VPN-ключ, VLESS-ссылка и subscription URL: в чем разница и что безопаснее

Что обычно называют VPN-ключом

В пользовательском интерфейсе словом «ключ» могут называть разные вещи: QR-код, строку VLESS, файл конфигурации или ссылку на подписку. Поэтому сначала нужно определить объект. Одиночная VLESS-ссылка содержит параметры, необходимые клиенту для одного подключения: адрес сервера, идентификатор пользователя и транспортные настройки. QR-код часто является только удобным способом передать ту же строку.

Такая конфигурация не является паролем в привычном виде, но обращаться с ней нужно как с секретом. Скопированный профиль может быть импортирован на другом устройстве, если серверная политика не ограничивает его использование.

Чем subscription URL отличается от одной VLESS-ссылки

Subscription URL обычно возвращает клиенту набор конфигураций. Главное практическое отличие в обновлении: приложение может повторно запросить тот же URL и получить измененный список серверов или параметров без ручного импорта каждого профиля. Это удобно для ротации инфраструктуры и нескольких локаций.

Одновременно возрастает ценность самой ссылки. Если посторонний получает subscription URL, он потенциально получает не только текущую конфигурацию, но и последующие обновления, пока ссылка остается действующей. Поэтому ее нельзя публиковать в скриншотах, логах, тикетах или общедоступных репозиториях.

Как выбрать формат и что делать при утечке

Одиночный профиль удобен, когда нужен один стабильный сервер и изменения редки. Подписка удобнее, когда клиенту нужно автоматически получать актуальный набор профилей. В обоих случаях предпочтительны персональные учетные данные, которые можно отозвать без влияния на остальных пользователей.

При подозрении на утечку не пытайтесь «спрятать» старую ссылку удалением сообщения. Считайте credential скомпрометированным, отзовите его на стороне сервиса и выпустите новый. На новом устройстве импортируйте только свежую конфигурацию и удалите старый профиль.