会員向けページのリニューアルで、閲覧権限と資料を引き継ぐ手順

1. ページと資料ごとに、見られる人を決める

会員向け資料を新サイトへ移したら、ログイン画面はあるのにPDFを直接開けてしまう。反対に、以前使えた資料を正規の会員が見られなくなることもあります。リニューアルの確認は、画面が揃ったかだけでなく、利用者ごとの閲覧条件が引き継がれたかを見る必要があります。

最初に事務局や情報の所管部署が、会員の区分と対象資料を整理します。一般公開、全会員、特定の団体や契約先だけに公開する情報を分け、ページ、PDF、画像、動画の保管先まで記録してください。公開範囲が不明な資料は、旧サイトで見えていたという理由だけで新サイトへ載せず、責任者へ確認します。

• 資料名と旧URL・新URL：ページと添付ファイルを別々に記録する。
• 閲覧できる利用者：全会員か、所属先や契約状態によって異なるかを示す。
• 閲覧を止める条件：退会、契約終了、所属変更などの扱いを決める。
• 判断する担当者：内容の公開範囲を決める部署と、設定する担当を分ける。

2. ログインと閲覧権限を分けて相談する

ログインは利用者の本人確認です。その人が特定の資料を見てよいかという判断は、別に必要になります。OWASPの公開ガイドも、本人確認と権限の確認を区別し、必要な範囲だけを許可する設計を示しています。制作会社には「会員なら全部見られる」かどうかだけでなく、所属や資料の種類で条件が変わる場面を伝えましょう。

一般例として、団体Aの会員と団体Bの会員が同じログイン画面を使っていても、契約先ごとの資料は相互に見せない設計が考えられます。この場合、会員という共通区分だけでは条件を表せません。条件が複雑なら、変更する担当者が説明できる範囲まで整理し、例外を含めた確認表を作ります。

会員情報の移行では、利用中のログイン方式、所属区分、利用停止の状態、再設定が必要になる条件を現行事業者と移行先へ確かめます。パスワードをそのまま引き継げるとは決めつけず、移行方法が確認できてから利用者への案内を準備してください。確認用の一覧にパスワードを記載せず、テストには専用のアカウントを使います。

3. 添付ファイルと旧URLにも同じ保護をかける

メニューからリンクを消すだけでは、資料のURLを知る人の閲覧を止められるとは限りません。会員向けページで保護していても、添付ファイルの保存先が一般公開なら、資料だけを取得できる場合があります。OWASPは、画像やファイルなどの静的な資料にも権限の確認を適用するよう案内しています。

検索結果に出さない設定も、閲覧者を限定する仕組みとは別です。Googleの公式案内では、noindexで検索表示を抑えた内容でも、リンクを持つ利用者は直接訪問できると説明されています。限定資料は検索設定に頼らず、ファイルを返す段階で閲覧条件を確認する構成になっているか、制作会社へ尋ねてください。

確認対象には、新しい資料URLだけでなく、旧ファイルの保存先、サムネイル、別形式のダウンロード、外部保管サービスも含めます。旧URLを新URLへ転送するときも、転送先で必要な確認が働くかを試します。既に端末へダウンロードされた資料の扱いは、サイト上の設定とは分けて整理しましょう。

4. 「見られる」と「見られない」を対でテストする

公開前は、閲覧を許可した利用者が資料を開けるテストと、許可していない利用者が開けないテストを組み合わせます。資料の責任者が期待する結果を決め、制作担当者が確認用の環境で実行し、結果と修正箇所を同じ表に残します。実際の会員情報や限定資料を使う範囲も、事前に承認を得てください。

次の確認例は、所属先別の資料があるサイトを想定したものです。自社の会員区分に置き換え、ログアウトした別のブラウザでも資料URLを直接開きます。ログイン画面が表示されたという結果だけで終えず、保護対象の本文やファイルが返されていないことを、実装担当者が確認します。

• 正規会員：許可された資料の一覧、本文、ダウンロードが利用できる。
• 未ログイン：限定資料の本文やファイルを取得できず、必要な案内が出る。
• 別所属の会員：ログインできても、対象外の団体資料を取得できない。
• 退会・利用停止した会員：設定を変更した後、対象資料を利用できない。
• 一般公開ページ：ログインを求めず閲覧でき、限定資料へ誤ってつながらない。

5. 切り替え後の変更担当と確認日を決める

テストが終わったら、会員登録や所属変更をいつまで旧環境へ反映し、いつから新環境で扱うかを決めます。作業中の変更を取りこぼさないよう、対象者と資料の最終差分、案内の送信担当、問い合わせ先を公開手順へまとめてください。閲覧条件が確定しない資料や、権限外で取得できる資料が残る場合は、その部分の公開を止めて解消します。

切り替え後も同じ確認表を使い、正式URLでログイン、資料の閲覧、直接URLからの取得可否を確かめます。運用担当者には、会員の追加、利用停止、資料の公開範囲変更を試してもらい、誰が判断し誰が設定するかを引き継ぎます。設定の変更後に再確認する資料も、手順に含めておきましょう。

最初の相談には、会員区分と代表的な資料の組み合わせを持っていくと話が進みます。「ログイン機能を残したい」から一歩進めて、「この人にはこの資料を見せ、この人には見せない」と説明できることが、移行範囲と公開条件を決める材料になります。