【ITニュース解説】View-only document links: design notes from building a shareable file viewer

従来のファイル共有方法、例えばPDFファイルをメールに添付して送るというやり方には、いくつかの大きな課題がある。添付されたファイルは受信者の手元に「コピー」として渡ってしまうため、送信者はそのファイルがどこに保存され、誰が見て、どれくらい読まれたかを知る術がない。一度送ってしまえば、そのファイルを回収したり、さらに転送されるのを防いだりすることも不可能だ。たとえファイルに「機密情報」と書かれていても、受信者は簡単に印刷したり、別の場所に保存したりできてしまう。このような状況は、情報が管理不能な状態になり、情報漏洩のリスクを常に抱えることになる。

この課題を解決するために考え出されたのが、ファイルを直接送るのではなく、閲覧専用の「リンク」を共有するシステムである。この方式の核心は、元のファイルを常に送信者側のサーバーに保持し、受信者にはそのファイルへのアクセス権を持つURLだけを渡す点にある。これにより、送信者はファイルが開封されたかどうか、どのページまで閲覧されたかといった情報を把握できるようになる。また、万が一共有をやめたくなった時には、リンクを無効化することで、いつでもアクセスを停止できる。これは、情報がどこかにコピーされ続ける「混沌」状態から、常に最新の情報を管理できる「唯一の正規オブジェクト」へと移行させることを意味する。スクリーンショットのような手段は防げないが、意図しない情報拡散を止め、送信者に「送信後」のフィードバックを与えることが主な目的だ。

添付ファイルとリンク共有のモデルには明確な違いがある。添付ファイルの場合、受信者はファイルの物理的なコピーを入手するため、送信者は閲覧状況を把握できず、取り消しも不可能だ。転送はサイレントに行われ、バージョン管理も混乱しやすい。一方、リンク共有の場合、受信者はURLのみを入手し、送信者は閲覧状況を把握でき、リンクの無効化によりアクセスを取り消せる。転送されても同じリンクであり、常に唯一の最新ファイルにアクセスできるため、バージョン管理がシンプルになる。このリンクベースのモデルは、カジュアルな情報漏洩を防ぎ、送信者に情報が届いた後のシグナルを提供する点で優れている。

ここで言う「表示専用」とは、単にファイルが見られるだけでなく、いくつかのポリシーが組み合わさった概念である。まず、ファイルは原則としてブラウザ内で直接レンダリングされ、ダウンロードを強制されない。ダウンロードは特権として扱われ、初期設定ではオフになっているか、制限がかけられている場合が多い。さらに、リンクごとにパスワードを設定したり、閲覧可能な期間を限定する有効期限を設定したりすることも可能だ。これらの機能は、特に機密性の高い情報や期間限定の取引資料などを共有する際に非常に役立つ。そして最も重要なのが、誰が、いつ、どこまでファイルを見たかという閲覧履歴の分析機能である。これらの機能が揃って初めて、従来の「PDFをメールで送るだけ」という選択肢から脱却できる。

このようなシステムを構築する上で、必要となる基本的なデータの構造は比較的シンプルである。主要なデータオブジェクトは主に三つある。一つは「ファイル」で、ファイルそのものの情報、例えばID、所有者、保存場所、ファイルの種類、サイズ、作成日時などを記録する。二つ目は「共有リンク」で、生成された各リンクに関する情報、例えばID、どのファイルに紐付いているか、短縮URLの一部、設定されたパスワードのハッシュ値、有効期限、ダウンロード許可の有無、作成日時、そしてリンクが無効化された日時などを保持する。三つ目は「閲覧イベント」で、誰かがリンクにアクセスした際の情報を記録する。これには、イベントのID、アクセスされたリンク、閲覧者を特定するための情報、閲覧されたページ番号、閲覧開始日時、閲覧時間、使用されたブラウザなどの情報が含まれる。特に「閲覧イベント」は、システムの信頼性を高めるために、データ追加専用とし、閲覧画面の表示をブロックしない非同期処理で行うことが重要だ。分析データの書き込みが万が一失敗しても、ドキュメントの表示は妨げないという信頼性重視の考え方が大切である。

