Cookie を使わないアクセス解析は、何が違うのか — 同意バナー・ITP・広告ブロッカーとの関係

アクセス解析ツールの説明に「Cookie 不要」「同意バナー不要」と書いてあるのを見て、「本当に？ 何が違うの？」と思った方向けの記事です。NextRise Analytics も cookieless の計測を採用していますが、ここでは製品の宣伝ではなく、仕組みとして何が変わるのかを説明します。

従来の解析は、なぜ Cookie を使うのか

「同じ人がまた来た」を知るためです。従来の解析タグは、初回訪問時にブラウザへ 識別子（クライアント ID） を Cookie として書き込み、次の訪問でそれを読み取って「この人は2回目」「先週も来ていた」と判定します。ユーザー数・新規／リピート・リピート率は、この識別子の上に成り立っています。

便利な半面、識別子を端末に保存することそのものが、EU の ePrivacy 指令をはじめ多くの国・地域で同意の対象になりました。「端末に情報を書き込む／読み出す」行為が規制の入口になっているためです。日本では 2023 年施行の改正電気通信事業法（外部送信規律）が、Cookie の有無にかかわらず「利用者の情報を外部に送信する仕組み」について何を送っているかの公表・通知を求めています。同意バナーとは別の義務なので、cookieless の解析でも、プライバシーポリシー等で計測の内容を明示しておくのが確実です。

Cookie を使わないと、どうやって「同じ人」を判定するのか

端末に何も書かずに済ませる代表的な方法が、日替わりのハッシュです。NextRise Analytics の場合、訪問者の識別子は次の材料をまとめてハッシュ化した値です。

ハッシュ（その日限りのソルト ＋ サイト ID ＋ IP アドレス ＋ ユーザーエージェント）

• ソルトは毎日変わるので、翌日には同じ人でも別の ID になります。日をまたいだ追跡はできません。
• サイト ID が混ざっているので、別のサイトでの訪問とは結び付きません。
• IP とユーザーエージェントは保存しません。 ハッシュを作ったあとに捨てます。

端末には何も書き込まず、保存されるのは元に戻せないハッシュだけ——これが「同意バナーを出さずに設置できる」と言える根拠です。

変わること・変わらないこと

要点は2つです。

1. EC の売上分析に要る数字は、ほとんど変わらない。 どのページが・どの流入から・どれだけ売れたかは、セッション単位で分かれば十分だからです。
2. 「複数日にまたがるユーザー数」だけは、定義が変わる。 月間ユーザー数は cookieless のほうが多く出ます。比較するときは、ユーザー数ではなくセッション数で揃えるのが確実です。

よくある誤解

「Cookie を使わなければ広告ブロッカーの影響もない」 — これは誤りです。ブロッカーは Cookie ではなく「解析ドメインへの送信」を止めるので、cookieless でも一定の欠損は出ます（実測で数%程度）。件数の正が要る売上・取引数は、注文データから作るのが確実です。

「同意バナーが絶対に不要になる」 — 解析タグ単体では不要でも、サイトに入っている他のタグ（広告のリマーケティング、チャットツール、A/B テストなど）が Cookie を書いていれば、バナーは必要です。判断はサイト全体で行ってください。また上で触れたとおり、バナーが不要でも「何を送信しているか」の公表は別に求められることがあります。

「cookieless なら個人情報は一切扱わない」 — IP アドレスはハッシュの材料として一瞬扱います（保存はしません）。「扱わない」ではなく「保存しない・戻せない」が正確な表現です。

「何を集めて、何を集めないか」は公開されているかで選ぶ

cookieless を名乗るツールは増えましたが、実装はまちまちです。選ぶときは、次の3点が実装に即して公開されているかを確認するのがおすすめです。

• 識別子の作り方（何を材料に、どのくらいの周期で変わるか）
• IP アドレス・ユーザーエージェントを保存するかどうか
• URL のクエリ文字列を全部送るのか、UTM だけなのか（メールアドレスや注文者名が URL に載る店は少なくありません）

NextRise Analytics は、この3点をプライバシーへの取り組みと計測データとプライバシーで、実装のとおりに書いています。判断の材料にしてください。