当社で長く使ってきたメルマガ配信ソフト「ACmailer（エーシーメーラー）」の利用を、このたび終了しました。理由はひとことで言えば「セキュリティの不安」です。運用する私たちの不安だけでなく、メールアドレスを預けてくださる読者の側にも不安が広がっていると感じています。
この記事では、ACメーラーをやめた理由、メルマガをどう整理したか、そして新しく自作したGoogle Apps Script（GAS）のメルマガがなぜ安心できるのかを、背景と運用方法も含めてご紹介します。小さなコミュニティでメルマガを運営している方の参考になればうれしいです。
2つのメルマガを整理しました
当社にはACメーラーで配信していたメルマガが2つありました。今回、それぞれ次のように整理しました。
- どもどもカフェのメルマガ（週1回）：廃止しました
- どもども通信のメルマガ（月1回）：GASで構築した自作システムに移行しました
どちらもACメーラーで配信していましたが、これでACメーラーの利用はすべて終了です。
ACメーラーをやめた理由はセキュリティの不安
メールアドレスの流出は「大手でも起きる」時代に
メールアドレスなどの個人情報流出は、もはや珍しいニュースではなくなりました。最近では無印良品を展開する良品計画が、2026年10月30日に公式アプリ「MUJIアプリ」への不正アクセスを公表しました。退会者を含め最大約2,726万件のメールアドレス・生年月日・性別が流出した可能性があるという内容です。
その後の続報では、MUJI Cardのカード番号や配送先情報なども対象に含まれる可能性が明らかになり、ネットストアの一時停止にまで発展しました。11月12日には社長が出席して記者会見を開いています。
十分なセキュリティ投資ができるはずの大手企業でも、こうした事故が起きています。そう考えると、小さな事業者が自前のサーバーで読者リストを抱えていることのリスクは、決して小さくありません。
読者の側も「メールアドレスを預けること」に疲れている
もう一つ強く感じているのが、利用者側の変化です。流出のニュースが続くたびに「また自分のアドレスが漏れたかもしれない」「なりすましメールが届くかもしれない」という不安を抱えることになります。
その結果、メールアドレスを登録すること自体、つまりメルマガという仕組みそのものに嫌気がさしている人が増えているように感じます。これは個々の企業の問題というより、社会全体の問題になりつつあるのではないでしょうか。
メルマガを運営する側としては、「預かる以上は、できるだけ安全な形で預かる」ことが最低限の誠意だと考えました。
CGI型という仕組みは堅牢とは言いにくい
ACメーラーはPHPで動くソフトではありませんが、レンタルサーバーにCGI型のプログラムとしてインストールして稼働させる仕様です。CGIとは、Webサーバー上でプログラムを動かすための古くからある仕組みです。
CGI型のソフトには、次のような弱点があります。
- インターネットから見える場所に、プログラム本体と読者データが置かれる
- インストール時にファイルのパーミッション（権限）を手作業で設定する必要があり、設定ミスが起きやすい
- ソフトの更新や脆弱性対策を、運用者自身が追いかけて適用しなければならない
- 安全性がレンタルサーバー側の環境や設定に左右される
私たちのように本業の合間に運用している小規模な発信者にとって、これらをきちんと管理し続けるのは簡単ではありません。「便利で無料」であることと、「堅牢である」ことは別の話だと判断しました。
メルマガを完全にはやめなかった理由
セキュリティだけを考えるなら、メルマガを全部やめてしまうのが一番確実です。実際、そうすることも考えました。
ただ、メルマガを完全にやめることは、これまで読んでくださった方との関係を自分から断ち切るような気持ちになりました。どもども通信を毎月楽しみにしてくださっている方もいます。
そこで、週1回のどもどもカフェは廃止し、月1回のどもども通信だけを残すことにしました。配信の頻度と預かる情報の量を最低限に絞りつつ、読者とのつながりは保つ。これが今回出した答えです。
どもども通信のメルマガは月１回（毎月１日発行）で運用を続けます。
GASのメルマガはなぜ安心なのか
残すどもども通信のメルマガは、Google Apps Script（GAS）で自作したシステムに切り替えました。GASはGoogleが提供しているプログラム実行環境で、スプレッドシートやGmailなどGoogleのサービスと連携して動きます。ここでは、GASにした理由を4つの観点から説明します。
1. 自社のサーバーにプログラムを置かない
GASのプログラムは、Googleのクラウド上で動きます。ACメーラーのように、レンタルサーバーの公開ディレクトリにプログラムやデータのファイルを置く必要がありません。
サーバーのOSやWebサーバーの脆弱性対策、ファイル権限の管理といった「土台」の部分はGoogleが担います。私たちが管理するのは、自分たちが書いたプログラムの中身だけになります。
2. 読者リストはGoogleアカウントの内側で管理する
読者のメールアドレスは、Googleスプレッドシートに保存しています。このスプレッドシートはGoogleアカウントでログインしないと開けず、共有もしていません。アカウントには2段階認証をかけています。
「Webサーバー上のファイルに読者リストが置かれている」状態と比べると、外部から直接アクセスされる入口がぐっと少なくなります。
3. ダブルオプトインと署名付きの解除リンク
自作するにあたって、安全面で大事にした機能が2つあります。
- ダブルオプトイン：登録フォームにアドレスを入力しただけでは登録されず、届いた確認メールのリンクを本人がクリックして初めて登録が完了します。他人のアドレスを勝手に登録されるいたずらを防げます。
- 署名付きの配信停止リンク：配信停止のリンクには、改ざんを検知できる「署名」を付けています。URLを書き換えて他人の購読を勝手に解除する、といった不正ができない仕組みです。
どちらも、読者が安心して登録・解除できるための仕組みです。
4. 独自ドメインのGoogle Workspaceから送信する