ビューアのアーキテクチャでは、公開されるURLが「薄いアプリケーション」として機能する。ユーザーが共有リンクにアクセスすると、まずそのリンクに対応する共有情報とファイル情報が特定される。この段階で、パスワード認証、有効期限チェック、リンクの無効化状態といったアクセス制御ポリシーが適用される。認証とポリシーチェックが通れば、閲覧対象のファイルは、アプリケーションサーバーを介さず、オブジェクトストレージから直接ユーザーのブラウザにストリーミングされるか、またはリダイレクトされる。これにより、大量のデータ転送によるアプリケーションサーバーの負担を避けられる。同時に、ユーザーの閲覧行動に関する「閲覧イベント」は、システムに負荷をかけないよう非同期で記録される。PDFファイルの場合、閲覧者が何ページ目まで読んだかといった詳細な情報は、ブラウザ側のビューアからシステムに送信されることが多い。このアーキテクチャの根幹にあるのは、「共有される単位はファイルのバイトではなく、リンクである」という重要なプロダクトルールだ。

共有ドキュメントの閲覧分析は非常に有用な情報源となる一方で、ユーザーのプライバシーに対する懸念も生じやすい。そのため、分析機能は「つまらなく、明確に」を原則として設計する必要がある。具体的には、外部の不透明な追跡ツールに頼るよりも、自社で直接収集するイベントを優先するべきだ。IPアドレスなどの個人を特定しうる情報は、保存する場合でもハッシュ化したり、一部を切り捨てたりして匿名性を高める配慮が求められる。送信者には、「誰かが資料を開いたか」「何ページ目まで見たか」といった、意思決定に役立つ簡潔な情報を提供する。ユーザーを監視しているような印象を与える必要はない。また、繰り返しになるが、分析データの収集や処理のために、ドキュメントのページ読み込みをブロックすることは避けるべきである。最も重要なのは、ドキュメントが確実に表示されることだ。

共有リンクを実際のビジネスシーンで安全に利用するためには、パスワードと有効期限という二つの強力な制御機能が不可欠だ。パスワードを設定することで、意図しない相手へのリンク転送、例えば公開されているチャットツールに誤って共有されてしまうようなカジュアルな情報漏洩を防ぐことができる。これは、特定の関係者間でのみ情報を共有したい場合に特に有効だ。一方、有効期限は、特定の期間だけアクセスを許可したい場合に非常に便利だ。例えば、資金調達の期間中だけ投資家向け資料を公開し、期間終了後は自動的にアクセスを停止するといった使い方ができる。これらの機能の実装にあたっては、パスワードそのものをデータベースに保存するのではなく、セキュリティを高めるためにハッシュ値として保存し、パスワードの推測に対する試行回数制限を設けるべきだ。また、有効期限切れとなったリンクに対しても、単に「ページが見つかりません」という一般的なエラーではなく、「このリンクは有効期限が切れました」といった、状況を明確に伝えるメッセージを表示する専用のページを用意することが、利用者にとって分かりやすい体験につながる。

このリンクベースの共有モデルは、PDFや画像ファイルだけでなく、より多様なコンテンツにも応用できる。例えば、小さな静的ウェブサイト（HTML、CSS、JavaScriptファイルをまとめたZIPファイル）をアップロードし、それをURLとして共有するという流れも非常に有用だ。これは、プロトタイプ版のウェブサイト、単一ページのプロモーションサイト、あるいはクライアント向けのプレビューなど、「ZIPファイルを添付する」という一般的ながら不便な慣習を改善する手段となる。システムはアップロードされたZIPファイルを展開し、その中の index.html などのデフォルトのエントリーポイントを通常のファイルオブジェクトと同様に扱う。重要なのは、アップロードされたファイルに含まれるサーバーサイドのコードを実行しないこと、つまり静的なコンテンツのみを扱うことだ。これにより、セキュリティリスクを抑えつつ、柔軟なコンテンツ共有が可能となる。システムを構築する際には、共有の単位がファイルそのものではなくリンクであること、ビューアのデフォルトパスがダウンロードを強制しないこと、パスワードと有効期限が第一級の機能であること、閲覧イベントが非同期かつ非ブロックであること、取り消しや期限切れの際に人間が理解できるページを表示すること、アップロードされるファイルタイプを制限することなどが、実践的なチェックリストとなる。

文字数: 1952文字