相手ごとに最小限の認証を割り当てる考え方｜全員に同じURLを配らない

「同じURLを全員に」が抱えるリスク

ひとつのURLを大勢に配ると、誰がどこまで転送したかを追いきれなくなります。URLは文字列なので、メールやチャットで簡単に他者へ渡せてしまい、想定外の人の手に届くことがあります。

また、全員に同じ手段を渡すと、関係の薄い相手にも社内向けの相手と同じ情報が届きます。見る必要がない人にまで中身が見えてしまう状態は、漏えいの面でも管理の面でも望ましくありません。

最小権限の発想では、相手の立場を分けて考え、それぞれに見合った強さの認証を割り当てます。全員一律ではなく、必要に応じて手段を変えるのが基本です。

認証方式と相手の対応づけ

ギガサイト便で選べる認証は「URLのみ／パスワード／メール認証（ワンタイムコード）／会社ドメイン認証」の4種類です。これを相手の属性に合わせて使い分けます。

目安として、次のような対応が考えられます。相手をどこまで限定したいかで選ぶと迷いません。

• 公開してよい広報物・誰が見ても問題ない資料：URLのみ
• 社外の取引先など、ある程度限定したい相手：パスワード
• 個人を特定して届けたい相手：メール認証（ワンタイムコード）
• 自社の社員だけに限定したい資料：会社ドメイン認証

よくあるNG例と安全な直し方

相手ごとに最小限の認証を割り当てる考え方｜全員に同じURLを配らないでは、「検索に出さない」と「見られないようにする」を混同しないことが重要です。noindexやrobots.txtは検索エンジンへの指示であり、アクセス制限そのものではありません。

安全に共有するには、誰に見られると困るかを先に決め、URL共有だけで足りるのか、認証や期限が必要なのかを選びます。共有相手と機密度が決まったら、URLのみ・パスワード・メール認証・会社ドメイン認証のどれで渡すかを選びます。

• NG: 機密情報入りHTMLを認証なしURLで共有し、noindexだけで安心する
• OK: パスワード・メール認証・会社ドメイン認証で閲覧者を絞る
• NG: テスト用APIキーや社内URLをHTML内に残したまま渡す
• OK: 公開前に外部送信先、秘密情報、フォーム送信先を確認する

相手ごとに出し分ける手順

ひとつの内容を複数の相手に届けるとき、相手のグループごとに分けて準備すると最小権限を保ちやすくなります。次の流れが基本です。

1. 届ける相手を「公開可」「社外限定」「個人限定」「社内限定」などに分類する
2. それぞれのグループに合った認証方式を決める
3. グループごとに共有を用意し、認証を設定する
4. 必要な公開期限を設定し、見せる期間も最小限にする
5. 配布後にアクセスログを確認し、想定外の閲覧がないか見る

強すぎる認証は使われなくなる

最小権限は「とにかく厳しくする」ことではありません。必要以上に強い認証を全員に課すと、相手の手間が増え、結局URLを別の手段で共有されるなど、運用が崩れる原因になります。

誰でも見てよい資料にメール認証を必須にすると、コード入力の手間で閲覧をあきらめる人も出ます。相手の負担と守りたい度合いの釣り合いを見て、ちょうどよい強さを選ぶことが大切です。

迷ったら「この相手にこの中身を見せて困らないか」を基準にします。困るほど限定したいなら強い認証、誰に見られても問題ないなら軽い認証、と切り分けると判断がぶれません。

ギガサイト便での実践

ギガサイト便は同じ内容でも認証方式を選んで共有でき、公開期限やアクセスログにも対応しています。相手ごとに共有を分けておけば、誰がいつ見たかを確認しながら、必要な範囲だけに届けられます。

URLだけで配るのが手軽な場面もありますが、noindexは検索結果に出さない仕組みでありアクセス制御ではありません。関係者以外に見せたくない中身には、相手に合った認証を併用してください。