このVPN初心者向け安全ガイドでは、日常で迷いやすいポイントを解説します。パスワードの保存方法、サブスクリプションURLを他人に共有してよいか、公衆Wi-Fiで控えるべき操作などです。URLは認証情報として管理し、証明書の警告を無視せず、接続済みでもすべてのアプリがプロキシ経由とは限らない点を押さえましょう。
アカウントとサブスクリプションURL：別々に管理する認証情報
アカウントのパスワードはサービスの管理画面へのログインに使い、サブスクリプションURLはクライアントに接続設定を取得させるために使います。用途は異なりますが、どちらも公開すべきではありません。サブスクリプションURLにはアクセストークンが含まれていることが多く、URLを知っている人が管理画面にログインせず設定を取得できる場合があります。実際の権限はサービスの仕様によります。URLに見えるからといって、一般的な案内ページと同じように扱わないでください。
信頼できるパスワードマネージャーで専用のパスワードを生成・保存し、ほかのサイトと使い回さないようにしましょう。VPNHaoHaoではメールアドレスは不要ですが、ログイン情報は適切に保管してください。パスワードを忘れてもメールで必ず復旧できるとは限りません。復旧情報が提供されている場合は、管理画面の案内に従い、安全な場所に保存しましょう。
| 情報 | 含まれる可能性のある権限・情報 | 推奨される管理方法 |
|---|---|---|
| アカウントのパスワード | 管理画面へのログインとアカウント管理の権限 | 他で使っていないパスワードを設定し、パスワードマネージャーに保存する |
| サブスクリプションURL・インポート用QRコード | 接続設定の取得に必要な認証情報 | 自分が使う信頼できるクライアントだけに渡す |
| クライアント設定ファイル | ノードの認証情報、ルーティングルール、サブスクリプションURL | 公開リポジトリや公開共有フォルダにアップロードしない |
| エラーログ・スクリーンショット | アカウント識別情報、リクエスト先、トークンが含まれる可能性がある | 送信前に内容を確認し、機密情報を隠す |
インストールとインポート：入手元を確認してから登録
アプリはサービスの管理画面にあるダウンロードリンク、またはクライアントプロジェクトの公式配布元から入手しましょう。検索結果の広告、チャットの添付ファイル、似た名前だけを根拠に配布元を判断しないでください。発行元に問題があるという警告、ファイル改変の通知、危険なダウンロードというブラウザー警告が出たら、まず入手元を確認します。接続を急ぐためにセキュリティ機能を無効にしないでください。
クライアント、プロトコル、サブスクリプション形式はそれぞれ別のものです。Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUICなどのプロトコルを使うには、対応するクライアントのコアが必要です。また、サブスクリプション形式もクライアントが認識できるものでなければなりません。インポートに失敗しても、アカウントが無効になったとは限らず、ネットワークが攻撃されたことを示すわけでもありません。まず管理画面で推奨されているクライアントとインポート方法を確認しましょう。ここで挙げたプロトコルは互換性の説明用であり、VPNHaoHaoがすべてのプロトコルを提供するという意味ではありません。
ウェブ上の「サブスクリプション変換」ツールには特に注意が必要です。URL全体をオンラインツールに入力すると、通常はその運営者にURLを渡すことになります。まずは管理画面で案内されている対応形式を使いましょう。変換が必要な場合は、ツールにデータがどう渡るかを理解してください。「変換成功」と表示されたことだけで、安全性を判断することはできません。
- 管理画面からダウンロードページを開き、プラットフォーム、プロジェクト名、入手元を確認する。
- 管理画面でクライアントに対応したサブスクリプションURLをコピーし、余分な空白や末尾の文字抜けがないか確認する。
- クライアントでサブスクリプションまたは設定のインポートを選び、システム連携で想定したアプリが開くことを確認する。
- 生成された接続先一覧とルーティングモードを確認してから、接続と出口を検証する。
- 一時的なスクリーンショットや共有クリップボードの履歴を削除する。デバイス間でクリップボードを同期している場合は、URLがどの端末に同期されるかも確認する。
