なぜ危ないのか
Meta Pixelが含まれたHTMLを社外の人が開くと、その人のブラウザ情報・ページURL・デバイス種別がMetaのサーバーに送信されます。Metaのプライバシーポリシーに同意していない相手にこの処理を行うと、EU GDPR・日本の個人情報保護法の観点から問題になります。
広告運用の観点では、社外レビュアーがMeta Pixelのターゲティングリストに誤って追加される問題があります。競合他社の社員がレビュアーだった場合、その人に自社の広告が表示されるという意図しない状況が生まれます。
- 相手がログインなしで開ける状態か確認する
- PCとスマホで最低1回ずつ表示を確認する
- 内部情報・個人情報・不要な外部送信が残っていないか見る
- レビュー期限と修正時の差し替え方を決めておく
ソースで見る場所
Meta PixelのコードはHTMLの`<head>`内または`<body>`先頭に配置されることが多いです。`connect.facebook.net`というドメインと`fbq(`という関数呼び出しが特徴的なパターンです。`grep -n 'fbq\|connect.facebook.net' index.html`で一括検索できます。
Pixelコードは通常2〜3行のインラインスクリプトと外部スクリプトの読み込みがセットになっています。`fbq('init', 'XXXXXXXXXXXXXXXX')`の`init`に続く数値がPixel IDです。この数値が本番IDであれば、削除または`000000000000000`のようなダミー値に置き換えてください。
- HTML内の外部script・form action・iframeを確認する
- APIキーやトークンらしき文字列がないか検索する
- 画像・CSS・JSのパスが公開後も解決できるか見る
- noindexと認証を混同せず、必要なら両方設定する
安全に共有する設定
Meta Pixelを削除したHTMLをギガサイト便でパスワード保護のうえ共有します。パスワードはレビュー依頼メールで別経路で伝え、URLとパスワードを同じメールに書かないようにします。これにより、URLが転送されても認証なしにはアクセスできません。
共有URLにアクセスできる期間を限定し、レビュー完了後は即座に無効化します。長期間有効なURLは不必要なリスクを生むため、通常は48〜72時間程度の有効期限を設定することを推奨します。
- HTML内の外部script・form action・iframeを確認する
- APIキーやトークンらしき文字列がないか検索する
- 画像・CSS・JSのパスが公開後も解決できるか見る
- noindexと認証を混同せず、必要なら両方設定する
再発防止ルール
AIへの生成指示に「Meta Pixel・Facebook Pixelのコードは一切含めないこと。`fbq`関数・`connect.facebook.net`へのスクリプト読み込みは禁止」と明示します。類似サービス（TikTok Pixel・Twitter Pixel）も同様に禁止ワードリストに含めてください。
デプロイパイプラインのレビュー環境ビルドステップで、`fbq`・`pixel`をgrepするチェックを追加します。本番環境ビルドと社外レビュー用ビルドを分け、後者ではMeta Pixelタグを自動削除するステップを入れることで、手動確認のミスをなくせます。
- HTML内の外部script・form action・iframeを確認する
- APIキーやトークンらしき文字列がないか検索する
- 画像・CSS・JSのパスが公開後も解決できるか見る
- noindexと認証を混同せず、必要なら両方設定する
よくある質問
Meta Pixel IDはどこで確認できますか？自社のIDが何かわからなくなりました。
Meta Business Suite（business.facebook.com）にログインし、「イベントマネージャー」を開くと登録済みのPixelとそのIDが確認できます。HTMLに残っているIDとイベントマネージャーのIDを照合することで、本番IDかどうかを判定できます。
noscriptタグ内のMeta Pixelのimgタグも削除が必要ですか？
はい、削除が必要です。`<noscript><img src="https://www.facebook.com/tr?id=...`という形式のタグは、JavaScriptが無効な環境でもトラッキングが機能するフォールバックです。scriptタグと一緒にnoscriptタグ内のimgタグも削除してください。
Meta Pixelのコードを残したHTMLを共有してしまった後に取れる対応は？
まずMeta Business Managerのイベントマネージャーで、該当URLのデータを除外するフィルタを設定します。次に共有URLを無効化し、相手にデータが収集されていた可能性を率直に説明します。EU圏の方が含まれる場合はプライバシー担当部署への連絡も検討してください。