Cookieレスでウェブ解析はどこまでできる？同意バナーが要らない理由

Cookieを使わない解析という言葉を、最近よく見かけるようになりました。ただ、Cookieを外すと具体的に何が見えなくなるのかまで書いてある記事は、意外と多くありません。

不安になりますよね。これまで見ていた数字が、急に使えなくなるのではないかと。

先に結論を書きます。サイト改善に使う指標のほとんどはCookieなしで測れて、失われるのは主に端末をまたいだ追跡と、他サイトへの追跡です。

この記事では仕組みから限界、同意バナーが要らなくなる条件、そして移行の手順までを順番に整理します。

Cookieは解析の何に使われているのか

まず、Cookieが実際に何をしているのかを押さえましょう。難しい話ではありません。

Cookieはブラウザに小さなメモを保存しておく仕組みです。次に同じサイトへ来たときにそのメモを読み、前回と同じブラウザだと判断します。

解析ツールがそこに書いているのは、たいていランダムな英数字の識別子がひとつだけです。氏名やメールアドレスが入っているわけではありません。

つまりCookieの役割は、ほぼ同一人物の名寄せに尽きます。ページビューを数えるだけなら、そもそもCookieは要らないのです。

ここが誤解されやすいところです。Cookieを外すとアクセス解析が丸ごと壊れる、というイメージは実態と合っていません。

実際、日々見ている数字の大半は1回の訪問の中で完結しています。Cookieが効いてくるのは、その訪問と次の訪問を線でつなぐ場面だけです。

ファーストパーティとサードパーティ

同じCookieでも、誰が発行したかで意味がまるで変わります。ここを混ぜたまま議論すると話がこじれるので、分けて考えてください。

自分のサイトのドメインが発行するのがファーストパーティCookieです。ログイン状態の保持やカートの中身など、サイトを動かすために欠かせないものも含まれます。

一方、広告ネットワークなど外部のドメインが発行するのがサードパーティCookie。こちらはサイトをまたいで同じ人を追跡できるため、長く問題視されてきました。

ブラウザ側の制限が強まっているのも、主にサードパーティのほうです。ただし実務では、ファーストパーティCookieも保存期間を短く切り詰められる対象になっています。

その結果、何が起きるか。数か月前に来た人を同じ人だと判定する精度は、Cookieを使っていても年々落ちています。

Cookieを使わずに、どうやって訪問者を数えるのか

ではCookieなしで、どうやって同じ人だと判断するのでしょうか。方法はいくつかあります。

ひとつは、ブラウザのローカルストレージに匿名の識別子を置く方式です。Cookieと似ていますが、リクエストのたびにサーバーへ自動送信されることはなく、そのサイトの中でしか読めません。

もうひとつは、そもそも識別子を長期保存しない方式。訪問のたびに使い捨ての番号を作り、一定時間で忘れます。

Strideは前者を採っていて、Cookieは一切使いません。IPアドレスは国を判定するときに一瞬だけ使い、保存はしません。

なお、端末の特性を組み合わせて個人を推定するフィンガープリントという手法もあります。これは同意なしの追跡になりやすく、プライバシー重視の設計とは相性が悪い方法です。

どの方式を選ぶかで、後から取れる数字も変わります。使い捨ての番号だけで運用すれば再訪の判定は完全に諦めることになり、ローカルストレージ方式なら同じブラウザの中では追えます。

実際に送られているデータ

抽象的な話が続いたので、具体的に何が飛んでいるかを見てみましょう。計測タグが1ページビューごとに送るのは、だいたいこの程度の情報です。

POST /collect
{
  "site":    "s_9f21c8",                 # サイトの識別子
  "url":     "/pricing",                 # 見ているページ
  "ref":     "https://www.google.com/",  # 直前にいたページ
  "session": "a3f0d17b",                 # 一定時間で切れる匿名の番号
  "device":  "mobile",
  "country": "JP"                        # IPから判定し、IP自体は保存しない
}

氏名もメールアドレスも、IPアドレスそのものも入っていません。この中身が、後で出てくる同意バナーの要否を左右する分かれ目になります。

タグの設置自体は1行です。読み込む場所が変わるだけで、作業量は従来のツールと変わりません。

<script defer src="https://example.com/s.js" data-key="s_9f21c8"></script>

Cookieレスで計測できること、できないこと

気になるのはここでしょう。実際に何が測れて、何が測れないのかを並べます。

まず測れる側から。ページビュー、訪問者数、セッション、流入元、デバイスや国の内訳は、いずれも問題なく取れます。

導線の分析も同じです。訪問からフォーム到達、送信完了までの各ステップに何人が残り、どこで抜けたのかはセッション単位で追えます。

ここで言うセッションとは、操作の途切れで区切った一連の訪問のことです。30分ほど何も操作がなければ、次のページ表示は別のセッションとして数えるのが一般的な考え方になります。

