---
title: "社外レビュー前にsource mapの露出を検出するチェックリスト"
description: "社外共有前にソースマップが漏れていないか不安な担当者向け。検出コマンドと確認手順を一覧化し、レビュー依頼のたびに判断に迷わず動けるようになる。"
image: "https://giga-site.com/og-image.png"
canonical: "https://giga-site.com/articles/source-map-external-review-checklist"
markdown: "https://giga-site.com/articles/source-map-external-review-checklist/index.md"
category: "セキュリティ"
publishedAt: "2026-06-25"
updatedAt: "2026-06-25"
readingMinutes: 5
---
# 社外レビュー前にsource mapの露出を検出するチェックリスト

社外のデザイナーや取引先にHTMLプロトタイプを渡す前に、source mapファイルが一緒に公開されていないか確認しましたか。source mapにはビルド前の元ソースコードが再現できる情報が含まれており、意図せず社内ロジックや設計方針を外部へ漏らす原因になります。このチェックリストを使えば、レビュー依頼を出す前の10分で危険な設定を洗い出せます。

> Source HTML: https://giga-site.com/articles/source-map-external-review-checklist
> Article index: https://giga-site.com/articles/index.md

## なぜ危ないのか

source mapは`.js.map`や`.css.map`という拡張子のファイルで、ブラウザのDevToolsがミニファイ済みコードを元のソースコードに変換して表示するために使います。このファイルを本番環境や共有URLに一緒に配置すると、レビュアーがDevToolsを開いた瞬間に関数名・変数名・コメントなど開発時のコードがそのまま見えてしまいます。

特にAIが生成したHTMLの場合、ビルドツールの設定がデフォルトのままになっていることが多く、`//# sourceMappingURL=main.js.map`という行がスクリプト末尾に残りがちです。社外の相手がこの行を発見しても通常は意識しませんが、セキュリティ調査や競合調査を目的とした第三者には格好の情報源になります。

- 相手がログインなしで開ける状態か確認する
- PCとスマホで最低1回ずつ表示を確認する
- 内部情報・個人情報・不要な外部送信が残っていないか見る
- レビュー期限と修正時の差し替え方を決めておく

## ソースで見る場所

共有するHTMLをテキストエディタで開き、`sourceMappingURL`という文字列をCtrl+Fで検索します。`<script>`タグのsrc属性で読み込んでいる外部JSファイルにも同様の注釈が含まれていることがあるため、参照先のJSファイルを個別に開いて末尾数行を確認してください。

CSSファイルも同様に`/* # sourceMappingURL=style.css.map */`というコメントが末尾に付いていることがあります。共有URLにアップロードするファイル一覧を`ls -la`などで確認し、`.map`拡張子のファイルがある場合は削除するか、Webサーバーの設定で404を返すように制限してください。

- HTML内の外部script・form action・iframeを確認する
- APIキーやトークンらしき文字列がないか検索する
- 画像・CSS・JSのパスが公開後も解決できるか見る
- noindexと認証を混同せず、必要なら両方設定する

## 安全に共有する設定

ギガサイト便のようなプレビュー共有サービスを使う場合、アップロードするZIPやフォルダから`.map`ファイルをあらかじめ除外しておくのが最も確実な方法です。WebpackならWebpackなら`devtool: false`、Viteなら`build.sourcemap: false`を設定してビルドし直すと、ビルド成果物に`.map`ファイルが生成されません。

どうしてもsource mapが必要な場合は、`hidden-source-map`オプション（Webpack）を使い、ファイル自体は存在させつつJSからの参照コメントを除去する方法があります。この設定では外部からURLを知らない限りmapファイルにアクセスできないため、レビュアーに見せる範囲に含まれるリスクが下がります。ただし、ファイル自体が同一ドメインに存在するため、URL推測による到達を完全には防げないことも覚えておいてください。

- HTML内の外部script・form action・iframeを確認する
- APIキーやトークンらしき文字列がないか検索する
- 画像・CSS・JSのパスが公開後も解決できるか見る
- noindexと認証を混同せず、必要なら両方設定する

## 再発防止ルール

レビュー依頼のプロセスをドキュメント化し、「社外共有前チェックリスト」の項目のひとつにsource map除外の確認を追加します。GitHubのPRテンプレートやNotionのチェックリストに組み込むと、担当者が変わっても手順が引き継がれます。

