編集者注：この記事は、Securitumによる最新のノーログポリシー監査を掲載するために更新されました。これまでのすべてのノーログポリシー監査へのリンクが含まれています。

Proton VPNが当社のインフラストラクチャに対する5年連続の年次サードパーティ監査に合格し、厳格なノーログポリシーが確認されたことを発表でき嬉しく思います。当社がノーログVPNであると主張するとき、それは単なる主張ではありません。独立した専門家によって二重にチェックされています。

競合他社の多くは、第三者による監査を一度も受けていないか、実際のノーログインフラストラクチャではなくプライバシーポリシーの監査を受けるという「ごまかし」を行っています。また、ノーログの主張が監査によって独立して実証されている場合でも、その多くは結果を公表していなかったり、アクセスするために秘密保持契約への署名を求めたり、有料会員のみに公開していたり、あるいは閲覧を困難にしていたりします。

これとは対照的に、Proton VPNはノーログレポートの全文を一般公開し、どなたでも閲覧できるようにしています。CERNで出会った科学者たちによって設立された組織として、私たちは査読と透明性を信じています。これが、誰もがコードを検証できるように、すべてのアプリをオープンソースにしている理由でもあります。

もちろん、誰もがコードを自分で検査する時間やスキルを持っているわけではないことを理解しています。そのため、内部監査に加えて、アプリを定期的にサードパーティのセキュリティ監査(新しいウィンドウ)に提出し、結果を公開しています。このようにして、誰もが私たちのアプリのセキュリティに関する独立した専門家の意見を得ることができます。

最も最近行われたすべてのProtonアプリのセキュリティ監査(新しいウィンドウ)において、大企業や銀行向けに毎年300以上のセキュリティテストプロジェクトを監督しているヨーロッパ有数のセキュリティ監査会社であるSecuritum(新しいウィンドウ)のセキュリティ専門家は、重大なセキュリティ上の問題を発見しませんでした。これは、Protonの内部監査と安全なソフトウェア開発の文化が効果的であることを示しています。また、当社のアプリのコードは完全にオープンソースであるため、世界中からセキュリティ専門家を集めてアプリケーションをチェックする当社のバグバウンティプログラム(新しいウィンドウ)によって、セキュリティがさらに強化されています。

ただし、VPNサービスの場合、アプリケーション側だけでなく、サーバー側で何が起きているかを確認することも重要です。

VPNのノーログポリシーを確認することが重要な理由

VPNに接続すると、それは実質的にお客様のインターネットプロバイダーになります。つまり、どのVPNプロバイダーも技術的には、お客様がオンラインで行うことを追跡し、ログに記録することが可能です。多くのVPNはノーログポリシーを持っていると主張していますが、これらのポリシーはテストにかけられると必ずしも維持されるわけではありません。

Proton VPNの厳格なノーログポリシーは、これまでに400件以上の法的ケースでテストされてきました。ユーザーを特定するためにログの提出を命じられたこともありましたが、これらのログが存在しなかったため、命令に従うことはできませんでした。

Proton VPNがスイスの管轄区域にあることは、VPNサービスにさらなるメリットをもたらします。例えば、現在のスイスの法的枠組みでは、Proton VPNにログを記録する義務はありません。ただし、サーバーの誤った構成やシステムアーキテクチャの欠陥により、ログが誤って保存される可能性は依然として残されています。

これに対処するため、当社はSecuritumに対し、当社のインフラストラクチャとサーバー側の運用について定期的に徹底的な検査を行うよう依頼しました。毎年、Securitumのセキュリティ専門家が現地で数日間を費やし、当社のVPN構成ファイルとサーバー構成を確認し、運用手順を評価し、スタッフへのインタビューを行っています。彼らの年次監査は広範囲に及び、以下をチェックしました。

  • ユーザーのトラフィックを処理する本番VPNサーバー上で、ユーザーアクティビティが追跡またはログに記録されているか？
  • DNSクエリやセッションのタイムスタンプなどの接続メタデータは、VPNサーバー上のログに記録されているか？
  • ユーザーのネットワークトラフィックは積極的に検査されているか、またはその内容はVPNサーバー上のログに記録されているか？
  • ユーザーが接続する特定のサービス（例：ウェブサイト、外部サーバー）に関する情報が監視またはログに記録されているか？
  • アクセスされたサービス（例：ウェブサイト、サーバー）と使用された特定のVPNサーバーを関連付ける集計ログは維持されているか？
  • ノーログポリシーは、すべての地理的地域において、すべてのサーバー、およびすべてのユーザーサブスクリプション層に一律に適用されていますか？
  • ログ記録を有効にする可能性のある、不正な構成変更（例：「log」パラメータをfalseからtrueに変更するなど）を検出してアラートを生成する自動化されたプロセスは導入されていますか？
  • ログ関連の構成に対するすべての承認された変更に対して、二重制御（フォーアイズ）の原則を組み込んだ、正式な変更管理プロセスが実施されていますか？
  • コアVPNサービスのアクティブな構成ファイルに、有効なログ記録の指示が含まれているか？
  • 特定のユーザーと、そのユーザーが接続している特定のVPNサーバーを関連付ける情報がログに記録されているか？

結果のレポートは、当社がメタデータログを一切保持せず、お客様のVPNアクティビティを記録せず、プライバシーを侵害する可能性のあるいかなる行為も行わないことを確認しています。またレポートは、Proton VPNがサービスにさらに機能を追加しても、これが厳格なノーログポリシーに決して影響を与えないことも確認しています。最新の（2026年）レポートは以下のように結論づけています。

「本業務中に調査した技術的証拠からは、調査対象となったProton VPNサーバーインフラストラクチャが、ユーザーの閲覧アクティビティ、DNSクエリ、送信先サービス、ネットワークトラフィックの内容、またはユーザーを識別できる接続メタデータをログに記録している形跡は認められませんでした。また、Securitumは、Protonが特定のユーザーと、調査対象のVPNサーバーを通じて行われたアクティビティを関連付けることを可能にするような永続的な記録も特定しませんでした。」

Securitumによる最新の全レポートは以下からお読みいただけます：

Securitumの推奨に沿って行われた今回の監査は、5年連続のノーログポリシーに関する年次監査となります。Securitumによる過去のノーログ監査もご覧いただけます：

透明性を通じた信頼

Protonでは、私たち自身のものを含め、すべての主張は調査され、検証されるべきであると信じています。今後も、お客様が私たちにデータを託す前に独立したセキュリティ専門家のレポートを読めるように、定期的なセキュリティ監査を実施し、結果を公開し続けます。

セキュリティ研究者の方は、私たちのオープンソースサービスの脆弱性を特定できる人に寛大な報奨金を提供するバグバウンティプログラム(新しいウィンドウ)を通じて、Protonのセキュリティをサポートしていただくようお願いいたします。

Proton VPNにサインアップ(新しいウィンドウ)して、お客様のプライバシーを尊重する、透明性が高く、オープンソースで、完全に監査されたノーログVPNを入手しましょう