スケールする企業のための、50項目のトラッキング監査チェックリスト

第1層:ドメインの名前解決とHTTPヘッダー(項目1〜10)

• 1. サイトと同じルートドメイン配下に、自社専用のサブドメインを設定している(例: dados.empresa.com.br)。
• 2. SafariのITPによるCNAME Cloakingのブロックを避けるため、専用のAレコードとAAAAレコードで直接名前解決している。
• 3. 有効なSSL TLS 1.3の証明書があり、自動更新が設定されている。
• 4. ネットワークのセキュリティのため、ファーストパーティのセッションCookieにHttpOnlyディレクティブを適用している。
• 5. サーバーのすべてのCookie応答で、Secure属性を有効にしている。
• 6. ドメイン間の正当なナビゲーションを確保するため、SameSite=Laxディレクティブを設定している。
• 7. 適切な永続性のために、Max-Ageパラメータを設定している(ファーストパーティの識別子は最低1年)。
• 8. 通信の遅延を減らすため、サーバーでBrotli/Gzipのネットワーク圧縮を有効にしている。
• 9. タグサーバーの応答時間(TTFB)が200ミリ秒未満である。
• 10. CORS(Cross-Origin Resource Sharing)のポリシーを、企業ドメインに厳密に限定して設定している。

第2層:データの正規化とSHA-256暗号化(項目11〜20)

• 11. メールアドレスは、前後の空白を除去し、ハッシュ化の前に小文字へ変換している。
• 12. 電話番号は、国番号(ブラジルは55)と市外局番を含め、句読点や特殊文字を除いた形式にしている。
• 13. SHA-256ハッシュは、正規化した文字列だけから生成している。
• 14. fbpとfbcパラメータは、ハッシュ化せず元のテキスト形式のまま保持している。
• 15. クライアントのIPアドレスは、ネットワークヘッダーから直接取得している(ロードバランサーのIPを避ける)。
• 16. User-Agentの全体を、切り詰めずに渡している。
• 17. 氏名を、名(fn)と姓(ln)に正しく分けている。
• 18. 郵便番号と市は、MetaとGoogleが求める国際標準の形式にしている。
• 19. アドレスバー上のオープンなURLパラメータに、個人データを載せて送っていない。
• 20. 登録項目の特殊文字とアクセント記号を、事前にサニタイズしている。

第3層:重複排除とイベントの整合性(項目21〜35)

• 21. 重要なコンバージョンの送信すべてに、event_id識別子がある。
• 22. ブラウザのタグとサーバーの間で、event_id識別子が厳密に一致している。
• 23. 両方の送信チャネルで、イベント名(event_name)が完全に一致している。
• 24. ブラウザとサーバーの間の送信が同期しているか、ずれが5秒未満である。
• 25. イベントマネージャで、重複排除率が95%を超えていることを確認している。
• 26. Purchaseイベントは、支払いの確定後にのみ発火している。
• 27. 注文番号(order_id)によるロックで、同じ取引での複数回の発火を防いでいる。
• 28. ペイロードの通貨(BRL)と金額は、小数点付きの数値で、通貨記号を含めていない。
• 29. ファネルの中間イベント(ViewContent、AddToCart、InitiateCheckout)を正しく計測している。
• 30. カスタムパラメータ(content_ids、content_type)が、商品カタログと整合している。
• 31. 古い計測ツールが発火する、幽霊イベントを監査している。
• 32. 検証用・テスト用の環境を分離し、本番のデータを汚さないようにしている。
• 33. エラーログをリアルタイムで記録し、技術チームへの自動アラートを設定している。
• 34. 商用の取引について、Event Match Quality(EMQ)のスコアを8.0以上で監視している。
• 35. Content Security Policy(CSP)のツールによるブロックがない。

第4層:クラウドインフラと耐障害性(項目36〜45)

• 36. サーバーコンテナに、オートスケーリング(Autoscaling)を設定している。
• 37. コールドスタートの遅延をなくすため、稼働インスタンスの最小数を確保している。
• 38. ロードバランサーが、可用性ゾーンの冗長化(Multi-AZ)に対応している。
• 39. Cloud Monitoringで、メモリとCPUの消費量のアラートを設定している。
• 40. サーバーコンテナの設定を、毎日バックアップしている。
• 41. GTMで厳格なバージョン管理を行い、公開に承認を必須としている。
• 42. ページの読み込みをブロックせずに、分析リクエストを効率よくルーティングしている。
• 43. サーバーが一時的に利用できない場合に備えて、フォールバックのルートを設定している。
• 44. トラフィックの請求で想定外の事態が起きないよう、クラウドのコストを監視している。
• 45. ログの保持ポリシーが、プライバシーの要件に適合している。

第5層:ガバナンスと営業との連携(項目46〜50)

• 46. クリック識別子(gclid、fbclid)を、フォームの隠しフィールドで取得している。
• 47. 流入元のパラメータを、CRMのリードのレコードに安全に保存している。
• 48. 販売が成立した時点で、オフラインコンバージョンを送信する自動パイプラインがある。
• 49. ERPの売上と、報告されたコンバージョンの突合レポートを、定期的に作成している。
• 50. 営業チームが、失注の理由と契約の実際の金額を記録するよう、トレーニングしている。

データ監査に関するよくある質問