CIパイプラインを持つプロジェクトであれば、デプロイジョブの中でmap拡張子を持つファイルが出力ディレクトリに含まれているかをgrepで検査し、存在する場合はワーニングまたはエラーで止める仕組みを入れると機械的に防止できます。月に一度、共有済みURLに`.map`ファイルが残っていないかcurlで疎通確認するスケジュールタスクを設けることも有効です。

- HTML内の外部script・form action・iframeを確認する
- APIキーやトークンらしき文字列がないか検索する
- 画像・CSS・JSのパスが公開後も解決できるか見る
- noindexと認証を混同せず、必要なら両方設定する

## よくある質問

### source mapを削除するとデバッグが難しくなりますか？

共有用ビルドとローカル開発用ビルドを分けることで解決できます。ローカルでは`devtool: eval-source-map`のまま開発し、社外共有用には`devtool: false`でビルドする手順を分けるだけです。

### `.map`ファイルが存在しなければsourceMappingURLのコメントは無害ですか？

コメントだけなら即座に内容は漏れませんが、ファイルが後から誤って追加されるリスクがあるため、コメント自体も除去しておくことを推奨します。ビルド設定で`devtool: false`にすれば両方まとめて消えます。

### 社外レビューをパスワード付きURLで行えば、source mapが残っていても問題ないですか？

パスワード保護はブラウザレベルの認証であり、一度認証した相手のDevToolsにはmap情報がそのまま表示されます。パスワードで保護しつつmapファイルも除去する二重対策が必要です。

## 関連記事

- [社外レビュー前に外部フォーム送信先を検出するチェックリスト](https://giga-site.com/articles/external-form-action-external-review-checklist/index.md)
- [AI生成HTMLにsource mapの露出が残っていないか確認する方法](https://giga-site.com/articles/source-map-check/index.md)
- [source mapの露出を含むHTMLを共有するときのリスクと対策](https://giga-site.com/articles/source-map-risk-countermeasure/index.md)
- [source mapの露出を防ぐAIプロンプトと公開前スキャン](https://giga-site.com/articles/source-map-prompt-scan/index.md)
- [社外レビュー前にAPIキー直書きを検出するチェックリスト](https://giga-site.com/articles/hardcoded-api-key-external-review-checklist/index.md)
- [社外レビュー前にフィッシングに見える文言を検出するチェックリスト](https://giga-site.com/articles/phishy-copy-external-review-checklist/index.md)

```json
{
  "@context": "https://schema.org",
  "@type": "Article",
  "headline": "社外レビュー前にsource mapの露出を検出するチェックリスト",
  "description": "社外共有前にソースマップが漏れていないか不安な担当者向け。検出コマンドと確認手順を一覧化し、レビュー依頼のたびに判断に迷わず動けるようになる。",
  "datePublished": "2026-06-25",
  "dateModified": "2026-06-25",
  "mainEntityOfPage": "https://giga-site.com/articles/source-map-external-review-checklist",
  "url": "https://giga-site.com/articles/source-map-external-review-checklist",
  "inLanguage": "ja",
  "image": "https://giga-site.com/og-image.png",
  "articleSection": "セキュリティ",
  "author": {
    "@type": "Organization",
    "name": "ギガサイト便"
  },
  "publisher": {
    "@type": "Organization",
    "name": "ギガサイト便"
  },
  "mainEntity": [
    {
      "@type": "Question",
      "name": "source mapを削除するとデバッグが難しくなりますか？",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "共有用ビルドとローカル開発用ビルドを分けることで解決できます。ローカルでは`devtool: eval-source-map`のまま開発し、社外共有用には`devtool: false`でビルドする手順を分けるだけです。"
      }
    },
    {
      "@type": "Question",
      "name": "`.map`ファイルが存在しなければsourceMappingURLのコメントは無害ですか？",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "コメントだけなら即座に内容は漏れませんが、ファイルが後から誤って追加されるリスクがあるため、コメント自体も除去しておくことを推奨します。ビルド設定で`devtool: false`にすれば両方まとめて消えます。"
      }
    },
    {
      "@type": "Question",
      "name": "社外レビューをパスワード付きURLで行えば、source mapが残っていても問題ないですか？",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "パスワード保護はブラウザレベルの認証であり、一度認証した相手のDevToolsにはmap情報がそのまま表示されます。パスワードで保護しつつmapファイルも除去する二重対策が必要です。"
      }
    }
  ]
}
```