なぜ危ないのか
社外レビュー中にGA IDが残っていると、レビュアーが何度もページを開き直すたびにセッションが記録されます。コンバージョン測定の期間中であれば、外部のレビューセッションがコンバージョンに誤カウントされ、広告ROIの計算を大きく狂わせる可能性があります。
特にリターゲティング広告を運用している場合、レビュアーのブラウザがGA経由でオーディエンスリストに追加されます。その後そのレビュアーに自社の広告が表示されることになり、意図しない広告体験を与えることになります。
- 相手がログインなしで開ける状態か確認する
- PCとスマホで最低1回ずつ表示を確認する
- 内部情報・個人情報・不要な外部送信が残っていないか見る
- レビュー期限と修正時の差し替え方を決めておく
ソースで見る場所
チェック1：HTMLを開きCtrl+Fで`G-`を検索します。`G-`に続くパターンが「`G-XXXXXXXXXX`のような明らかなダミー値」でなく実際の英数字IDになっていれば、本番IDが残っています。同様に`GTM-`・`UA-`も検索してください。
チェック2：`<script`タグのsrc属性に`googletagmanager.com`・`google-analytics.com`・`googlesyndication.com`が含まれていないかを確認します。これらのドメインへの外部スクリプト読み込みは、GAまたはGoogle広告タグが稼働していることを示します。
- HTML内の外部script・form action・iframeを確認する
- APIキーやトークンらしき文字列がないか検索する
- 画像・CSS・JSのパスが公開後も解決できるか見る
- noindexと認証を混同せず、必要なら両方設定する
安全に共有する設定
チェック3：GAタグを削除またはID値をダミーに変更したHTMLをブラウザで開き、DevToolsのNetworkタブで`google-analytics`・`googletagmanager`を含むリクエストが発生しないことを確認します。リクエストがゼロであれば安全と判断できます。
チェック4：確認済みのHTMLをギガサイト便にアップロードし、パスワードと有効期限を設定したURLを発行します。URLをレビュー依頼メールに貼り付け、期限日時を本文に記載します。期限後にURLを失効させたことをダッシュボードで確認して作業完了です。
- HTML内の外部script・form action・iframeを確認する
- APIキーやトークンらしき文字列がないか検索する
- 画像・CSS・JSのパスが公開後も解決できるか見る
- noindexと認証を混同せず、必要なら両方設定する
再発防止ルール
上記のチェック4項目をチームのWikiに登録し、新メンバーのオンボーディング資料に含めます。各チェックに「担当者イニシャル+確認日時」を記入する欄を設けると、誰がいつ確認したかの記録が残ります。
Gitのpre-commitフックに`grep -E 'G-[A-Z0-9]{10}' $(git diff --cached --name-only | grep '\.html