【ITニュース解説】We visited 200 websites from Virginia and from Frankfurt. The US visit got 3x the high-risk tracking.

システムエンジニアを目指す皆さんにとって、ウェブサイトの構築や運営は重要なスキルだ。しかし、皆さんが日々目にしているウェブサイトの挙動が、実は世界中で一律ではないことを知っているだろうか。特に、ユーザーのプライバシーに関わるクッキー利用や個人情報の追跡（トラッキング）は、アクセスしている国や地域によって大きく異なる場合がある。今回のニュース記事は、この違いを具体的に調査し、その背景と、ウェブサイト開発・運営上知っておくべき教訓を明らかにしている。この調査は、サイトが訪問者の場所に応じて異なる顔を持つことを示唆し、私たちITに携わる者にとって非常に重要だ。

この調査は、プライバシー保護サービスを提供する組織によって実施された。彼らは2026年10月14日に、Googleの「Chrome UXレポート」から選ばれた人気ウェブサイト200件を対象とした。アメリカのバージニア州とドイツのフランクフルトにあるサーバーという、二つの異なる場所から同時にアクセスを行った。すべてのサイトで同じスキャナー設定を使用し、それぞれのホームページのみを初回訪問者としてアクセス。過去の訪問履歴を示すクッキーは使用せず、表示されるクッキーバナーもクリックしなかった。これにより、ユーザーが何の操作も行わない「初期状態」での挙動を比較した。計測項目は、ウェブサイト自身以外の外部企業へのリクエスト総数、広告交換・データ仲介業者・クロスサイト分析・広告ピクセル・フィンガープリントといった高リスクなトラッキングリクエストの数、アクセスサイトとは異なるドメインから設定されるサードパーティクッキーの数、そしてクッキーの利用同意を求める「クッキーバナー」の表示有無である。

調査の結果、アメリカのバージニア州からの訪問と、ドイツのフランクフルトからの訪問では、ウェブサイトのプライバシーに関する挙動に顕著な違いがあることが判明した。平均的なウェブサイトの挙動を比較すると、まず外部企業へのリクエスト総数において、バージニアでは平均106.1件であったのに対し、フランクフルトでは平均60.7件と、アメリカ側が約1.7倍多かった。さらに注目すべきは、プライバシーリスクが高いとされるトラッキングリクエストの数だ。バージニアからの訪問では平均12.6件発生していたのに対し、フランクフルトでは平均3.8件に留まり、アメリカ側では約3倍もの高リスクなトラッキングが行われていた。サードパーティクッキーについても同様で、バージニアでは平均13.2個設定されたのに対し、フランクフルトでは平均3.1個と、アメリカ側で約4倍多く設定された。これは、ユーザーが何も操作する前に、アメリカではドイツに比べて、多くの外部通信や高リスクなトラッキング、サードパーティクッキー利用が行われていることを明確に示している。クッキーバナーの表示に関しても興味深い結果が出た。200件のサイトのうち、バージニアからの訪問でバナーが表示されたのは24サイトであったのに対し、フランクフルトからの訪問では45サイトで表示された。特に21サイトでは、フランクフルトからのアクセスでのみバナーが表示され、バージニアからは全く表示されなかった。

このような地域によるウェブサイトの挙動の違いは、主に各国のプライバシー保護に関する法規制と、それに対応するウェブサイトの仕組みによって引き起こされている。多くのウェブサイトが導入している同意管理ツールは、訪問者のIPアドレスから国を判別し、その国のプライバシー規制に応じて挙動を変化させている。特に欧州連合（EU）やイギリスでは、GDPRなどの厳格な規制が施行されており、「オプトイン」原則が採用されている。これは、必須ではないトラッカーは、ユーザーが明示的に同意するまでロードしてはならないという考え方だ。そのため、EUやイギリスからの訪問者には、通常、ウェブサイト利用に先立って大きなクッキーバナーが表示され、ユーザーの同意を待つ仕組みになっている。一方、アメリカの多くの地域では、「オプトアウト」原則が主流である。これは、ウェブサイトはまずすべてのトラッカーをロードし、その後でユーザーが追跡を拒否できるという考え方だ。このため、アメリカからの訪問者に対しては、多くのウェブサイトが最初から情報をロードしてしまい、クッキーバナーが表示されなかったり、目立たない小さな通知に留まったりすることが多い。また、アメリカ国内でも、カリフォルニア州のように「Global Privacy Control（GPC）」というブラウザ信号を追跡拒否の意思表示として扱うことを求めるなど、州によって独自の規制が存在する場合もある。

