なぜCookieが問題になったか
Cookieはウェブアクセス解析の基盤として20年以上機能してきました。訪問者のブラウザにCookieを設定し、次の訪問時に読み取り、セッションを紐づける——シンプルで効果的な仕組みです。問題は、EUのプライバシー法においてアクセス解析目的のCookieには同意が必要であるという点です。
ePrivacy指令（いわゆる「Cookie法」）とGDPRが組み合わさることで、同意なしに非必須Cookieを設置することは法的違反になります。アクセス解析Cookieは定義上、非必須です。そのためCookie同意バナーが必要になります。
さらに、日本の改正電気通信事業法（2023年6月施行）も外部送信規制を設け、第三者が取得できる形でのCookie等の送信に対して通知・公表または同意取得を求めています。規制の波は日本にも及んでいます。
各種調査では、真の選択肢が提示された場合に欧州の訪問者の40〜60%がアクセス解析Cookieを拒否することが一貫して示されています。あなたのアクセス解析ツールは忠実に彼らを無視し——データにはオーディエンスのほぼ半分をカバーする系統的な盲点が生まれます。
Cookieフリー計測はこの問題を根本から解決します。ブラウザCookieに依存するのではなく、同意要件の対象外となる技術を使います。
FPAIの2つの識別メカニズム
FPAIは2つの補完的なメカニズムを使います。プライバシーに配慮した訪問者識別のためのハッシュ化IPアドレスと、ブラウザ内のセッション継続性のためのlocalStorageです。
メカニズム1：IPアドレスのハッシュ化（サーバーサイド）
訪問者がサイトに来ると、FPAIのサーバーサイドコードがHTTPリクエストからIPアドレスを読み取ります。生のIPは一切保存しません。代わりに、あなたのWordPressサイトのシークレットソルトと組み合わせたSHA-256ハッシュを即座に適用します。
ハッシュは一方向関数です。保存されたハッシュから元のIPアドレスを復元する方法はありません。データベースにアクセスできたとしても、訪問者IDから個人を特定することはできません。WordPressのソルトを使うことで、あなたのデータベースの訪問者IDと他のサイトのハッシュIDを照合することも不可能になっています。
メカニズム2：セッション継続のためのlocalStorage
IPアドレスだけでは問題があります。同じルーターを共有している複数の人（オフィス・家族・カフェ）が同じIPを持ち、1人の訪問者に見えてしまいます。これに対処するため、FPAIはCookieとは別のブラウザストレージ機構であるlocalStorageを使います。
訪問者の最初のページビュー時に、FPAIはランダムな訪問者IDを生成し、あなたのドメインのlocalStorageに保存します。同じセッションの後続ページでは、このIDを読み取ってページビューをセッションに紐づけます。localStorageはユーザーがブラウザのストレージをクリアするまで保持されます——セッションレベルのsessionStorageとは異なります。
FPAIが収集するデータの範囲
各訪問者セッションについて、FPAIは以下を収集します。
- ハッシュ化訪問者ID——IP＋ソルトから導出、逆算不可能
- セッションID——セッションごとに新規生成されるランダムUUID
- デバイス種別——モバイル・タブレット・デスクトップ（User-Agentから導出）
- ブラウザとOS——Chrome・Safari・Firefoxなど（User-Agentから導出）
- 参照元ドメイン——訪問者がどこから来たか（例：google.com、twitter.com）
- UTMパラメータ——URLのキャンペーントラッキング値
- セッション開始時刻
- セッション時間とページ数——セッションの進行とともに更新
- 直帰フラグ——1ページのみのセッションを直帰としてフラグ付け
セッション内の各ページビューについて：
- ページURLとタイトル
- スクロール深度（Pro）——訪問者がページをどこまでスクロールしたか
- ページ滞在時間（Pro）
生のIPアドレスはディスクに書き込まれません。User-Agent文字列はデバイス・ブラウザ・OS情報の解析後に破棄されます——導出された値のみが保存されます。
FPAIがしないこと（明示）
プライバシーの境界を明確にするため、FPAIが行わないことをはっきり示します。
- FPAIは訪問者のブラウザにCookieを設定しない
- FPAIは生IPアドレスを保存しない
- FPAIは第三者サーバーにデータを送信しない——すべてのデータはあなた自身のWordPressデータベースにのみ送られる
- FPAIはブラウザフィンガープリントを使わない（canvasフィンガープリント・フォント検出など）
- FPAIは異なるウェブサイト間で訪問者をトラッキングしない
- FPAIは広告プロファイルを作成しない
Cookieフリー計測の限界（正直に）
Cookieフリー計測はよりプライバシーに配慮していますが、理解しておくべき現実的な制限もあります。
セッションをまたいだ同一ユーザーの特定は近似値
ユーザーがIPを変えた場合（自宅→モバイル→オフィス）、同じ人が異なるセッションで複数の「訪問者」として表示されることがあります。これはCookieフリー設計の本質的なトレードオフです。セッションレベルのデータ（直帰率・ページ/セッション・滞在時間）は正確です。セッションをまたいだ「リピート訪問者」のカウントは近似値になります。
共有ネットワークの影響
ネットワークを共有している人々（オフィス・学校・キャリアグレードNAT）は同じハッシュ化訪問者IDを持つことになります。FPAIのlocalStorageメカニズムがブラウザを区別することでこの問題を部分的に解決しますが、完全な解決策ではありません。
クロスドメイントラッキング非対応
ファネルが複数のドメインにまたがる場合、FPAIは追加設定なしにドメインをまたいでセッションを紐づけることはできません。これはCookieフリーのあらゆるソリューションに共通する制限です。
プライバシーポリシーへの記載例
Cookieを使わない場合でも、アクセス解析のアプローチを開示することをおすすめします。以下はシンプルな開示文の例です。
この文言はあなたの状況に合わせて適宜修正してください。規制対象の業種や地域で事業を展開している場合は、法律の専門家によるレビューを受けることをおすすめします。
まとめ
Cookieはセッション識別に必須ではありません。ハッシュ化IPとlocalStorageを組み合わせることで、プライバシー規制の同意要件を満たしながら100%の訪問者を計測できます。生IPは保存されず、第三者にデータは送信されず、ブラウザに痕跡を残すCookieも設置されません。
Cookieフリー計測に完全な精度はありません——複数セッションにまたがるユーザー識別は近似値になります。しかしそのトレードオフを受け入れることで、同意バナーを必要とせず、欧州の訪問者40〜60%のデータ欠損もなく、完全なアクセスデータを自社データベースに蓄積できます。
FPAIはCookieフリーのファーストパーティアクセスデータを自社データベースに直接収集するWordPress無料プラグインです。無料でダウンロード →