購読URLが認証情報になる理由
Clashで使う購読URLは、単なる設定ファイルの場所を示すアドレスではありません。多くの場合、URLのパスやクエリ文字列には契約者を識別するトークンが含まれており、クライアントはそのトークンを使ってノード一覧、サーバーアドレス、ポート、暗号化方式、UUIDなどを取得します。URLを知っている人が同じアドレスへアクセスできる状態なら、その人の端末にも同じ設定を取り込まれる可能性があります。
つまり、購読URLの漏洩は「ノード情報が見られる」だけの問題ではありません。サービスによっては契約した通信量や同時接続数を第三者に消費され、短期間で通信枠を使い切ることがあります。ノードの接続情報が流出すれば、提供者が設定を変更するまで不正利用が続くこともあります。URLに表示名やメールアドレスが含まれていなくても、認証用トークンが含まれている時点でパスワードに近い扱いが必要です。
特に注意したいのは、購読URLをメッセージアプリ、サポート掲示板、画面共有、スクリーンショットにそのまま表示するケースです。ブラウザのアドレス欄、ClashのProfiles画面、更新エラーのログには、URL全体が残る場合があります。バックアップファイルや端末の同期フォルダーに保存されることもあるため、URLは「公開してはいけない設定値」として管理してください。
購読URLをパスワードのように扱う
購読URLを他人に送らない、公開ページへ貼り付けない、スクリーンショットに含めないことが基本です。説明や問い合わせが必要な場合は、先頭のスキーム、ドメイン、トークン部分をすべてマスクし、実際にアクセスできない形式へ置き換えてください。例として https://config.example.invalid/sub/REDACTED_TOKEN のような明らかなダミー値を使います。
登録前に確認する項目
購読URLをClashへ登録する前に、URLを発行したサービスと取得経路を確認します。検索結果や第三者が転載した設定リンクではなく、契約後の管理画面や提供者が案内した正式なページからコピーすることが重要です。URL短縮サービスや、内容を別サイトへ転送する変換サービスを経由すると、アクセス履歴やURLが第三者に渡る可能性があるため避けます。
- 発行元を確認する。契約したサービスの管理画面にログインし、購読URLの発行日時、利用期限、通信量、同時接続数を確認します。身に覚えのない新規URLが存在する場合は、登録前に提供者へ問い合わせます。
- 通信方式を確認する。通常は
https://で始まるURLを優先します。暗号化されていないHTTP URLは、ネットワーク上で内容を盗み見られたり、設定ファイルを差し替えられたりする余地があります。 - URLの範囲を確認する。コピーした文字列の前後に空白や改行がなく、末尾のトークンが途中で切れていないことを確認します。メモ帳などへ一度貼り付けると、意図しない改行を見つけやすくなります。
- 契約内容と権限を確認する。購読設定に含まれるノード数、更新間隔、使用量上限を把握します。自分の契約では説明されていない地域やプロトコルが大量に含まれている場合は、すぐに有効化しないでください。
Clash自体が購読URLの安全性を保証するわけではありません。クライアントはURLへ接続して返された設定を読み込むため、発行元の信頼性、URLへのアクセス経路、取得した設定の内容を別々に確認する必要があります。安全なクライアントを使っていても、漏洩したトークンの無効化までは自動で行われません。
Clashへ安全に登録する手順
登録操作は、公開ネットワークや共有端末ではなく、自分が管理する端末で行います。WindowsやmacOSではClash Verge系のProfiles画面、AndroidではProfilesまたは設定プロファイル画面など、クライアントごとに名称が異なりますが、URLを追加して取得した構成を有効化する流れは共通しています。
- 契約サービスの管理画面から購読URLをコピーし、共有クリップボードや公開メモを経由せず、自分の端末上で直接貼り付けます。
- Clashクライアントの「Profiles」「プロファイル」または「設定」画面を開き、URLからプロファイルを追加する項目を選びます。
- URLを貼り付け、識別しやすい設定名を付けます。設定名にメールアドレス、契約番号、氏名などの個人情報を入れる必要はありません。
- 取得先がHTTPSであることと、表示されたURLのドメインが契約先の案内と一致することを確認してから更新を実行します。
- 取得完了後、プロファイルの内容を確認します。意図しない外部コントローラー、見覚えのないDNS、過剰なルール、未知のスクリプト設定があれば有効化を中止します。
- 問題がなければプロファイルを選択して有効化し、まず「ルール」モードで短時間だけ通信を確認します。全通信をいきなりグローバル経由にする必要はありません。
取得した設定の確認では、ノード名だけで判断しないでください。mihomo系の設定では、proxy-providers、rule-providers、dns、external-controller、tunなどの項目が含まれることがあります。自動更新URLが別のドメインを指している場合や、ローカル管理APIを外部アドレスで待ち受ける設定がある場合は、意味を理解できるまで利用を開始しません。
端末側で漏洩を減らす設定
購読URLをClashへ登録した後は、URLが保存される場所を減らし、管理画面へのアクセスを保護します。プロファイルの自動更新は便利ですが、更新URLが残った状態で端末を貸し出したり、設定フォルダーを共有したりすると、URLの漏洩経路になります。共有パソコンでは自動更新を使わず、利用後にプロファイルと履歴を削除する方が安全です。
