AI生成物に機密情報が含まれるときパスワード共有で守る判断基準

認証は強さと手間のバランスで選ぶ

共有の認証は、強くするほど安全ですが、相手の手間も増えます。すべてに最も強い認証をかけると使いにくく、逆にすべてをURLのみにすると機密が漏れるリスクが上がります。内容の機密度に応じて選ぶのが現実的です。

ギガサイト便ではURLのみ・パスワード・メール認証・会社ドメイン認証から選べます。この記事では、URLのみで足りる場合とパスワードを足すべき場合の境目を中心に整理します。

URLのみで足りるケース

公開しても問題のない内容や、漏れても実害が小さいものは、URLのみで十分なことが多いです。たとえば、一般公開予定のデザイン案や、すでに外部に出ている情報をまとめたページなどです。

一時公開ページにはnoindexが付くため、検索結果には出ません。リンクを知っている関係者だけに渡せば、不特定多数の目に触れる可能性は低く抑えられます。ただしnoindexはアクセス制御ではない点は意識しておきます。

AI生成HTMLを共有する前の安全チェック

AI生成物に機密情報が含まれるときパスワード共有で守る判断基準では、AIツールの画面上で完成して見えても、共有用HTMLとして安全とは限りません。外部script、form送信先、APIキーらしき文字列、画像パス、ダミーデータではない個人情報を分けて確認します。

ツールの書き出し形式や共有機能は時期・プラン・作り方で変わります。この記事では特定機能の有無を断定せず、静的HTMLやZIPとして取り出せた成果物を安全に見せる前提で進めます。安全チェックが終わったら、HTMLまたはZIPをアップロードし、必要に応じて認証と期限を付けたURLとして共有します。

• 外部送信: form action、fetch、script src、iframeの向き先を確認する
• 秘密情報: APIキー、トークン、社内URL、顧客名が残っていないか検索する
• 表示再現: 画像・CSS・フォントが公開URLでも読み込めるか見る
• 共有設定: 相手、期限、認証方式、差し替え時の連絡方法を決める

パスワードを足すべきケース

次のいずれかに当てはまるなら、パスワードを足すのが妥当です。URLが転送されたり、誤って共有されたりしても、パスワードを知らない人は開けないためです。

判断に迷ったら「このURLが第三者の手に渡ったとき困るか」を基準にします。次の手順で見極めると判断がぶれません。

1. 成果物に未公開の製品・企画・価格が含まれるか確認する
2. 顧客名や取引内容など関係者以外に見せられない情報がないか確認する
3. メールやチャットなど転送されやすい経路でURLを送るか確認する
4. 受け取った相手がさらに転送する可能性があるか考える
5. 1つでも当てはまればパスワード以上の認証を付けると判断する

より強い認証を検討する場面

パスワードは便利ですが、パスワード自体が漏れると意味が薄れます。誰が開いたかを個人単位で管理したい場合は、メール認証（ワンタイムコード）を使うと、相手のメールアドレスごとに確認できます。

社内の特定範囲だけに見せたい場合は、会社ドメイン認証が向きます。同じ会社のメールアドレスを持つ人だけが開ける形にでき、パスワードの配布も不要です。なお、対応している認証はこの4種類で、IP制限やSSOといった方式は前提にしません。

期限と併用してリスクを下げる

認証に加えて、公開期限を設定するとリスクをさらに下げられます。確認が終われば期限切れで自動的に閲覧できなくなり、URLが後から悪用される余地を減らせます。無料プランの公開期限は最長7日です。

また、誰がいつ見たかをアクセスログで確認できます。想定外のアクセスがないかを把握でき、万一の際の手がかりにもなります。認証・期限・ログを組み合わせて、機密度に見合った守り方を選びましょう。