A/Bテストも成立します。どの案を見せたかを訪問者側の端末で決めて記録すれば、Cookieは必要ありません。

同じ人の行動をセッションをまたいで並べるN1分析も、同じ端末の中であれば追えます。1回の訪問で決めない商材ほど、この視点が効いてきます。

操作をあとから見返すセッションリプレイも、Cookieには依存しません。Strideの録画は表示中の文字をすべて伏せ字にし、入力値や画像は最初から記録せず、7日で自動的に消えます。

次に、測れない側を正直に書きます。主な限界は次の三つです。

• 端末をまたいだ同一人物の識別：スマホで下調べしてPCで申し込んだ人は、別々の2人として記録されます。
• 長期の再訪判定：ブラウザのデータを削除されれば匿名の識別子は消え、その人は新規として数え直されます。
• 他サイトでのリターゲティング：原理的に行いません。追跡しない設計だからです。

表にすると、境界がはっきりします。

△が並ぶのは、Cookieありでも実は万全ではないからです。ブラウザ側の保存期間の制限によって、長期の再訪判定は思ったほど当てになりません。

流入元の分類はCookieに依存せず、直前のページの情報とURLのパラメータで決まります。ここは精度を落とさず運用できる領域です。

分類の考え方は流入元の正しい見方｜検索・広告・メール・SNSを分けて計測するで詳しく書いています。Gmailなどのウェブメール経由を検索と取り違えないなど、Cookieとは別の落とし穴があります。

同意バナーが要らなくなる理由と、その前提

ここが本題です。なぜCookieを外すと、あの帯を消せるのでしょうか。

同意が求められる主な理由は二つあります。訪問者の端末に情報を保存して読み出すこと、そして個人に結びつく情報を外部へ送ることです。

Cookieを使わず、氏名やメールも集めず、IPアドレスも保存しない。この三つが揃うと、同意を取るべき対象そのものが減ります。

言い換えると、バナーは技術的な選択の結果です。重い計測をするから同意が要るのであって、軽い計測なら論点が少なくなります。

ただし、自動的に不要になるわけではありません

ここは慎重にいきましょう。Cookieレスなら常にバナーが不要、と言い切るのは危険です。

判断は、端末に何を残すのか、外部に何を送るのかという中身で決まります。解析タグを軽くしても、広告タグやチャットツールを別途入れていれば、そちらの論点は残ります。

日本では個人情報保護法に加えて、利用者情報の外部送信に関する規律という枠組みもあります。EU圏を相手にするならePrivacy指令とGDPRの両方を見る必要があります。

外部送信の規律で問われるのは、送る先と送る中身です。何も送っていなければ書きようがなく、送っているなら隠さず書く、という当たり前の話に戻ります。

したがって現実的な進め方はこうなります。まず解析タグを軽くして論点を減らし、残った論点だけを法務や専門家と詰める。

いきなり全部を判断しようとすると、たいてい止まります。減らせるものから減らすほうが早いです。

バナーを外すと、ページはこう変わる

イメージが湧きにくいところなので、文面で見比べてみましょう。よくあるのは、初回訪問で下から出てくるこんな帯です。

変更前は、当サイトは利便性向上のためCookieを使用します、という一文にすべて受け入れると設定を変更するの二つのボタンが並びます。スマホだと画面の下部をかなりの面積で覆うこともあり、ファーストビューがまともに読めません。

変更後は、この帯そのものがなくなります。代わりにプライバシーポリシーへ一文を足すだけです。

たとえば、当サイトではCookieを使用しない解析ツールを利用しており、氏名やメールアドレスなど個人を特定する情報は取得していません、といった書き方になります。

これで法的な検討がすべて終わる、という意味ではありません。ただ、訪問者から見える負担が減るのは確かです。

バナーそのものの要否はCookie同意バナーは本当に必要？プライバシーと計測の両立で、乗り換え先の考え方はGA4は難しい？「導線計測」に絞るという選択肢で掘り下げました。