このような地域による挙動の違いは、ウェブサイト開発者や運営者にとって重要な課題だ。もしあなたがアメリカを拠点に開発・テストしている場合、EUなどの規制が厳しい地域の訪問者が実際に目にしている挙動を正確に把握することは難しい。例えば、EUで同意前にトラッカーが意図せず発火したり、クッキーバナーが正しく表示されなかったりする問題があったとしても、アメリカからのテストでは気づけない可能性がある。逆にEUを拠点に開発している場合、サイトが慎重なプライバシー対応をしていると誤解し、アメリカの訪問者が実際には多くのトラッキングを受けていることを見過ごす危険性がある。

では、自分のウェブサイトが異なる地域でどのように振る舞うかを確認するにはどうすればよいだろうか。最も手軽な手動の方法は、VPN（仮想プライベートネットワーク）サービスとブラウザの開発者ツールを組み合わせることだ。まず、VPNを使って、テストしたい国（例えばドイツ）に接続する。次に、ブラウザの「シークレットモード」や「プライベートブラウジング」といった新しいウィンドウを開く。これは、過去の閲覧履歴やクッキーの影響を受けずに、初回訪問者の状態を再現するためだ。F12キーで開発者ツールを開き、「ネットワーク」タブの「ログを保持」オプションにチェックを入れる。この設定をしてから自分のウェブサイトを読み込み、クッキーバナーが表示されてもクリックせずに、そのままの状態を維持する。ウェブサイトが読み込まれたら、開発者ツールに戻り、「-domain:*yoursite.com」（自分のサイトのドメイン名に置き換える）フィルターを適用。これにより、自分のサイト自身へのリクエストを除外し、外部企業へのリクエストのみを確認できる。ここで、バナーの表示有無や、何の操作もしていない状態でどの外部ホストへのリクエストが発生したかをメモする。その後、VPNを別の国（例えばアメリカ）に切り替え、全く新しいシークレットモードのウィンドウで同じ手順を繰り返す。最後に、それぞれの国で得られたリクエストのリストを比較することで、地域ごとの挙動の違いを把握できる。もし手動操作が面倒な場合は、記事の筆者が開発している「PrivacyFixed」のような専門サービスを利用することも可能だ。

この調査結果を解釈する際には、いくつかの注意点がある。まず、今回の調査ではデータセンターのIPアドレスからアクセスしており、一部サイトは家庭からのアクセスと区別し、異なる挙動を示す可能性もある。また、調査は特定の1日、1回の訪問、ホームページのみを対象として行われた。ウェブサイトの広告やトラッキングタグは常に変化しており、時間帯や再訪問によってロードされるトラッカーのセットが異なることもある。さらに、示された数値は「平均値」であり、個別のサイトでは挙動が大きく異なる場合がある。

今回の調査から得られる最も重要な教訓は、あなたのウェブサイトのプライバシーに関する挙動は、決して単一のものではないということだ。それは訪問者がアクセスしてくる地域ごとに異なる「顔」を持っていると考えるべきだ。したがって、ウェブサイトを開発しリリースする際には、主要な訪問者が存在するそれぞれの地域から、サイトのテストを行うことが不可欠である。特に、クッキーバナーに同意する前や、同意を拒否した場合のサイトの挙動も確認することが重要となる。このような多角的なテストを実施することで、あなたの開発環境からは見えなかった潜在的な問題点を発見し、世界中のすべてのユーザーに対して、適切かつ一貫したプライバシー体験を提供できるウェブサイトを構築することにつながるだろう。