--- title: Webサイトに増えていく「未把握の外部サービス」をどう管理するか description: >- Webサイトでは、CMSへの埋め込みやGTMへのタグ追加、外部ウィジェットの導入などを通じて、さまざまな外部サービスが追加されます。通常の更新業務の中で生まれる「未把握の外部サービス」と、CMPやポリシー、Webサイト運用をどうつなげて管理するかを考えます。 canonical: 'https://mixed.co.jp/articles/unmanaged-external-services/' updatedAt: '2026-08-22' --- # Webサイトに増えていく「未把握の外部サービス」をどう管理するか Webサイトでは、CMSへの埋め込みやGTMへのタグ追加、外部ウィジェットの導入などを通じて、さまざまな外部サービスが追加されます。通常の更新業務の中で生まれる「未把握の外部サービス」と、CMPやポリシー、Webサイト運用をどうつなげて管理するかを考えます。 公式ページ: [https://mixed.co.jp/articles/unmanaged-external-services/](https://mixed.co.jp/articles/unmanaged-external-services/) # Webサイトに増えていく「未把握の外部サービス」をどう管理するか Webサイトには、さまざまな外部サービスが組み込まれています。 アクセス解析や広告だけではありません。YouTubeなどの動画、SNSの投稿、地図、フォーム、チャット、予約システムなど、現在のWebサイトは外部サービスを利用することを前提に作られています。 こうしたサービスは、Webサイトを公開するときにまとめて導入されるとは限りません。 CMSからページを更新するときに動画を埋め込む。GTMに新しい計測タグを追加する。キャンペーンページに外部フォームを設置する。採用サイトに別のサービスを導入する。 どれも通常のWebサイト運用で起こる変更です。 問題になるのは、外部サービスを利用すること自体ではありません。 Webサイトではすでに利用されているのに、その存在や利用目的が、CMPやプライバシーポリシー、Cookieポリシーなどの管理へ十分に反映されていない状態が生まれることです。 本稿では、このようにWebサイト上では利用されているものの、サイト全体の管理として十分に把握されていないものを「未把握の外部サービス」と呼びます。 ## この記事の要点 * 外部サービスは、Webサイト公開後の通常の更新業務でも追加されます。 * CMS、GTM、JavaScript、外部ウィジェットなど、追加される経路は一つではありません。 * 問題は外部サービスの利用そのものではなく、実装と管理・説明の間にずれが生まれることです。 * CMPによるクロールは、すでにWebサイト上で動いている外部サービスを発見する手掛かりになります。 * 外部サービスを一律に禁止するのではなく、「追加できること」と「把握できること」を両立させる必要があります。 ## 外部サービスは一つの場所から追加されるわけではない Webサイトを制作した時点では、どの外部サービスを利用しているか把握できていたとしても、その状態がそのまま続くとは限りません。 例えば、外部サービスが追加される経路には次のようなものがあります。 * CMSのテンプレート * CMSの本文や入力項目 * Google Tag Manager（GTM） * ページ固有のJavaScript * HTMLへ直接記述されたタグ * 外部サービスが提供するiframeやウィジェット * 本体サイトとは別に管理されている採用サイトやランディングページ 一つひとつを見ると、特別な実装ではありません。 CMSの更新担当者がYouTube動画を掲載することもあれば、マーケティング担当者がGTMから新しい計測サービスを追加することもあります。別の制作会社がキャンペーンページへ外部フォームを設置することもあります。 それぞれの担当者は、自分の業務として必要な変更を行っています。 しかし、Webサイト全体から見ると、外部サービスを追加できる場所が複数存在することになります。 ## 「誰かが勝手に追加した」ことだけが問題ではない 未把握の外部サービスというと、管理者に無断で誰かがタグを追加するような状況を想像するかもしれません。 実際には、もっと普通の運用の中でも発生します。 例えば、広報担当者がCMSから動画を掲載する場合、その担当者にとって必要なのは「動画をページに掲載すること」です。 その動画サービスがどのような外部通信を行い、Cookieを発行するのか、その利用についてCookieポリシーやCookieバナーの説明を変更する必要があるのかまで、更新担当者が判断するとは限りません。 GTMでも同じです。 計測上の必要性から新しいタグを追加した担当者が、その変更に伴うプライバシー対応まで担当しているとは限りません。 つまり、 ```text 業務上必要なサービスを追加する ↓ Webサイトではサービスが動き始める ↓ CMPやポリシーを管理する担当者には変更が伝わらない という状態が、通常の業務分担の中でも発生します。 ここで問題なのは、担当者個人の注意不足というよりも、Webサイトを変更する経路と、プライバシー管理を更新する経路が分かれていることです。 Cookie棚卸しから外部サービスが見つかることがある Cookieの棚卸しを行っていると、想定していなかったCookieが検出されることがあります。 Cookie名だけでは発行元が分からない場合、そのCookieが検出されたページを開き、ブラウザのNetwork通信やJavaScriptを確認します。 発行元を追っていくと、 「このページで、この外部サービスが動いている」 ことが分かります。 ここで初めて、そのサービスがサイト全体の管理対象として十分に把握されていなかったことに気づく場合があります。 つまり、Cookie棚卸しはCookieを調べるだけではなく、Webサイトに組み込まれている外部サービスを発見する機会にもなります。 CMPによるクロールも、こうした状態を見つけるための手掛かりになります。 Cookieがなければ問題がないとは限らない 外部サービスを管理するときに注意したいのは、Cookieの有無だけを基準にしないことです。 