信頼できるプライバシーVPNを探すとき、難しいのは料金表ではなく、目に見えない2つの点です。ログなし方針をどこまで確認できるか、そして登録時に個人情報をどこまで減らせるか。どちらも感覚ではなく、項目ごとに突き合わせられる条項と、自分で試せる操作で判断できます。以下では順に、サービス側が言う「ログ」がどの種類を指すのかを整理し、登録と決済を最小化する方法、公共Wi-Fiでの利用範囲、最後にセルフチェックリストを挙げます。
先に結論を書きます。ログなしは方針の表明であって、技術的な保証ではありません。上流のデータセンター、決済経路、自分のローカルネットワークに残る痕跡を、サービスが消してくれるわけではないからです。確認できるのは、「何を記録しないのか、いつまで保持するのか、どんな場合に例外があるのか」が明記されているかどうかです。
ログなし方針は何を約束しているのか
「ログを記録しません」という一文だけでは情報量がありません。ログにはいくつかの種類があり、種類によって機微さが桁違いだからです。
- 接続ログ：アカウント、接続時刻、利用時間、使用した出口ノード、割り当てられたIP、累計通信量。何にアクセスしたかは分かりませんが、行動のタイムラインを組み立てるには十分です。
- 利用ログ：アクセスしたドメインとIP、DNSクエリ、セッション内容。最も機微な種類で、「閲覧内容は記録しません」という言葉が本当に指しているのはこれです。
- 診断ログ：クライアントのバージョン、OSのバージョン、クラッシュスタック。障害対応に使い、通常はアカウントとの結び付きが弱いものです。
つまり、聞くべきことは具体的です。どの種類を記録しないのか。記録する部分はアカウントと紐付くのか。保持期間はどれくらいで、いつ削除されるのか。不正利用対策や課金で一時的に書き込むことはあるのか。この数問に答えが出て、初めてスローガンが判断可能な条項になります。
| 表現のレベル | よくある書き方 | 確認できること | 判断の目安 |
|---|---|---|---|
| 漠然とした約束 | 「いかなるログも記録しません」 | 宣言が1文だけで、定義も例外もない | 条項をさらに探す。見つからなければ「未説明」として扱う |
| 種類別の説明 | 接続・利用・診断の3種類について、それぞれの扱いを明記 | どの種類をどれだけ保持するかが分かる | 「利用ログは保持しない」を既定としているものを優先 |
| 例外条項 | 不正利用対策、課金の突合、法令に基づく対応の際に一時記録 | 約束の境界がどこにあるか分かる | 例外があること自体は欠点ではない。隠すより明記するほうがよい |
| 照合できる資料 | 第三者監査レポート、透明性レポート、条項の変更履歴 | 外部資料でクロスチェックできる | 監査が対象とした時期、ノードの範囲、実施機関を先に見る |
一度の第三者監査が対象とするのは、特定の時期、特定のデータセンター、特定のプロセスです。すべてのノードとすべての時間帯が検査済みという意味ではありません。監査を見るときは、結論より先に範囲と日付を確認してください。
確認の手順：条項から照合できる資料へ
「確認」を5つの手順に分けます。順番は入れ替えないでください。最初の4つはどのサービスでも実行でき、5つ目は相手が資料を公開しているかどうかで変わります。
- 定義の段落を読む。トップページのスローガンは読まない。プライバシーポリシーには通常、「ログ」を定義し、接続・利用・診断を分けて説明する段落があります。この段落がない時点で、ほぼ除外して構いません。
- 例外条項を探す。不正利用対策、課金の突合、法的要請が最もよくある3つの例外です。例外自体は普通のことで、重要なのは発動条件と保持期限が書かれているかどうかです。
- 保持期間と削除方法を見る。「30日間保持」と「保持しない」はまったく別の立場で、前者は少なくとも予測ができます。
- 購読と決済にどの項目が必要かを見る。条項がどれだけ潔白でも、登録時に長い情報を求められれば、その価値は大きく相殺されます。
- 照合できる外部資料があるかを見る。第三者監査、透明性レポート、公開された条項の変更履歴。資料があるからといって必ず信頼できるわけではありませんが、少なくとも検証はできます。
登録情報の最小化：必要な項目だけを残す
登録は情報が露出する最初の入口です。判断基準は1つだけ。入力しなくてよい項目は入力しないこと。項目が少ないほど、プラットフォーム間を結び付ける手がかりも減ります。
本サービスはメールアドレス不要で、ユーザー名とパスワードだけで登録が完了します。メールアドレスをあえて取り上げるのは、それがほぼすべてのサービスの共通キーになっているからです。メールアドレスがサービスと結び付くと、その1項目だけで別々のサービスのアカウントを連結できてしまいます。この項目がなければ、関連付けのコストは明確に上がります。
ユーザー名も同じです。掲示板やSNS、他のサービスで使ったIDを再利用しない。本名、生年月日、居住都市を含めない。パスワードはパスワードマネージャーに生成させ、他のサイトと共有しない専用のものを。デバイス側でも、複数台でアカウントを共有するために何度もログインし直す必要はありません。本サービスは台数無制限で同時接続できるため、アカウントを外に広げる動機そのものが小さくなります。
決済は2つ目の入口です。Alipay、WeChat Pay、USDTの3つの経路で残る記録は同じではありません。前2つは実名アカウントに紐付き、請求側から個人をたどれます。USDTはオンチェーンで記録は誰でも閲覧できますが、実際の身元とは切り離しておけます。どちらの経路にも一長一短があり、何を防ぎたいかで選び方が変わります。
