ネットワークを使うために警告を無視したり、出所不明のルート証明書をインストールしたりしないでください。

プロキシやVPNは、処理対象の通信経路を変更できますが、保護範囲はクライアント、プロトコル、振り分け設定によって異なります。プロキシの対象外にあるアプリは、引き続きローカルネットワークを直接使うことがあります。ネットワーク層で一部の接続情報が観察される場合もあります。また、接続先のサイトには送信した情報が見え、ログイン後の操作はアカウントと紐づく可能性があります。

ホテルやカフェのネットワーク認証ページでは、プロキシに接続する前に認証が必要な場合があります。その際はネットワークへの接続に必要な操作だけを行い、見知らぬ認証ページにJinVPNのアカウントパスワードや支払い情報を入力しないでください。用途を説明できないプロファイル、拡張機能、証明書のインストールを求められたら、いったん中断して施設に確認しましょう。

プロキシ振り分けとDNS：プライバシーの範囲を確認

プロキシ振り分けルールによって、どのリクエストをプロキシ経由にし、どれを直接接続するかが決まります。直接接続は通常のルール動作であり、必ずしも障害ではありません。ただし、プロキシで保護されると思っていたアプリが実際には直接接続している場合、想定と実際の動作に差が生じます。特にアプリ内ブラウザー、コマンドラインのプログラム、バックグラウンド更新は、同じネットワーク設定を使うとは限りません。

DNSはドメイン名をアドレスに変換します。一般にDNS漏えいとは、ドメインの問い合わせが想定と異なる経路で処理され、本来は指定した経路を通すはずの問い合わせをローカルネットワークや別のDNSサービスが扱う状態を指します。DNSの問い合わせ経路とWebサイトへの接続経路は、必ずしも一致しないため、個別に確認してください。

ブラウザーのセキュアDNS、システムのリゾルバー、クライアント内蔵のDNS処理は、互いに影響する場合があります。検査ページに特定のDNSサービス名が表示されても、それだけで漏えいの証拠にはなりません。DNSサービスの所在地も、出口の所在地と完全に一致する必要はありません。地域が違うというだけで設定をすべて変更せず、クライアントのモード、ルール、DNS設定を合わせて確認してください。

• ✅ IP確認ページで現在のブラウザーの出口を確認し、利用するアプリも同じ経路を使っているか確かめる。
• ✅ クライアントのプロキシ振り分けとDNSの説明を確認し、どのリクエストが直接接続する設計か把握する。
• ✅ ネットワークの切り替え、端末のスリープ解除、再接続の後に、保護したいアプリの接続経路を確認する。
• ❌ ブラウザーの出口が変わったことだけを根拠に、端末上のすべての通信がプロキシ経由になったと判断しない。
• ❌ 検査ページを通過するためだけに、証明書の検証を無効にしたり、理解していないシステム設定を変更したりしない。

「グローバルプロキシ」の意味もクライアントによって異なります。クライアントに入ったリクエストをすべてプロキシ経由にするだけで、端末上の全通信がクライアントを通るとは限りません。切断後の動作も実装によって異なります。すべてのプラットフォームで直接接続を遮断できると決めつけず、仕様を確認してください。

アカウントと支払い：必要な情報だけを入力

JinVPNではメールアドレスは不要で、ユーザー名とパスワードで利用を開始できます。ユーザー名には、公開しているSNSアカウントと同じ識別子を使わないようにし、パスワードは他のサービスと分けて管理してください。メールアドレスが不要でも、認証情報の管理は必要です。作成後はログイン情報を安全に保管し、特定の復旧方法があると決めつけずに、管理画面で利用できる復旧手段とサポート窓口を事前に確認しましょう。

アカウントのページと支払いページは分けて判断してください。JinVPNではAlipay、WeChat Pay、USDTに対応しています。具体的な支払い手順は管理画面の注文内容に従ってください。決済サービスには独自の認証手続きがある場合がありますが、決済パスワード、ウォレットの秘密鍵、シードフレーズをサブスクリプションサービス、サポートチャット、代理決済を名乗る人に渡してよいわけではありません。

支払い前に、注文元、金額、支払い方法を確認し、見知らぬ相手から届いた個別メッセージの振込先にはアクセスしないでください。USDTで支払う場合は、注文内容に記載されたネットワークと送金先アドレスを照合し、チャットのメッセージを根拠に注文情報を書き換えないようにします。支払い後は必要な注文記録を保管してください。問い合わせる際は、正式なサポート窓口で、トラブル対応や注文確認に必要な部分だけを伝えましょう。

JinVPNのプライバシー方針は「匿名・ノーログ」です。これはサービスの方針を示すものであり、サイトへのログイン、支払い、情報の自発的な送信によって、利用者に紐づく情報が一切残らないという意味ではありません。同じアカウントで接続先のサイトにログインすれば、そのサイトはアカウントを通じて利用状況を識別できます。また、プロキシによってブラウザーのCookieが自動的に削除されることもありません。

日常の安全確認：検証できる操作から始める

利用を始める前に、クライアントの配布元が信頼できること、アカウントのパスワードを使い回していないこと、サブスクリプションを信頼できる端末にだけインポートしていることを確認します。重要なサイトにアクセスする前に、ドメインと証明書を確認し、利用するアプリが想定した接続先を経由しているか確かめてください。問題が起きたときは、再現できる状況を記録し、設定全体をよく知らない相手に渡すのは避けましょう。

公衆ネットワークの利用後は、不要な接続を切断し、システム設定で自動接続を不要にしたネットワークを削除してください。古い端末を譲る前に、アカウントからログアウトし、サブスクリプションと設定を削除して、端末に保存されたパスワードや一時ファイルも整理します。コピーが完全に消えたか確認できない場合は、関連する認証情報の変更を検討してください。