RSSリーダーの安全性が気になる人へ。RSS自体、リーダーのアカウント、リンク先、非公開フィード、セルフホストを分け、登録前に確認したいプライバシーとセキュリティの項目を解説します。
RSSリーダーは、使うだけで危険になる仕組みではありません。ただし、RSSだから安全と保証されるわけでもありません。
RSSはサイトの更新情報を配る形式です。安全性を判断するときは、RSSの形式だけでなく、利用するリーダー、アカウント、登録するURL、記事のリンク先を分けて確認します。
先に結論をまとめると、公開サイトの公式RSSを少数だけ登録し、リンク先のドメインを確かめながら読むのが始めやすい方法です。トークンを含む非公開RSSは、パスワードと同じように慎重に扱ってください。
RSSの基本から確認したい場合は、RSSリーダーとは？好きなサイトの更新をまとめて読む仕組みと使い方を先に読んでください。
| 確認する対象 | 主な注意点 | 利用者ができること |
|---|---|---|
| RSSフィード | 公開URLか、認証情報を含む非公開URLか | 公式ページからURLを取得し、非公開URLを共有しない |
| RSSリーダー | 取得情報、利用目的、外部サービス、退会方法 | プライバシーポリシーと設定画面を確認する |
| アカウント | パスワードの使い回し、共有端末のログイン状態 | 固有のパスワードを使い、利用後にログアウトする |
| 記事のリンク先 | 不審なドメイン、偽のログイン画面、ファイル | 開く前に配信元とURLを確かめる |
| セルフホスト環境 | 更新停止、公開設定、バックアップ不備 | 更新、HTTPS、アクセス制御、復元確認を続ける |
一つの製品名だけで安全か危険かを決めるのではなく、自分がどの種類のRSSを、どの環境で読むかまで確認します。
公開RSSのタイトルや概要を読むことと、リンク先でログインしたりファイルを実行したりすることは別の操作です。
RSSリーダーには、配信元が設定した記事タイトル、概要、画像、リンクなどが表示されます。見慣れたサイト名に見えても、リンク先が正しい公式ドメインとは限りません。不自然なURL、突然の再ログイン要求、予期しないダウンロードが表示されたときは、そのまま進まないでください。
CISA（米国サイバーセキュリティ・社会基盤安全保障庁）も、フィッシング対策として不審なリンクや添付ファイルを開かないことを案内しています。RSSリーダーでも、記事リンクを無条件に信用しない考え方は同じです。
企業のニュース、行政機関のお知らせ、公開ブログなど、誰でも取得できるフィードです。サイトの公式RSS案内や公式ページからURLを取得します。
公開RSSでも、掲載された記事やリンク先の安全性までRSS形式が保証するわけではありません。配信元とリンク先を確認して使います。
有料購読、社内情報、非公開プロジェクトなどでは、URLに固有の文字列が含まれることがあります。このURL自体がアクセス情報として働く場合があります。
たとえばGitLabは、feed tokenを知る人が機密Issueを含むフィード活動を本人と同様に閲覧できると説明し、漏えい時のリセットを案内しています。Substackも、購読者ごとに固有のprivate RSS feedを発行しています。
非公開RSSは次の場所へ貼らないでください。
漏えいの可能性があるときは、配信元サービスでURLやトークンを再発行・無効化できるか確認します。
公式サイトからWeb版を開くか、公式サイトが案内するアプリストアの配布元を確認します。名前やアイコンが似ているだけで判断しません。
Web型では、メールアドレス、登録フィード、保存記事、既読状態、端末・アクセス情報などを扱う場合があります。実際の取得項目は、各サービスのプライバシーポリシーで確認してください。
広告がないことと、アクセス解析やデータ取得がないことは同じではありません。広告なしRSSリーダーの選び方でも確認項目を整理しています。
取得情報が、ログイン、同期、障害調査、アクセス解析など、どの目的で使われるかを確認します。外部の認証、保管、解析サービスへ情報が送られる場合があるかも読みます。