ブラウザから第三者のサーバーへ通信すれば、Cookieを発行していなくても情報が送信される場合があります。 そのため、 「Cookieが検出されなかったから管理対象ではない」 とは限りません。 前の記事でCookieの発行元をNetwork通信から調べたように、調査を進めるとCookieではなく外部サービスそのものを見る必要が出てきます。 管理対象を考えるときも、 どのCookieがあるか だけではなく、 Webサイトがどの外部サービスと通信しているか という視点が必要になります。 実装と説明の間にずれが生まれる 外部サービスが新しく追加されても、その変更がプライバシー管理側へ伝わらなければ、Webサイトの実際の状態と利用者への説明にずれが生まれます。 例えば、新しい外部サービスを導入した結果、 新しいCookieが発行される 新しい第三者との通信が発生する これまでとは異なる目的で情報が利用される ようになったにもかかわらず、 プライバシーポリシー Cookieポリシー Cookieバナー上の説明 が以前のままになっている状態です。 CMPによってCookieを自動的に検出できる場合でも、サービスを導入した目的や、その利用についてどのように説明するかまで自動的に決まるわけではありません。 技術的な検出と、利用目的の整理や説明は別の作業です。 追加を禁止するだけでは解決しない 対策として、外部サービスの追加を厳しく制限する方法も考えられます。 しかし、Webサイトでは外部サービスを利用する必要があります。 動画を掲載したい、アクセスを計測したい、フォームを設置したい、SNSのコンテンツを表示したい、といった要求そのものをなくすことはできません。 すべての変更をWeb制作会社やシステム管理者へ依頼しなければならない仕組みにすると、CMSを使って更新業務を分担している意味も薄れてしまいます。 必要なのは、 「追加できないようにすること」ではなく、「追加されたことを把握できること」 です。 自由に追加できる状態と、何が追加されたか分からない状態は同じではありません。 外部サービスを「変更」として扱う Webサイトの管理では、ページ追加や文章修正、画像差し替えなどが「更新」として扱われます。 一方で、外部サービスの追加は、見た目だけでは小さな変更に見えることがあります。 例えば、YouTubeの埋め込みコードを一つ追加するだけなら、CMS上では本文編集の一部です。 しかし、Webサイトの挙動として見ると、 外部サービスを追加 ↓ 新しい外部通信が発生 ↓ Cookieやその他の情報取得が発生する可能性 ↓ CMPや利用者への説明へ影響する可能性 があります。 そのため、外部サービスの追加は、単なるコンテンツ更新ではなく、Webサイトの外部通信を変更する操作として扱う必要があります。 CMSでできること CMSは、未把握の外部サービスが入り込む経路の一つです。 一方で、CMSを外部サービスの利用を管理する場所として使うこともできます。 例えば、更新担当者へHTMLやiframeを自由入力させるのではなく、 動画URL [________________] 動画サービス [ YouTube ▼ ] のように、利用するサービスを構造化した入力項目として持たせる方法があります。 テンプレート側では、その値から決められた埋め込みコードを生成します。 こうすると、 どのサービスを利用できるか どの形式で出力するか Cookie制御をどのように適用するか をCMS側で一定のルールにできます。 YouTubeで youtube-nocookie.com を利用する方針であれば、更新担当者に毎回その実装を判断してもらう必要もありません。 CMSはコンテンツを入力するだけの仕組みではなく、Webサイトで許可する実装方法を標準化する場所としても利用できます。 CMSだけでは管理できない ただし、CMSだけで外部サービスを管理できるわけではありません。 GTMから追加されるタグはCMSを通りません。 CMSとは別に作られたランディングページや採用サイトもあります。外部サービス自体が別の第三者サービスを読み込むこともあります。 そのため、 CMS GTM JavaScript 外部ウィジェット 別サイト・別テンプレート を個別に管理するだけではなく、最終的には公開されているWebサイトを確認する必要があります。 ここで、CMPによる継続的なクロールやCookie棚卸しが、実装側の管理を補完します。 実装時にルールを設けることと、公開後の実際の状態を確認することは、どちらか一方ではなく組み合わせて考えます。 「追加できる」と「把握できる」を両立させる Webサイトは、多くの担当者とサービスによって運用されています。 CMS担当者、マーケティング担当者、制作会社、広告会社、採用担当者など、それぞれが異なる場所を変更することも珍しくありません。 その環境で、すべての変更を一人の管理者が事前に把握することには限界があります。 だからこそ、 CMSでは利用方法を構造化する GTMなどの変更経路を把握する CMPによるクロールで実際の状態を確認する 新しいサービスが見つかったら用途を確認する 必要に応じてポリシーやCookieバナーの説明を更新する という複数の方法を組み合わせます。 目指すのは、外部サービスを追加できないWebサイトではありません。 必要な外部サービスを利用しながら、現在何が使われているのかを把握できるWebサイトです。 まとめ Webサイトの外部サービスは、公開時に一度決めれば終わりではありません。 CMSへの埋め込み、GTMへのタグ追加、新しいフォームやウィジェットの導入など、通常の更新業務の中で増えていきます。 その結果、Webサイトでは利用されているものの、サイト全体の管理として十分に把握されていない「未把握の外部サービス」が生まれることがあります。 問題は、外部サービスを利用することではありません。 実装が変わったにもかかわらず、CMPやポリシー、Cookieバナーなどの管理・説明がその変化を把握できないことです。 外部サービスの利用をすべて禁止するのではなく、CMSなどの実装側で利用方法を標準化しながら、CMPによるクロールなどで公開後の実際の状態も確認する。 Webサイトのプライバシー管理では、「追加できること」と「把握できること」を両立させる設計が必要になります。 ```