クライアントに読み込んだ後、購読リンクには通常あなたのユーザー識別子が含まれています。グループチャットに貼らない、公開リポジトリに上げない、サポートチケットに全文を貼らない。スクリーンショットでも後半は隠してください。第三者の「購読変換」ページを経由するのも避けたいところです。変換サービスはそのリンクを丸ごと見ることになります。漏えいが疑われるときは、新しく生成し直せば済みます。
公共Wi-Fiでの利用範囲
公共Wi-Fiのリスクは数こそ多くありませんが、どれも現実に起こります。同一セグメントでの盗聴、キャプティブポータルによる乗っ取り、同名の偽アクセスポイント、すり替えられたDNS。HTTPSはコンテンツ面のリスクの大部分を防ぎますが、残るのはメタデータと接続確立の段階です。
トンネルが守れるのは端末から出口ノードまでの区間です。内容は暗号化され、クライアントがDNSを引き受ける設定なら名前解決もトンネルを通ります。守れないのは、すでにログイン済みのアカウント、アプリ自身のテレメトリとプッシュ通知、ブラウザフィンガープリント、そして端末にインストールされたルート証明書です。企業の端末管理や手動で証明書を入れた端末では、中間者攻撃は今も成立します。
- 接続したらまず出口を確認します。IP確認ページを開き、表示される所在地が選んだ回線と一致するか見てください。
- 次にDNSを確認します。リゾルバの所在地が出口の地域と一致していれば問題ありません。一致しない場合は、問い合わせがローカルのままです。
- キルスイッチを有効にして、トンネルが切れた後に通信が黙って直接接続へ戻らないようにします。
- 「オープンなホットスポットに自動接続」はオフに。気付かないうちに知らないネットワークへつながるのを防ぎます。
- ネットバンキングや社内管理画面のような操作は、信頼できるネットワークに回してください。
よくある誤解が「接続すればすべてトンネルを通る」というものです。分割ルーティングのモードではそうなりません。ルールによっては一部のドメインが直接接続され、そのDNSクエリもローカルのリゾルバに渡ることがあります。プライバシーを重視する場面では、全トラフィックをトンネルに通すモードのほうが安心です。
プロトコルとクライアントにあるプライバシーの細部
プロトコルが決めるのは通信がどんな形に見えるかであり、サーバー側がログを残すかどうかではありません。この2つはよく混同されるので、分けて考えると整理しやすくなります。
- WireGuard：UDP上で動作し、ハンドシェイクが簡潔、実装が軽量でモバイルでは省電力。トラフィックの難読化は行わず、特徴は比較的はっきりしています。
- OpenVPN：成熟していて安定し、TCP 443も使えるため互換性が高い。代わりにハンドシェイクと暗号化のオーバーヘッドは大きめです。
- Shadowsocks：本質はプロキシプロトコルで、完全なVPNではありません。ルーティングの引き受けとDNSの処理をクライアント側で行う必要があります。
- VMess / VLESS：VMessはクライアントとサーバーの時刻同期に依存します。VLESS自体は暗号化を行わず、安全性は外側のTLSに委ねます。
- Trojan：通信を通常のHTTPSセッションに見せかけ、実際の証明書を必要とします。設定の手間はやや大きくなります。
- Hysteria2 / TUIC：QUICベースで、電波状況が悪い環境やパケットロスが多い環境で安定しやすい一方、UDPの品質には敏感です。
クライアント側の違いも同じくらい重要です。デスクトップ版は一般にシステムDNSとグローバルルーティングを引き受けられます。モバイルはOSの制約が大きく、iOSではシステムレベルのネットワーク拡張で通信を引き受け、DNSは通常トンネル内で解決されます。挙動の違いは推測せず、自分の端末で一度確かめれば済みます。接続後に出口IP、DNSリゾルバの所在地、IPv6がトンネルを迂回していないかを見てください。トンネルがIPv4しか扱わない場合、IPv6の通信はそのまま外に出る可能性があります。ブラウザ側にはWebRTCもあり、ローカルアドレスが露出することがあります。ブラウザの設定で制限するか無効にできます。
分割ルーティングのルールも見落としやすい点です。ドメイン単位・GeoIP単位で分けるほど、トンネルを迂回する通信が増え、DNSもローカルのリゾルバに戻ることがあります。ルール自体に正解・不正解はありませんが、自分がどれを有効にしているかは把握しておきたいところです。
実行できるセルフチェックリスト
以下の8項目は条項・登録・接続の3層をカバーしています。1つずつ照合してください。
- ✅ プライバシーポリシーのログ定義の段落を読み、「どの種類を記録せず、どれだけ保持するか」を説明できる。
- ✅ 登録には専用のユーザー名と専用のパスワードを使い、他サービスのIDを流用していない。
- ✅ 購読リンクは公式クライアントにのみ読み込み、第三者の変換ページを経由していない。
- ✅ 接続後に出口IPとDNSリゾルバを確認し、両者の所在地が一致していた。
- ✅ IPv6とWebRTCがトンネルを迂回していないことを確認した。
- ✅ キルスイッチを有効にし、切断時に黙って直接接続へ戻らないようにしている。
- ❌ 公共Wi-Fiでネットバンキングや管理画面にログインしていない。
- ❌ 購読リンクをグループチャット、公開リポジトリ、チケット本文に貼っていない。
結論：基準は照合できる項目に落とす
プライバシーに一度で完成する方法はなく、あるのは照合できる項目だけです。条項が読めるか、登録でいくつ入力するか、購読リンクが流出しないか、クライアントが説明どおりに動くか。この4つを一度確認するほうが、レビュー記事を10本読むより役に立ちます。
基準を具体的なサービスに当てはめるときは、その場で確認できる事実から見てください。
最後にひとつ。ログなしは方針であって、お守りではありません。減らせるのはサーバー側に残るリスクであり、アカウント、決済、端末側に残る痕跡は変わりません。この2層を分けて見れば、選択はずっと明確になります。