設定画面に退会やアカウント削除があるか、削除対象に登録フィード、保存、既読状態が含まれるかを登録前に確認します。無料で試す場合も、入口だけでなく出口まで見ておくと安心です。
RSSリーダー用に固有のパスワードを使い、パスワードマネージャーで管理します。多要素認証に対応するサービスでは、有効化も検討してください。
CISAは、長くランダムでサービスごとに固有のパスワード、パスワードマネージャー、多要素認証、ソフトウェア更新を基本対策として案内しています。
職場、学校、家族共用の端末では、利用ルールを確認し、使い終えたらログアウトします。ブラウザへのパスワード保存や通知表示も、端末の共有範囲に合わせて判断してください。
登録先をOPMLで書き出せるか、アカウントを削除できるかを確認します。OPMLは登録フィードURLの一覧を含むため、トークン付きURLが混ざっていないか確認してから保管・移行します。
| タイプ | データ管理の考え方 | 確認したいこと |
|---|---|---|
| Web型 | 運営サービスへログインして同期する | プライバシーポリシー、削除方法、ログイン管理 |
| アプリ型 | 端末内保存または同期サービスを使う | アプリ権限、配布元、更新状況、同期先 |
| セルフホスト型 | 自分のサーバーとデータベースで管理する | 公開範囲、認証、更新、ログ、バックアップ |
セルフホストすれば自動的に安全になるわけではありません。保管場所を自分で決められる一方、ソフトウェア更新、アクセス制御、バックアップも自分の責任になります。
FreshRSSの公式文書も、更新前のデータベースや設定のバックアップを案内しています。また、公開・複数ユーザー環境ではサーバー側のフィード取得がSSRFのリスクになり得るため、内部ホストへのリクエストを既定で制限しています。
導入候補と保守範囲は、セルフホスト型RSSリーダー3選で比較できます。
NagooFeedは、サーバーを自分で用意せず、PCやスマホのブラウザから使うWeb型RSSリーダーです。
NagooFeedのプライバシーポリシーでは、取得する場合がある情報、利用目的、外部サービス、Cookie、安全管理の方針を公開しています。設定画面からアカウントを削除すると、メールアドレスに紐づく登録フィード、記事、保存データ、既読・未読状態、設定情報が削除されます。
記事カードを開くと配信元のサイトへ移動します。移動先の内容や広告、安全性は配信元ごとに異なるため、タイトルだけでなくサイト名とリンク先も確認してください。
初めて使うときは、秘密のURLを含まない公開RSSだけで試してください。非公開プロジェクト、有料購読、個人用トークンを含むフィードURLは登録せず、配信元が明示的に案内する対応アプリで管理するのが安全です。
最初から非公開RSSや多数のフィードを移さず、公開情報だけで数日試すと、必要な機能と管理範囲を判断しやすくなります。
RSSという形式だけで安全・危険は決まりません。RSSに含まれるリンクから不審なサイトへ移動したり、未知のファイルをダウンロードして実行したりする操作には注意が必要です。配信元とURLを確認し、OS、ブラウザ、アプリを更新してください。
配信元がそのリーダーへの登録を明示的に許可し、URLの取扱いと保存先を理解している場合に限って判断してください。URLが漏れると内容を読まれる種類もあるため、迷う場合は登録しません。
広告表示の有無と、サービスが取得する情報は別です。広告なしでもアクセス解析、ログイン、同期のために情報を扱う場合があります。プライバシーポリシーで取得情報と目的を確認してください。
一律には言えません。設定と保守ができれば管理範囲を広げられますが、更新停止、公開設定の誤り、バックアップ不備も自分で防ぐ必要があります。保守に時間を使いたくない人には、方針を確認できるホスト型が合う場合があります。
確認日：2026年7月30日
NagooFeedでは、自分で選んだ公式サイトやブログの新着をブラウザで確認できます。まずは秘密情報を含まない公開RSSを3つだけ登録し、配信元を確かめながら試してください。