Shadowrocketの共有リンク形式ガイド：ss://・vmess://・vless://・trojan://とサブスクリプションURLの違い

1. リンクのプレフィックスは解析方法を示すもので、接続品質を表すものではない

Shadowrocketでリンクを受け取ると、まずサーバー情報なのか、設定取得用のリモートURLなのかを判別します。ss://、vmess://、vless://、trojan://は通常、1件分のサーバー情報を含みます。一方、https://で始まるサブスクリプションURLはリモートのコンテンツを指しており、クライアントがリクエストを送信し、応答を取得してから中の情報を解析します。

HTTPSのURLからはウェブページ、ログインページ、その他のファイルが返されることもあります。そのため、ブラウザーで開けるからといってサブスクリプションとしてインポートできるとは限りません。反対に、共有リンクのポートが443でも、それだけでTLSが有効だとは判断できません。プロトコル、ポート、通信の安全性はそれぞれ別の項目なので、まとめて確認してください。

2. ss://：暗号化方式とパスワードを確認する

Shadowsocksの共有リンクは、一般にSIP002の基本形式に従います。認証情報は@より前、サーバーアドレスとポートは後ろに記載され、#以降には名前を付けられます。認証情報は通常、method:passwordをURL-safe Base64でエンコードしたものです。以前は、さらに長い部分全体をエンコードする形式も使われていたため、文字列の見た目だけで有効かどうかを判断できません。

ss://[email protected]:8388#Demo-SS

• YWVzLTEyOC1nY206dGVzdAをデコードするとaes-128-gcm:testになります。暗号化方式はaes-128-gcm、パスワードはデモ用のtestです。
• example.comはデモ用のサーバーアドレス、8388はデモ用のポートです。すべてのShadowsocksサービスで固定されているポートではありません。
• Demo-SSは表示名です。名前を変えても、アドレス、パスワード、暗号化方式の誤りは修正されません。
• 元のリンクにpluginクエリパラメーターが含まれている場合、プラグイン設定を指定している可能性があります。リンクを短くするために安易に削除せず、該当機能がサポートされているかも確認してください。

Base64はエンコード方式であり、認証情報を秘匿するものではありません。リンク全体を持つ人は、通常その中のパスワードを復元できます。元のリンクを公開のデコードサイトに貼り付けないでください。内容を確認する場合は、Shadowrocketにインポートした後の編集項目を参照し、自分がすでに持っている設定と一つずつ照合してください。

3. vmess://：外側のエンコードと内側のJSONを分けて確認する

一般的なVMess共有形式では、vmess://の後にBase64エンコードされたJSONが続きます。以下はデコード後のデモデータで、URL欄にそのまま貼り付けられる完全な共有リンクではありません。エクスポート元によって項目の組み合わせが異なる場合があるため、解析結果は実際のインポート内容で確認してください。

{
  "v": "2",
  "ps": "Demo-VMess",
  "add": "example.com",
  "port": "443",
  "id": "00000000-0000-4000-8000-000000000001",
  "aid": "0",
  "scy": "auto",
  "net": "ws",
  "type": "none",
  "host": "example.com",
  "path": "/demo",
  "tls": "tls",
  "sni": "example.com"
}

• add、port、idは、それぞれサーバーアドレス、ポート、UUIDを表します。ここに記載したUUIDはデモ用です。
• net: wsはWebSocketを表します。hostとpathは、この通信設定の一部です。
• tls: tlsは、この例でTLSが有効であることを示します。sniはハンドシェイクで使用するサーバー名を指定します。WebSocketのHostとは別のプロトコル項目です。
• aidは旧形式で使われていたAlter IDの項目です。この値を適当に増減しても、認証エラーは解決しません。

例にあるvは共有リンク形式の項目であり、Shadowrocketのバージョンではありません。インポート後は、名前とサーバーアドレスが正しくても、通信方式、TLS、Host、Pathを引き続き確認してください。スラッシュの不足、Pathの大文字・小文字の誤り、SNIの不一致などにより、「項目は追加されたがハンドシェイクに失敗する」ことがあります。

4. vless://とtrojan://：クエリパラメーターは一部だけコピーしない

VLESSとTrojanの共有リンクは、一般的なURIに近い形式です。認証情報、アドレスとポートの順に記載し、疑問符の後に追加パラメーターを指定します。以下の例はどちらもTLSを使用していますが、認証方式は異なります。プレフィックスだけを置き換えて別のプロトコルとして使うことはできません。

vless://[email protected]:443?encryption=none&security=tls&type=tcp&sni=example.com#Demo-VLESS

trojan://[email protected]:443?security=tls&type=tcp&sni=example.com#Demo-Trojan

URL内の&はパラメーターを区切り、#はメモを示します。パスワード、パス、メモに予約文字が含まれる場合は、URI内での位置に応じてパーセントエンコードしてください。たとえば、クエリパラメーター内のパス/demo?mode=1は%2Fdemo%3Fmode%3D1と表せます。リンク全体を重ねてエンコードしたり、本文の改行、日本語の句読点、引用符までコピーしたりしないでください。

5. 単体リンクのインポートとサブスクリプションの更新は別の手順

単体の共有リンクは、ある時点のサーバー情報をコピーしたものです。一方、サブスクリプションURLは再度リクエストできる入口です。以下のURLは構造の説明用で、token=xxxxは明らかなダミー値であり、実際のサービスには対応していません。サブスクリプションから返される内容は、エンコードされたリンク一覧の場合も、その他の対応形式の場合もあります。URLの末尾だけで形式を推測しないでください。

https://example.com/sub?token=xxxx

サブスクリプションを更新すると、管理対象の項目が追加、置換、削除されることがあります。サブスクリプショングループ内で手動編集した内容を恒久的なバックアップとして扱わないでください。次回の更新でリモートの設定に上書きされる場合があります。変更前に差分を記録し、独立した設定を残したい場合は、サブスクリプション管理対象外の項目を使い、変更も自分で管理してください。

サブスクリプションのtokenは、アクセス認証情報として機能することがよくあります。問題を調べる際は、応答ステータス、エラーメッセージ、発生した段階だけを記録し、URL全体を公開しないでください。漏えいした場合は、自分のサービス管理画面で該当tokenをリセットまたは無効化し、新しいURLをShadowrocketに保存してください。

6. インポート後はGlobal Routingで問題の発生段階を切り分ける

共有リンクに記載されるのは主にサーバーへの接続方法であり、完全なルールによる振り分け設定が自動で含まれるわけではありません。Homeではサーバーの選択と接続を管理し、Configではルール設定を管理します。Global Routingを確認する際は、「選択したサーバーにリクエストが送られていない」のか、「サーバーには届いたが接続に失敗した」のかを区別してください。そうしないと、正しいリンクを何度も変更することになりかねません。

7. よくある質問と対処方法