弊社と同じく、クライアント様のサイト運営をサポートしている企業は多くあると思います。
Googleアナリティクスやサーチコンソールなど、Webサイトのデータはクライアント様から預かっている大切なデータです。
この記事では、MicrosoftのClarityとGA4を統合する際に生まれる、情報漏洩のリスクについて解説します。
仕様なのかバグなのかわかりませんが、注意しないと見落としがちな内容だと思います。
この記事を見ている同業者のために、実際に起こりうる現象と、チェックポイントなどについてまとめておきます。
目次
本来は便利なGAとClarityの統合
Clarityには、Googleアナリティクスとデータを統合する機能があります。
統合を行うと、
- Clarityのダッシュボードで、Googleアナリティクスのデータを参照できる
- Googleアナリティクスにて、Clarityの計測イベントが確認できるようになる
などのメリットがあります。
ClarityとGoogle アナリティクスを接続するとできること（日本語）
例えば、
- GA4と統合して、ClarityのイベントをGAで計測できるようにする
- タグマネージャーなどでイベントを作成し、session_idを記録する
- Looker Studioで、イベントのsession_idと、Clarityのsession_idを連結する
このような使い方をすると、「特定のイベントが発生したリプレイだけを表示する」といった便利なLookerのダッシュボードを作成することもできます。
しかし後述するように、GAとClarityの連携は慎重に行う必要があります。
情報漏洩するデータ
端的に言うと、自分が参照可能なGooleAnalyticsデータを、Clarityの他のチームメンバーが閲覧することができてしまいます。
Looker Studioでも、共有URLなどで同様の事象が発生する可能性があります。
しかし、今回はMicrosoftが絡んでいるので、より構造が複雑になっています。
起きる現象と発生手順
この現象は、以下の手順を踏むと発生します。
- Aさんが、GA4とクラリティを接続する
- Aさんが、Bさんを管理者としてクラリティのチームに入れる
- Bさんがセットアップにて「接続先」クリックする
- Bさんの知らないサイト名が表示される
1.Aさんが、GA4とクラリティを接続する
2.Aさんが、Bさんを管理者としてクラリティのチームに入れる
3.Bさんがセットアップにて「接続先」クリックする
4.Bさんの知らないサイト名が表示される
実は、表示されているのは、Aさんが管理している全てのGoogleアナリティクスのプロパティ一覧です。
データ漏洩が起きるケース
さらに、この状況でBさんが接続先を変更すると、接続したプロパティのデータまでBさんが見れてしまいます。
（もしBさんが悪い人なら、という想定です。）
起こりうる危険性があるケース
この事象が発生しうるケースとしては、コンサル会社の引き継ぎなどがあります。
前回までの例で言えば、Aさんが所属する会社と、Bさんが所属する会社が違う場合です。
例えば、Aさんが所属するアルファ社が、Bさんが所属するベータ社にコンサルを引き継ぎするケースを考えます。
AさんがGAとClarityを統合後、引き継ぎのために別会社のBさんを、管理者としてチームに加えます。
この時に、Bさんが接続先のクリックすると
Bさんは、AさんのGoogleアカウントに紐づいた情報を参照できてしまいます。
接続先を変更しなければ、Bさんはアクセス数などのデータを見ることはできません。
しかし、「企業がどのクライアントをコンサルしているか？」自体も、なかなかなレベルの機密事項だと思います。
バグなのか？仕様なのか？
この現象が起きる原因は、Clarityのプロジェクトと、Aさん（統合を実施した管理者）のGooleアカウントのアナリティクスデータが紐づいているためです。
統合を実施する際、Googleアカウントの権限認証の画面が表示され、MicrosoftにGAのデータを渡すことの許諾を求められます。
こちらを承認すると、MicroSoftはAさんが保有する全てのGAのデータの参照、編集ができるようになります。
一応、きちんと承認を得ているのでルール違反ではないと思いますが・・・
ここで参照されるGAのデータは、管理者本人のGoogleアカウントであるべきな気がします。
（今回の場合は、Bさんが保有するプロパティ一覧が表示される）
Clarityのバグなのか、仕様なのか、よくわかりません。
対応策
既に統合を行っている人、まだ行っていない人で、対応が分かれます。
既に統合を行っている人
既にGA4とクラリティを接続し、かつ、管理者権限でチームメンバーを増やしている人です。
まずは、Clarityの画面から、アナリティクスの接続情報を確認してください。
正しいサイトと接続されているかどうか、別のサイトに接続が変更されていないか、チェックします。
接続先に問題がないことを確認した上で、管理者権限を付与したメンバーに対して、権限を「メンバー」に変更します。
メンバーからでは、以下のように統合の設定を行うことができないようになっています。
まだ統合を行っていない人
まず、安易に管理者権限でメンバーを追加しないようにしましょう。
もし引き続きをする際は、一度GA4とClarityの統合を切断し、再統合は引き継ぎ先の企業に行ってもらうようにしましょう。
余談
ヒートマップやセッション録画の機能は、コンバージョン改善にとても便利です。
本来なら、マイクロソフトではなく、Googleでこのような分析ツールをリリースして欲しいところです。
ただ、Googleは個人情報の取り扱いについて、世間的にかなり厳しい目を向けられています。
ある程度フィルターがかかっているとはいえ、自分のセッションが録画されていると知ったユーザーは、良い気持ちにはならないでしょう。
※念の為補足ですが、弊社ではコンサルを他社に引き継いだことはまだありません。