メールの送信は、当社が使っているGoogle Workspace（独自ドメイン）のアカウントから行います。送信ドメイン認証（SPF・DKIM・DMARC）が整った環境から送るため、なりすましと区別されやすく、迷惑メールに振り分けられにくくなります。
読者の側から見ても、「いつもの差出人から、正しく認証されたメールが届く」ことは安心材料になります。
GASメルマガの運用方法
仕組みが安全でも、運用が雑では意味がありません。当社では次のようなルールで運用しています。
- 配信は月1回：どもども通信の発行に合わせて配信します。
- 必ずテスト送信してから本番：まず自分宛てにテスト送信し、内容やリンクを目で確認してから、本番配信のボタンを押します。
- 預かる情報は最小限：配信に必要な情報だけを保存し、不要な個人情報は集めません。
- 開発はAIと一緒に、公開は人間が判断：システムはClaude Codeを使って開発しました。ただし、修正を本番に反映するときは必ず人間が内容を確認して承認するルールにしています。
なお、GASからのメール送信には1日あたりの送信数の上限があります。数万人規模の配信には向きませんが、当社のように数十人から百人程度の小さなコミュニティであれば、まったく問題になりません。むしろ「この規模だからこそGASがちょうどよい」と言えます。
それでも「絶対に安全」ではありません
公平のために書いておくと、GASにしたからといってリスクがゼロになるわけではありません。
- Googleアカウントの乗っ取りが最大のリスクです。2段階認証は必須です。
- スプレッドシートの共有設定を誤ると、リストが見えてしまう可能性があります。
- 登録フォームとして公開するWebアプリは、受け付ける処理を必要最小限にしておく必要があります。
つまり、リスクの「場所」を、自分では管理しきれないサーバーから、自分で管理しやすいGoogleアカウントへ移した、というのが正確な表現です。
小さな事業者・コミュニティへのヒント
今回の経験から、メルマガを運営している中小企業や小さなコミュニティの方にお伝えしたいことをまとめます。
- 昔入れたCGI型のソフトを放置していないか確認しましょう。動いているから大丈夫、とは限りません。
- 配信頻度とメルマガの数を見直すのも立派なセキュリティ対策です。預かるリストが減れば、それだけリスクも減ります。
- メルマガを廃止するときは、サーバー上に残った読者データやプログラムも削除しましょう。止めただけで放置すると、かえって危険です。
- 代替手段は有料の配信サービスでも構いません。大切なのは「誰が、どこで、どう守っているか」を説明できる状態にしておくことです。
まとめ
ACメーラーの利用をやめたのは、CGI型という仕組みへの不安と、メールアドレスを預けることそのものへの社会的な不安が重なったからです。大手企業でも流出が相次ぐなか、小さな事業者だからこそ「預かり方」を見直す必要があると感じました。
一方で、読者との関係を断ち切りたくはありません。そこで週1回のどもどもカフェのメルマガは廃止し、月1回のどもども通信だけをGASの自作メルマガで続けることにしました。
頻度は少なくなりますが、そのぶん一通一通を丁寧にお届けします。これからもどもども通信をよろしくお願いいたします。
参考：無印良品のアプリに不正アクセス 最大約2726万件の顧客情報流出か（日本経済新聞）
※なお、当社のサーバーではすでにACメーラーのシステムを除去してあります。今後ACメーラーが原因となりなにかの問題を起こすことはありません。
この記事を書いた遠田幹雄は中小企業診断士です
遠田幹雄は経営コンサルティング企業の株式会社ドモドモコーポレーション代表取締役。石川県かほく市に本社があり金沢市を中心とした北陸三県を主な活動エリアとする経営コンサルタントです。
小規模事業者や中小企業を対象として、経営戦略立案とその後の実行支援、商品開発、販路拡大、マーケティング、ブランド構築等に係る総合的なコンサルティング活動を展開しています。実際にはWEBマーケティングやIT系のご依頼が多いです。
民民での直接契約を中心としていますが、商工三団体などの支援機関が主催するセミナー講師を年間数十回担当したり、支援機関の専門家派遣や中小企業基盤整備機構の経営窓口相談に対応したりもしています。
保有資格：中小企業診断士、情報処理技術者など
会社概要およびプロフィールは株式会社ドモドモコーポレーションの会社案内にて紹介していますので興味ある方はご覧ください。
お問い合わせは電話ではなくお問い合わせフォームからメールにておねがいします。新規の電話番号からの電話は受信しないことにしていますのでご了承ください。
【反応していただけると喜びます（笑）】
記事内容が役にたったとか共感したとかで、なにか反応をしたいという場合はTwitterやフェイスブックなどのSNSで反応いただけるとうれしいです。
本日の段階で当サイトのブログ記事数は 7,276 件になりました。できるだけ毎日更新しようとしています。
遠田幹雄が利用しているSNSは以下のとおりです。
facebook https://www.facebook.com/tohdamikio
ツイッター https://twitter.com/tohdamikio
LINE https://lin.ee/igN7saM
チャットワーク https://www.chatwork.com/tohda
また、投げ銭システムも用意しましたのでお気持ちがあればクレジット決済などでもお支払いいただけます。
※投げ銭はスクエアの「寄付」というシステムに変更しています（2025年1月6日）
※投げ銭は100円からOKです。シャレですので笑ってご支援いただけるとうれしいです（笑）
株式会社ドモドモコーポレーション
石川県かほく市木津ロ64-1 〒929-1171
電話 076-285-8058（通常はFAXになっています）
IP電話：050-3578-5060（留守録あり）
問合→メールフォームからお願いします
法人番号 9220001017731
適格請求書（インボイス）番号 T9220001017731
英語表示の社名：DomoDomo Corporation Inc.
