連携ボタンが渡しているのは、情報ではなく権限でした――お預かりしているお客様のGoogleビジネスプロフィールまで、一緒に持っていく仕組み
w-up
結論から言うと、外部サービスの「連携」ボタンで渡しているのは、情報ではありません。権限です。そして権限は、自分の持ち物だけを持っていくとは限りません。
お客様のGoogleビジネスプロフィールを何社かお預かりしている会社が連携ボタンを押すと、お客様の情報も一緒に、その会社の外部アカウントへ入ります。悪意も操作ミスもなく、仕組みどおりに、そうなります。この挙動を知らないまま使っている会社は、おそらく少なくありません。
W-UPでは以前から、自社用のGoogleアカウントと、お客様をお預かりするためのアカウントを分けています。今回、その運用が実際に試される場面があり、あわせて「分けるだけでは足りない」ことも分かりました。押した瞬間には見えないこの仕組みと、費用ゼロでできる防ぎ方を、実例つきでご報告します。
情報は1件ずつ渡る。権限はアカウントごと渡る
外部サービスの「連携」ボタンで渡しているのは、情報ではありません。権限です。
この違いは、押した瞬間には見えません。画面に出るのは「〇〇と連携します」「データを取り込みます」といった、穏やかな言葉です。ところが実際に動いているのは、そのアカウントが触れるもの全部に手が届く状態を、相手側に作るという処理です。情報は1件ずつ渡りますが、権限はアカウントごとに渡ります。ここが決定的に違います。
「1件だけ取り込むつもりだった」という感覚と、実際に渡している範囲が食い違うのは、この一段のずれが原因です。
具体的な例：Googleビジネスプロフィールのインポート
具体的な例で説明します。
Googleビジネスプロフィール、いわゆるGoogleマップに出るお店や会社の情報です。これを他のサービスに取り込む「インポート」という機能が、あちこちにあります。地図系のサービスの多くが用意していて、ゼロから入力し直さずに済むので便利です。
このインポートには、知っておくべき性質があります。取り込まれるのは「自分が持っているもの」だけではありません。「管理者として預かっているだけのもの」も、同じように対象になります。自分のものか、人から任されているだけのものか、その区別をインポートは付けません。アカウントから触れるかどうか、それだけを見ます。
つまり、お客様のGoogleビジネスプロフィールを何社か預かっているアカウントで連携ボタンを押すと、そのお客様の情報も一緒に、押した人の外部アカウントの中に入ってくるということです。悪意も操作ミスもなく、仕組みどおりに、そうなります。
ここは推測で判断しなくて構いません。Googleアカウントの「リンク済みアプリ」を開くと、つないだ相手が「Google でログイン」と「アクセス権の付与」に分けて表示されます。後者に入っている相手が、データに触れる権限を受け取っている相手です。
だからうちは、アカウントを分けています
自社用のGoogleアカウントと、お客様をお預かりするためのアカウント。ブラウザのプロファイルごと分けていて、自社の作業は必ず自社側で開く。面倒に見えますが、費用はゼロで、設定は一度きりです。そしてこの分け方が、うっかりを事故にしないための土台になります。注意力で防ぐには、この手の操作は静かすぎます。
「気をつける」で止めずに器を分けるのは、愛媛のWEB制作でお客様の管理画面をお預かりする立場としては、当たり前の作法だと考えています。
分けていた運用が、実際に試された日
この挙動を身をもって確かめることになったのは、自分の作業でした。
ある地図系サービスに自社を登録しようとして、ブラウザのプロファイルを取り違えました。開いていたのは、お客様を何社かお預かりしている方のアカウントでした。連携の画面をいくつか進んだところで、これは自社用ではないと気づいて止めました。取り込む対象を選ぶ画面の、1つ手前です。
分けてはいても、ウィンドウは同じ形で並びます。どちらの器を開いているのかは、画面のどこにも書いてありませんでした。
止めただけで終わりにはしません。そのあとGoogleアカウントの「リンク済みアプリ」を開いて、実際に何が渡っていたのかを確認しました。そのサービスは「Google でログイン」の側に入っていて、渡っていたのはプロフィール情報の参照だけ。ビジネスプロフィールのデータに触れる権限は、まだ付与されていませんでした。念のため、その連携だけを削除しました。似た名前の別サービスが並んでいたので、消す対象を1つに特定してから削除しています。ここは急がずにやるところです。
お客様のデータは1件も外に出ていません。それでも、この一件で分かったことがありました。
