レビュー相手に渡す情報
URLを送る前に、まず自分でブラウザのシークレットモードを使って該当URLを開き、ログインなしでコンテンツが表示されることを確認します。ギガサイト便のパスワード認証を設定した場合は、パスワードを別経路（Slackダイレクトメッセージなど）で伝え、URLと同一メールに同梱しないようにします。
レビュー依頼メールには「確認期限（例：○月○日17時まで）」「修正後の差し替え方針（URLは同一か変わるか）」「指摘の返し方（コメントシートを添付するか、口頭MTGを設けるか）」の3点を明記します。セキュリティ担当者は複数案件を並行して抱えていることが多いため、期限を曖昧にしたまま送ると後回しにされがちです。
- 相手がログインなしで開ける状態か確認する
- PCとスマホで最低1回ずつ表示を確認する
- 内部情報・個人情報・不要な外部送信が残っていないか見る
- レビュー期限と修正時の差し替え方を決めておく
見るべき観点
セキュリティレビューで最初に確認されるのは「外部への意図しないデータ送信」です。HTMLソースを開いて `<script src>` の読み込み先が想定外のドメインになっていないか、`<form action>` が本番以外のエンドポイントを指していないかをブラウザの開発者ツールで確認します。特にGA4やヒートマップタグは、テスト環境用IDが混入しやすいので注意が必要です。
次に個人情報の残留を確認します。テスト用のメールアドレスや電話番号がHTMLソースにハードコードされていたり、コメントアウト内に認証情報が残っていたりするケースがあります。VSCodeの「Find in Files」で `@example.com` や `password` などのキーワードを検索してから共有すると、セキュリティ担当者の指摘を事前に潰せます。
認証と期限
レビュー対象が社外秘のデザインや未発表のキャンペーンページの場合は、URLを知っている人なら誰でも開ける状態では不十分です。ギガサイト便のメール認証を使えば、指定したアドレスにワンタイムリンクを送付できるため、転送リスクを下げられます。会社全体でレビューする場合は会社ドメイン認証（例：@example.co.jp のみ許可）が効率的です。
期限設定は「レビュー完了予定日＋1営業日」を目安にすると余裕が生まれます。修正後に再共有する場合は古いURLを失効させてから新URLを送ることで、どちらが最新版か混乱するリスクを防げます。ギガサイト便では有効期限を後から変更できるため、急きょ期限を延ばしたい場合も管理画面から即座に対応できます。
- 誰でも見てよい: URL共有のみでもよいが、検索除外は確認する
- 特定の相手だけ: パスワードまたはメール認証を使う
- 会社内だけ: 会社ドメイン認証を検討する
- 短期レビュー: 期限を設定して古いURLを残さない
指摘回収テンプレ
セキュリティレビューの指摘は「重大度（Critical/High/Medium/Low）」「該当箇所（URL・行番号・要素名）」「具体的な問題内容」「推奨対応」の4列で回収すると、優先順位を付けやすくなります。スプレッドシートのテンプレートをURLと一緒に添付して「このシートに記入してください」と依頼すると、指摘がテキストメッセージに分散するのを防げます。
口頭MTGで指摘を受ける場合は、画面共有中にセキュリティ担当者が該当箇所を指摘するタイミングでスクリーンショットを撮り、MTG後に議事録として上記4列フォーマットに起こします。MTG当日に「どこを直すか」が曖昧なまま終わると修正漏れが生じるため、MTG終了前に対応項目リストを口頭で読み上げて合意を取ることをお勧めします。
よくある質問
セキュリティレビュー用URLにパスワードを設定した場合、パスワードはどう伝えるべきですか？
URLと同じメールにパスワードを記載すると、メール転送時に両方が漏えいするリスクがあります。Slackのダイレクトメッセージや電話など、URLとは別の経路で伝えるのが基本です。
レビュー期限が過ぎたURLはすぐに削除すべきですか？
削除より「期限切れ状態での失効」が安全です。ギガサイト便では期限を過ぎると自動でアクセス不可になります。修正履歴として記録を残したい場合は失効のまま管理し、不要になったタイミングで削除します。
PCとスマホで表示を確認する際、特にセキュリティ観点で注意すべき点はありますか？
スマホのブラウザはCookieの扱いやCORSの挙動がPCと異なる場合があります。特にform送信やiframeを含むページは、スマホ実機でフォームが送信先へ正しくPOSTされるか確認しておくと安心です。