- 管理画面を外部公開しない。
external-controllerは通常、ローカルホストだけで待ち受けます。0.0.0.0で公開する場合は、強力な認証用シークレットとファイアウォール制限が必要です。意味が分からない場合は変更しません。 - 自動更新間隔を短くしすぎない。数分ごとの更新は、提供者側のAPIや契約通信量を余分に消費します。提供者が指定する間隔、または数時間から1日程度を目安に設定します。
- ログを点検する。Clashの接続ログに、想定外の宛先、短時間に大量のプロファイル取得、見覚えのない更新エラーがないか確認します。URLそのものを含むログを第三者へ送信しないでください。
- バックアップを分離する。設定ファイルをクラウド同期フォルダーや家族共用のストレージに保存する場合、購読URLが平文で含まれていないか確認します。不要になった古いバックアップは削除します。
- TUNやDNS設定を別に検証する。購読URLが安全でも、DNS漏洩や誤ったTUN設定によって通信先が意図せず直接接続されることがあります。プロファイル登録後に、IP、DNS、ルール動作を個別に確認します。
購読URLとプロキシノードは別々に考える
ノード通信が暗号化されていても、購読URLの取得経路や管理画面のログインが安全になるわけではありません。逆に、URLがHTTPSで保護されていても、提供者が信頼できるとは限りません。URLの保護、発行元の確認、取得後の設定確認、通信経路の検証を分けて実施してください。
漏洩や不正利用を疑うサイン
漏洩は、URLが外部へ出た瞬間に必ず目に見えるとは限りません。通信量の急増、ノードの同時接続エラー、契約上限への早期到達など、利用状況の変化として現れることが多いです。自分が使っていない時間帯にも通信量が増える場合は、端末のバックグラウンド更新だけでなく、第三者による利用も疑います。
- Clashを起動していない時間にも契約通信量が減っている。
- 普段使わない地域のノードや、未知の端末数が管理画面に表示される。
- 同時接続数の上限に達し、正常な端末で接続できない。
- 購読更新が急に失敗する、または設定内容が知らないうちに変わる。
- 見覚えのないIPアドレス、ユーザーエージェント、更新時刻が利用履歴に残る。
ただし、通信量の増加だけで漏洩と断定することはできません。動画の高画質化、OS更新、複数端末での同時利用、ルールの変更でも使用量は増えます。Clashの接続履歴、サービス提供者の利用統計、端末の利用時刻を照合し、複数の事実が一致するかを確認します。
漏洩が疑われる場合の対処法
漏洩の可能性がある場合は、原因を詳しく調べる前にトークンを無効化することが優先です。古い購読URLをClashから削除しても、提供者側でトークンが有効なままなら第三者は引き続きアクセスできます。管理画面に「リセット」「再発行」「購読リンク更新」などの項目があれば、新しいURLを発行し、古いURLを失効させます。
- すべての端末で対象プロファイルを無効化し、自動更新を停止します。漏洩調査中に古いURLへ再接続しないようにします。
- 提供者の管理画面で、購読URLまたはアクセス用トークンをリセットします。リセット機能がない場合は、サポートへ漏洩時刻と利用状況を伝え、旧URLの失効を依頼します。
- 新しいURLを発行した後、各端末の古いプロファイル、キャッシュ、不要な設定ファイルを削除します。新URLを古い設定の上書き用として共有しないでください。
- 新しいプロファイルを一台ずつ登録し、ノード数、通信量、更新時刻、DNSとルールの内容を確認します。
- メール、管理画面、端末のログイン情報が同時に漏れた可能性がある場合は、パスワード変更と多要素認証の有効化を行います。
- 数時間から数日間、利用統計と同時接続数を確認します。異常が続く場合は新URLも使用停止し、提供者へ再度連絡します。
URLを公開した場所が分かっている場合は、投稿の削除だけで終わらせないでください。検索キャッシュ、引用、転送メッセージ、端末のクリップボード履歴に残っている可能性があります。公開したURLはすでに第三者が取得した前提で、必ず再発行を行います。URLの一部を変更しただけでは、旧トークンが有効なままなら対処になりません。
安全に使い続けるための確認リスト
ClashとVPNサブスクを継続して使う場合は、登録時だけでなく定期的な見直しが必要です。月に一度、または契約更新のタイミングで次の項目を確認すると、異常を早く発見できます。
- 購読URLの発行元、契約期限、通信量上限、同時接続数が現在の契約と一致している。
- Clashのプロファイル一覧に、使っていない古いURLや重複した設定が残っていない。
- 自動更新のURL、DNS、TUN、ルールプロバイダーの宛先を把握している。
- サービス提供者の管理画面に見覚えのないアクセス履歴や端末がない。
- 公開チャット、クラウドメモ、スクリーンショット、バックアップにURLが残っていない。
- DNS漏洩、IPアドレス、実際のルール振り分けを確認し、意図しない直接接続がない。
安全性を高める最も確実な方法は、購読URLを秘密情報として扱い、漏れた可能性が少しでもあればすぐに再発行することです。URLの文字列を部分的に隠すだけ、Clashから削除するだけ、ノード名を変更するだけでは認証トークンは無効になりません。登録前の発行元確認、登録後の設定点検、異常時の失効と再登録を一つの手順として運用してください。