器を分けていても、開く器を間違えれば意味がない。分けることは前提であって、それだけでは足りないということです。
この一件で足したのは、注意ではなく見た目でした
そこで、うちは対策を1つ足しました。自社用のプロファイルと、お客様をお預かりするプロファイルで、ブラウザの見た目を変えたのです。テーマの色とアイコンを別にして、ウィンドウを開いた瞬間に、どちらの器を開いているかが目に入るようにしました。
「気をつける」ではなく「見れば分かる」に変える。注意力を足しても、静かすぎる操作は素通りします。気づく仕組みのほうを足すべきでした。作業は5分、費用はゼロです。
その場で確認する手順
同じことをしてしまったかもしれない、と思ったときの確認手順です。順番だけ書きます。
- 1
myaccount.google.comを開く - 2左のメニューから「リンク済みアプリ」を選ぶ
- 3「表示」の下に「Google でログイン」「アクセス権の付与」という2つのボタンが、件数付きで並んでいる
- 4「アクセス権の付与」に入っている相手が、データに触れる権限を受け取っている相手です。ここを先に見る
- 5「Google でログイン」だけの相手なら、渡しているのはプロフィール情報（名前やメールアドレス）だけ
- 6サービス名をクリックすると、何が共有されているのかが書いてある
- 7不要なら、その画面でアクセス権を削除する
一覧をただ眺めても分かりません。4番の仕分けを見て初めて、どれが権限を渡している相手なのかが分かります。これは前回書いた押す前に、押す必要があるか分かるという話と同じで、判断材料はたいてい画面の中にあります。
私の場合、その地図系サービスは「Google でログイン」のほうに入っていました。詳細を開くと「プロフィール情報の参照」とだけ書かれていて、ビジネスプロフィールに触れる権限は付いていませんでした。
消すかどうかは、3つの質問で決まります
一覧に並んだ相手を、1件ずつこう見ます。
- 1心当たりがあるか。つないだ覚えのないものは消す
- 2今も使っているか。昔試しただけのものは消す
- 3この器にあってよいものか。自社専用のツールが「お預かり用」の器に入っているなら、消して自社側でつなぎ直す
3番目が肝心です。「消すか残すか」ではなく、「この器にあってよいか」で見る。使っているかどうかだけで判断すると、自社のものと預かりものが同じ器に居続けます。
そして消す前に、それを消すと何が止まるのかを先に考えてください。バックアップの保存先、管理画面に出ている数字、広告の管理——止まると困るものは、自社側の器でつなぎ直してから消します。順番を逆にすると、直すのに時間を取られます。
もう1つ。似た名前のサービスが並んでいないかを必ず確かめてください。消す対象を1つに絞れないまま操作すると、今動いている連携を落とします。
経営の場面でも、同じ構図はよくあります
経営の場面でも、同じ構図はよくあります。代表個人のアカウントで外部サービスを契約している。退職した人のIDがまだ生きている。管理画面のログイン情報を全員で共有している。どれも、日々の業務では何の問題も起こしません。問題が起きるのは、誰かが何かを押した1回だけです。そしてその1回は、いつ来るか分かりません。
日々の業務で問題が起こらないことが、いちばんやりにくいところです。痛くないので、直す動機が生まれません。そして痛くなったときには、もう渡っています。
権限は「誰が使うか」ではなく「何に届くか」で切る
だから、権限は「誰が使うか」ではなく「何に届くか」で切る。自社のものと、お預かりしているものを、同じ器に入れない。愛媛県内の中小企業でも、Web制作やマーケティングの外注が増えるほど、この線引きは効いてきます。AIを使うサービスは特に、連携で一気にデータを吸い上げる作りのものが多いからです。
社内で今日決められる線引きは、だいたいこの3つです。
- 1自社用と、お客様・取引先からお預かりしている分を、別のアカウントにする（ブラウザのプロファイルごと分け、テーマの色とアイコンも変えて、開いた瞬間に見分けがつくようにする）
- 2人が辞めたら、その人のIDで生きている外部連携を一覧で確認する（IDを消すだけでは、連携は残ることがあります）
- 3連携を増やすときは、押す前に権限の範囲を確かめる人を決めておく
分けるのに、お金はかかりません。かかるのは、最初の30分だけです。この線引きも含めて外に出すかどうかで迷われている方は、愛媛・松山のホームページ制作サービスの内容と料金はこちらをご覧ください。
三部作を終えて
3回とも、道具が悪いという話ではありませんでした。「転送を設定した」と「転送が効いている」は、別のことでしたで書いたとおり、設定画面は結果を映さない。判断材料は画面の中にある。連携ボタンは権限を渡す。どれも、押す前に一度読めば分かることでした。
