SAFETY / 困ったとき
公式配布元を確認して、
安全にダウンロードする方法
ツールや拡張機能の名前を検索すると、似た名前のページや第三者の配布先が見つかることがあります。迷ったときは、検索結果から探すより公式サイトのダウンロード導線から進むのが分かりやすく安全です。
更新日：2026-09-22公式サイト → 公式GitHub → Release → 指定された配布ファイルの順に確認します。署名やSHA-256などが案内されている場合は補助確認に使えますが、まず大切なのは「そのリンクが公式から案内されたものか」です。
一番大事なのは「どこから来たリンクか」
GitHubのPublicリポジトリは誰でも閲覧・コピーできるため、第三者が似た名前のリポジトリや配布ページを作ることは技術的に可能です。そのため、名前だけで判断するより、公式ホームページから直接案内されたリンクを使う方が確認しやすくなります。
公式な配布物は、言葉屋公式サイトから github.com/kotobaya/... の対象ページへ直接案内する形を基本にします。GitHub内で検索して探す必要はありません。
STEP 1：公式サイトから進む
- ブックマークや公式サイトのサービスページからダウンロード案内を開く
- 検索結果に出た広告や似た名前のサイトから直接ダウンロードしない
- URLのドメイン名を確認する
メールやSNSでリンクを受け取った場合も、心配なら一度公式サイトへ戻り、同じ配布ページへたどれるか確認すると安心です。
STEP 2：GitHubの配布元を確認
GitHubへ移動したら、リポジトリ名だけでなく所有者・Organization名を確認します。言葉屋の公式配布であれば、公式サイトから案内された kotobaya Organization配下かを確認します。
- GitHubの所有者名が案内と一致している
- 公式サイトからそのページへ直接リンクされている
- Releaseの説明やバージョンが不自然でない
STEP 3：Releaseとファイル名を確認
GitHub Releaseには、リリースごとに固有のURLを持たせることができ、配布者がZIPなどのファイルをRelease assetとして置けます。配布ページに書かれたバージョンとファイル名を確認してからダウンロードします。
GitHubが自動で用意するソースコードZIPではなく、配布者がAssetsへ追加した専用ZIPを使うケースがあります。案内されたファイル名を選んでください。
署名やチェックサムはどう使う？
GitHubでは、署名されたコミットやタグについて検証状態を表示できます。また、配布元がSHA-256などのチェックサムを案内している場合は、ダウンロードしたファイルが案内された内容と一致するか確認できます。
ただし、チェックサムが書いてあるだけで、そのページ自体が公式だと証明できるわけではありません。偽の配布ページが偽ファイルとそのチェックサムを一緒に掲載することもできるためです。
①公式サイトから来たリンクか → ②公式の配布元か → ③Release・ファイル名は合っているか → ④案内があれば署名やチェックサムも確認、という順番で考えます。
こんなときはダウンロードしない
- 公式サイトでは見つからないのに、検索結果だけに配布ページがある
- 似た名前だがGitHubの所有者名が違う
- 「最新版」と書いてあるのに、公式Releaseとバージョンが違う
- インストール手順に、理由なくセキュリティ機能を無効化する指示がある
- 配布元が分からないZIP・実行ファイルを直接送られてきた
迷ったら、その場でインストールせず配布元へ確認してください。
よくある質問
GitHubにあるなら安全ですか？
GitHub上にあることだけでは、公式配布物だとは判断できません。誰が所有しているリポジトリか、公式サイトから案内されているかを確認してください。
SHA-256が一致したら絶対に安全ですか？
ファイルが案内された内容と一致していることを確認する助けにはなりますが、その案内元自体が本物かどうかは別の確認が必要です。
最新版のReleaseを毎回探す必要がありますか？
GitHubには最新Releaseへつながる固定URLがあります。配布側がそのURLを案内していれば、同じリンクから最新版を確認できます。
公式資料
関連ガイド
「このリンク、本当に公式？」
分からないときはダウンロードする前に確認してください。リンクだけ送ってもらえれば、一緒に確認できます。
無料相談へ →