公衆Wi-Fi：認証画面と証明書の警告は分けて対処
公衆Wi-Fiのリスクは、通信が暗号化されているかどうかだけではありません。施設のネットワークを装った似た名前のアクセスポイントや、同じネットワーク上の信頼できない端末にも注意が必要です。施設に正しいネットワーク名を確認し、不要な自動接続をオフにします。端末では現在のネットワークを「パブリック」に設定し、ファイル共有やネットワーク探索を制限しましょう。
ホテル、駅、カフェなどでは、インターネット接続の前にポータル認証が必要な場合があります。接続直後にクライアントがプロキシ接続を確立できなくても、認証が済んでいないだけかもしれません。システムに表示された認証画面を使いましょう。画面が開かない場合は、施設の案内に従って一時的にプロキシを切断して認証し、その後接続を戻して確認します。この操作はネットワーク認証だけに限り、ついでに重要なアカウントへログインしないでください。
HTTPSは、証明書が正しく検証され、接続先が目的のドメインである場合に、ブラウザーとウェブサイト間の通信を保護します。アドレスバーに鍵のアイコンがあっても、サイト運営者が信頼できるとは限りません。偽サイトでも有効な証明書を取得できる場合があります。ドメインの綴り、ページの目的、要求されている情報が妥当かどうかも確認しましょう。
普段使うサイトで突然「証明書を信頼できない」「ドメインが一致しない」などの警告が出たら、情報の入力を中止してください。「続行」をクリックしたり、見知らぬ認証画面の指示に従ってルート証明書やデバイス管理プロファイルをインストールしたりしないでください。業務端末で証明書が必要な場合は、ホットスポットの画面説明を頼りにせず、所属組織の正式な手順で確認しましょう。
接続の確認：出口、ルーティング、DNSを個別に確認
クライアントに「接続済み」と表示されても、通常は接続または設定が有効になったことを示すだけで、すべてのアプリがその出口を使うとは限りません。システムプロキシに従うかどうかはアプリによって異なります。仮想ネットワークアダプター方式はより多くの通信を経由させられますが、権限、ルート、除外ルール、システムの動作に左右されます。ブラウザー拡張機能も、通常はほかのアプリにまで適用されるわけではありません。
まず本サイトのIPアドレス確認ページを開き、ブラウザーの現在の出口が選択した接続先やルーティングルールと合っているか確認します。IPアドレスの地域データベースには誤差があり、結果が示すのは現在のリクエストだけです。すべての通信が経由している証明にはなりません。ルールで確認サイトが直接接続に設定されている場合、ローカルの出口が表示されても故障とは限りません。
DNSリークとは、保護された経路で処理されるはずのドメイン名の問い合わせが、想定外の経路から送信される状態を指します。クライアントのDNS設定、ルーティングルール、ブラウザーの暗号化DNS、システムの名前解決方法を合わせて確認してください。ブラウザーが暗号化DNSを使っているからといって、ただちにリークとは限りません。反対に、出口IPが変わっただけではDNSが想定どおり処理されている証明にはなりません。
DNSを確認するときは、DNSサーバーと出口の国が完全に一致するかではなく、実際の名前解決先が設定どおりかを見ましょう。アプリ独自のプロキシ設定、IPv6のルーティング、切断後のフォールバック動作も結果に影響することがあります。クライアントに通信遮断機能が標準搭載されていると決めつけず、該当する設定の有無と適用範囲を実際のクライアントの説明で確認してください。
- ✅ 現在のモードを確認する：ルールベースの振り分け、グローバルプロキシ、直接接続のどれかを確認し、スイッチの色だけで適用範囲を判断しない。
- ✅ 対象のアプリがシステムプロキシに従うか確認する。必要に応じてクライアントとアプリのドキュメントを参照する。
- ✅ 出口とDNSの経路をそれぞれ確認し、接続を切った後のネットワーク動作も確認する。
- ❌ ウェブページが開けることをプライバシー確認の代わりにせず、問題の調査中に見知らぬ設定を安易にインポートしない。
情報入力：操作に必要な情報だけを送信
フォームに入力する前に、その情報が現在の操作に必要かを確認しましょう。サブスクリプションアカウントの作成に、個人の経歴まで必要とは限りません。クライアントのエラーを調べる際も、通常は別のサイトのログイン情報は不要です。VPNHaoHaoではメールアドレスは不要です。「情報をそろえるため」といって、問い合わせ本文にメールアドレス、住所、身分証明書の写真などを追加する必要はありません。