集客のためにツールを増やすことと、預かっているものを守ることは、同じ机の上の話です。松山のホームページ制作やGoogleビジネスプロフィールの運用代行をお願いするときは、「自社と他社を同じアカウントで触っていないか」を一度だけ聞いてみてください。答えられる会社は、たいていほかの段取りもできています。
集客に本気で向き合う時間、
つくれていますか？
Web制作・集客改善のご相談は、お問い合わせ・お見積り（無料）から。
AIの活用も含め、御社に合った集客の仕組みをご提案します。
よくあるご質問
Q. 外部サービスの「連携」ボタンを押すと、具体的に何が渡るのですか。
A. 渡るのは情報ではなく、そのアカウントが触れる範囲にアクセスできる権限です。画面の文言は「データを取り込みます」のように穏やかですが、動いているのは「このアカウントで触れるものに手が届く状態を相手側に作る」処理です。情報は1件ずつ渡りますが、権限はアカウントごとに渡ります。何がどこまで渡ったかは、Googleアカウントの「リンク済みアプリ」で確認できます。一覧が「Google でログイン」と「アクセス権の付与」に分かれていて、後者に入っている相手が、データに触れる権限を受け取っている相手です。
Q. Googleビジネスプロフィールのインポートで、他社の情報まで取り込まれることがあるのですか。
A. あります。インポートは「自分が持っているもの」と「管理者として預かっているだけのもの」を区別しません。アカウントから触れるかどうかだけを見ます。そのため、お客様のプロフィールを何社か預かっているアカウントで連携すると、お客様の情報も一緒に、押した人の外部アカウントに入ってきます。悪意も操作ミスもなく、仕組みどおりにそうなります。なお、自社の情報が外部でどう扱われているかという話は、AIが実在しない社名で紹介していた回でも触れています。
Q. 連携してしまったかもしれません。どこを見れば確認できますか。
A. myaccount.google.com を開き、左のメニューから「リンク済みアプリ」を選んでください。一覧の上に「Google でログイン」「アクセス権の付与」という2つのボタンが件数付きで並んでいます。「アクセス権の付与」に入っている相手が、データに触れる権限を受け取っている相手です。「Google でログイン」だけなら、渡しているのはプロフィール情報だけです。サービス名をクリックすると、何が共有されているかが書いてあります。消すかどうかは「心当たりがあるか」「今も使っているか」「この器にあってよいか」の3点で判断してください。削除するときは、似た名前の別サービスが並んでいることがあるので、消す対象を1つに絞ってから操作します。
Q. アカウントを分けるのに費用はかかりますか。手間はどのくらいですか。
A. 費用はかかりません。Googleアカウントを自社用とお客様お預かり用に分け、ブラウザのプロファイルも分けるだけです。設定は一度きりで、かかるのは最初の30分程度です。あわせて、プロファイルごとにブラウザのテーマ色とアイコンを変えてください。分けるだけだと、開く器を間違えたときに気づけません。色が違えば、ウィンドウを開いた瞬間に分かります。注意力で防ごうとしても、この手の操作は静かすぎます。見れば分かる形にしておくことが、うっかりを事故にしないための仕組みです。
Q. 社員が退職したあと、何を確認すればよいですか。
A. IDを削除するだけでは足りません。その人のアカウントで生きている外部サービスの連携が残ることがあります。退職時のチェックとして、本人のアカウントの「リンク済みアプリ」を開き、「アクセス権の付与」に何が入っているかを確認する、会社の管理画面（Googleビジネスプロフィール・広告・解析など）の管理者一覧から外す、代表個人のアカウントで契約している外部サービスが無いか棚卸しする——この3点を回してください。日々の業務では何も起きないため、辞めた直後にやらないと、そのまま忘れられます。
Q. うちはWeb制作を外注しています。制作会社に何を聞けばよいですか。
A. 「自社の作業と、お客様からお預かりしている管理画面を、同じアカウントで触っていませんか」の1問で十分です。分けていれば「プロファイルごと分けています」と即答が返ります。あわせて、お客様のGoogleビジネスプロフィールは「オーナー」ではなく「管理者」として預かっているか、外部サービスと連携する前に権限の範囲を確認する手順があるか、取り違えに気づける仕組み（プロファイルの色分けなど）があるか、も聞いておくと安心です。
愛媛で20年以上、セミナーで延べ849人に指導。自社サイトで試して確かめたことだけを書いています。代表について