同意バナーは数字をどれだけ削るのか

バナーを残すという判断も、もちろんあり得ます。その場合に何が起きるかを、数字で見ておきましょう。

同意した人だけを計測する設定にしていると、同意しなかった人の行動は丸ごと消えます。ここで効いてくるのが同意率のばらつきです。

仮に、実際のコンバージョンが月100件あるサイトを考えます。デバイスによって同意率が違うと、記録される内訳はこうなります。

実際の比率はPCが6、スマホが4です。ところが記録上は33対12、つまり約7対3に見えます。

この状態でスマホ施策の効果を判断すると、まず間違いなく過小評価します。全体のCVRだけを見ていると気づけないのが、この歪みの厄介なところです。

自社の同意率は簡単に出せます。バナーの表示回数と、同意ボタンのクリック数を数えるだけです。

同意率が7割を切っているなら、セグメント別の細かい判断はいったん保留したほうが安全です。 母数が減れば、A/Bテストの結論が出るまでの期間も比例して伸びます。

もうひとつ見落とされがちなのが、バナー自体が離脱を生む点です。表示位置や文言によって影響の大きさは変わるので、他社の平均値ではなく自社で測ってください。

Cookieレスへ移行する実務手順

移行作業そのものは重くありません。つまずくのは、たいてい数字の読み替えのほうです。

まず、いきなり切り替えないでください。2週間から1か月ほど、既存のツールと並行して計測する期間を取ります。

次に、突き合わせる指標を絞ります。全部を一致させようとすると必ず消耗するので、PVと主要ページのコンバージョン件数だけに絞るのがコツです。

比べる期間の切り方も決めておきましょう。曜日による偏りを消すため、7日単位で区切って並べると読み違えが減ります。

数字がずれたときの見方

ここで数字は必ずずれます。慌てないでください。

よくあるのはPVが増えるパターンです。同意しなかった人やCookieをブロックしていた人が計測に入るぶん、単純に母数が増えます。

逆に、訪問者数は減って見えることがあります。長期の再訪判定が短くなり、同じ人が新規として数え直されるからです。

目安を持っておくと判断が速くなります。既存ツールと比べてPVの差が1割から2割程度なら想定の範囲内で、2倍以上開くようならタグの二重設置か設置漏れを疑ってください。

大事なのは絶対値を一致させることではありません。同じツールの中で前週比や前月比が正しく比較できるか、担保すべきはそこだけです。

移行日は必ずメモしておきましょう。数か月後に、その日をまたいだ比較でつまずく人が本当に多いのです。

広告の計測はどう分担するか

広告を回している場合、悩ましいのは広告側の管理画面との数字の違いでしょう。ここは役割を分けて考えると楽になります。

広告媒体の管理画面はクリックと媒体側のコンバージョンを、サイト側の解析はランディング後の導線を見る。同じ数字を追わせない、と決めてしまいます。

サイト側で見るべきは、広告経由の訪問がどのページで止まっているかです。媒体をまたいだ最終的な貢献度の割り振りは、Cookieがあっても正確には出ません。

よくあるつまずきと判断基準

最後に、実際に相談を受けやすいポイントをまとめます。心当たりはありませんか。

ひとつめは、直帰の扱いです。1ページだけ見て帰った人は滞在時間がゼロになりがちで、これはCookieの有無とは無関係にデータが痩せます。

Strideは15秒ごとに滞在の合図を送る仕組みを持っているので、単一ページの閲覧でも実際の滞在時間が残ります。この考え方は滞在時間・エンゲージメントの正しい測り方で詳しく扱っています。

ふたつめは、ページを切り替えても計測が動かないケース。JavaScriptで画面だけを書き換えるタイプのサイトでは、URLの変化を検知する設定が必要になります。

みっつめは、Cookieレスなら何をしても安全という誤解です。フォームで氏名やメールを受け取れば、それは当然、個人情報として適切に扱う必要があります。

Cookieレスにすると、数字の一部が粗くなるのは事実です。ただ、そこを埋めるのはより細かい追跡ではなく、訪問者に直接たずねるアンケートや、実際の操作を見返すといった別の手がかりだと思います。

たとえば離脱の多いページで、迷った点を一言たずねてみる。数十件の回答でも、数字だけを眺めていた時間よりずっと早く原因にたどり着くことがあります。

判断基準はシンプルにできます。その計測は、訪問者の端末に何を残し、外部に何を送るのか。

この一問に即答できれば、たいていの論点は整理できます。逆に答えに詰まるなら、そこが最初に手をつけるべき場所です。

そして、追跡できなくて困る場面は、想像より少ないはずです。改善のヒントは端末をまたいだ一人の履歴より、ひとつの導線の落ち込みにこそ現れます。

参考記事

制度側の前提を自分の目で確かめたい方は、一次情報にもあたってみてください。

• 個人情報保護委員会
• Document: cookie プロパティ（MDN Web Docs）
• ウェブストレージ API（MDN Web Docs）