支払いは信頼できる管理画面からのみ進み、注文内容と決済画面を確認してください。VPNHaoHaoはAlipay / WeChat Pay / USDTに対応していますが、決済方法だけでページの正当性を確認できるわけではありません。支払いアカウントのパスワード、ウォレットのシードフレーズ、秘密鍵を、トラブル対応を名乗る相手に送らないでください。「サブスクリプションを修復する」と称して見知らぬリモート操作ソフトをインストールするのも避けましょう。
問い合わせの際は、OS名、クライアント名、エラーメッセージ、操作のおおまかな手順を伝えると、画面全体のスクリーンショットより状況が伝わりやすくなります。ログを送る必要がある場合は、URLのパラメーター、アカウント識別情報、認証情報を先に確認してください。どこまでが機密情報かわからないときは、まず問題の内容だけ説明し、管理画面の問い合わせ窓口で必要な資料を確認しましょう。
サブスクリプションURLが漏れたら：メッセージの削除より古い認証情報の無効化が重要
URLが公開ページ、チャット、コードリポジトリに掲載されたことに気づいたら、まず漏えいしたものとして対応してください。投稿を削除すれば今後の拡散を抑えられますが、すでにコピーされたURLを自動的に無効にはできません。ログインパスワードを変更してもサブスクリプショントークンが無効になるとは限りません。両者が連動するかどうかは管理画面の仕様によるため、決めつけないでください。
- 管理画面でサブスクリプションのリセットまたはトークン更新機能を探します。明確な手順が見つからない場合は、管理画面の問い合わせ窓口からサポートに連絡してください。
- 案内に従って古いURLが無効になったことを確認し、自分が使う各端末でサブスクリプションを更新する。
- 公開ファイル、スクリーンショット、共有リンクを削除し、アクセス可能な過去のバージョンが残っていないか確認する。
- アカウントのパスワードも漏れた可能性がある場合は、信頼できる端末から変更し、ログイン中のセッションとアカウントの変更履歴を確認する。
- 不審な利用量や注文があれば、機密情報を隠した記録を保管し、公式管理画面から報告する。
家庭内で共有する場合も、利用範囲に注意しましょう。VPNHaoHaoは台数無制限ですが、端末数のルールがあるからといって認証情報を公開してよいわけではありません。各家庭用端末に個別に設定をインポートし、URL全体の転送をできるだけ控え、使わなくなった端末から設定を削除してください。端末を修理に出す、売る、貸し出す前にも、クライアント内のサブスクリプション情報やアカウント情報を消去しましょう。
日常利用：接続品質とプライバシー方針を分けて判断
IEPL専線、中継、直接接続は、それぞれ異なる接続方式を指し、名称だけでプライバシーの水準を判断することはできません。直接接続では通常、利用者のネットワークからプロキシの入口へ接続します。中継では転送経路が加わり、専線は特定の回線構成を指します。実際の保護は、回線の名称が目立つかどうかではなく、プロトコル、接続先、クライアントの設定、接続先サイトの暗号化にも左右されます。
VPNHaoHaoはログを記録しない方針を掲げています。情報の取り扱い範囲はプライバシーポリシーをご確認ください。ウェブサイトのログイン状態、ブラウザーのCookie、アカウントの利用状況、端末上のマルウェアによって、利用者が特定される可能性は残ります。プロキシに接続しても、これらの情報が自動的に消えるわけではありません。OSやブラウザーの更新、画面ロックの代わりにもなりません。
まずアカウントとサブスクリプションURLを適切に管理し、次にクライアントがどの通信を処理するか確認しましょう。公衆ネットワークで証明書の警告が出たら、情報の送信を中止してください。URLが漏れた場合は、メッセージや接続先を変更するだけでなく、古い認証情報を無効にすることが優先です。見た目の強そうな回線名を追うより、こうした手順を確実に行うほうが実用的です。
初期設定はクイックスタートを、ルーティングやプラットフォームごとの違いは完全ガイドをご覧ください。アカウントの復旧やURLのリセットについては、ヘルプページから正式なサポート窓口をご利用ください。公開コメント欄に認証情報を載せないでください。