GA4のホスト名フィルタに「許可リスト」ができた ── 自社のドメイン以外から届くデータを数えて確認する13項目（2026年10月時点）

目次

1. 01 何が起きたか — GA4のホスト名フィルタに「許可リスト」ができた
   1. 2026年9月21日の更新の中身
   2. 「承認済みドメインの許可リスト」とは
   3. 公式が書いた2つの注意点
   4. 6月の更新と、どうつながっているか
   5. 日本語のヘルプは、確認した時点で9月21日の項まで届いていなかった
   6. この記事の軸
2. 02 なぜ・背景 — 「止める名前を足し続ける」から「通す名前だけ決める」へ
   1. 「除外」フィルタは、新しいスパムが出るたびに足す作業だった
   2. 許可リストは「知らない名前は通さない」側に倒れる
   3. 倒れる向きが逆になると、確認の順番も逆になる
   4. 止める側に入りうるのは、スパムだけとは限らない
   5. 公式が書いていないこと
3. 03 この記事で出てくる用語
   1. ホスト名
   2. データフィルタ（含める・除外する）
   3. 許可リスト
   4. データフィルタの状態
   5. Measurement Protocol
   6. クロスドメイン計測
   7. 空のホスト名
4. 04 型別 — 適用範囲・この記事が測っていないこと・手順
   1. A. この記事が当てはまる範囲
   2. B. この記事が測っていないこと
   3. C. 手順の全体像 — 5つの順番で進める
   4. D. 作る人の権限と、フィルタの上限
5. 05 明日、自社サイトで確認できることチェックリスト
   1. まず13項目を通して見る
   2. 観点別の内訳と、かかる時間
   3. 5分で終わらない項目があったとき
6. 06 代替・他の選択肢（表で）
   1. 「データを絞る」設定は、5つに分かれる
   2. それぞれの設定が「できないこと」も知っておく
   3. 「許可リスト」を選ばない場合もある
7. 07 当サイトで数えてみた結果
   1. 数えた範囲と方法
   2. 結果は、本番のホスト名が1つで、確認用の環境にはタグが無かった
   3. この結果から言えないこと
8. 08 このテーマの、これまで
   1. 公式の更新の跡
   2. GA4を使った当サイトの過去の記事
   3. 近い話題の、解説記事
   4. 数字は確認した時点のものとして扱う
9. 09 この記事のまとめ

01 何が起きたか — GA4のホスト名フィルタに「許可リスト」ができた

2026年9月21日の更新の中身

Google アナリティクス ヘルプの「新機能」ページに、2026年9月21日付で「Hostname filters（ホスト名フィルタ）」という項が加わった。冒頭の1文は次のとおりである。

"Google Analytics now supports Include data filters for hostnames, allowing you to create an allowlist of approved domains authorized to send event data to your property."

（訳: Google アナリティクスは、ホスト名の「含める」データフィルタに対応しました。プロパティにイベントデータを送ってよい、承認済みドメインの許可リストを作れます。）

つまり、「このドメインから届いたデータだけを受け取る」と、GA4の側で決められるようになった。これまでは「このドメインから届いたデータを受け取らない」しか決められなかった。名前を並べる向きが、逆になったのである。

「承認済みドメインの許可リスト」とは

ここでいうドメインは、GA4のレポートでは「ホスト名」という項目に出てくる名前である。たとえば自社のサイトが www.example.co.jp なら、そのページから送られたデータのホスト名は www.example.co.jp になる。許可リストとは、送ってよいホスト名を自分で並べておき、並べていない名前から届いたデータは受け取らないという作りの設定を指す。

公式が書いた2つの注意点

同じ項には、「注意して読むこと」として2点が添えられている。1つ目は、Measurement Protocol（サーバーから計測データを直接送る仕組み）で送られたイベントには、このフィルタが適用されないこと。2つ目は、ホスト名が空のイベントを、このフィルタが自動で止めることである。

"Include filters will automatically block events with empty hostnames (such as gtag.js traffic), as a missing hostname typically indicates spam or abnormal traffic."

（訳: 「含める」フィルタは、ホスト名が空のイベント（gtag.jsのトラフィックなど）を自動的にブロックします。ホスト名が無いのは、通常、スパムや異常なトラフィックを示すためです。）

ここで見落とせないのは、止まる側の話である。許可リストを有効にすると、リストに無い名前だけでなく、ホスト名が空のイベントも届かなくなる。何を空のままにしているかは、フィルタを作る前に確かめておく必要がある。

6月の更新と、どうつながっているか

同じ「新機能」ページには、2026年6月11日付の項もある。日本語のヘルプでは、ホスト名フィルタを「[管理] セクションの既存の [データフィルタ] セクションにある新しいタイプのフィルタ」とし、ホスト名（例として「google.com」）に基づいてイベントを除外できると説明している。順番としては、6月に「除外」ができ、9月に「含める」が加わった形である。

日本語のヘルプは、確認した時点で9月21日の項まで届いていなかった

日本語版の「新機能」ページを2026年10月1日に開いたところ、載っていた最新の項は2026年8月10日で、9月21日の項は見当たらなかった。英語版には載っている。日本語版は反映が遅れることがあるため、この記事では英語版の文言を引き、訳は筆者が付けた。画面の表示名は、自分の言語の管理画面で確かめてほしい。

この記事の軸

この記事は、フィルタの作り方の手順書ではない。軸は1つで、許可リストを作る「前」に、いまGA4にどのホスト名からデータが届いているかを数え、許可する名前を一覧にすることである。フィルタは一度有効にすると過去へ戻せない。だから、書き方より先に「どの名前を通すか」を決める作業が要る。

02 なぜ・背景 — 「止める名前を足し続ける」から「通す名前だけ決める」へ

「除外」フィルタは、新しいスパムが出るたびに足す作業だった

公式の説明は、これまでの状況をこう書いている。

"Previously, filtering was limited to Exclude filters, which required ongoing manual updates to keep up with new sources of spam."

（訳: これまでフィルタリングは「除外」フィルタに限られており、新しいスパムの発生源に対応するには、継続的な手作業での更新が必要でした。）

除外は、止めたい名前を知っていなければ書けない。知らない名前から届くデータは、止める手段が無かった。公式はこの更新で、承認済みのホスト名のリストを決めておけば、更新の手間が少なくて済むと説明している。

許可リストは「知らない名前は通さない」側に倒れる

除外は「知っているものだけ止める」ので、見落としは「通ってしまう」側に出る。許可リストは逆で、「知っているものだけ通す」ので、見落としは「止まってしまう」側に出る。自社の決済画面や予約ツールのドメインを書き忘れると、その画面での操作が、以後ずっと計測されなくなる。これは、この記事の整理であり、公式の文面から導いた読みである。

倒れる向きが逆になると、確認の順番も逆になる

除外フィルタを作るときは、止めたい名前が見つかってから作ればよかった。許可リストは、通したい名前をすべて挙げられるようになってから作る。挙げられる状態にするには、いま届いている名前の一覧を先に取り、自社の名前と突き合わせる作業がいちばん確実である。この記事の中心は、その一覧づくりにある。

止める側に入りうるのは、スパムだけとは限らない

ホスト名が自社の本番サイトと違うデータには、スパムのほかにも、いくつか種類が考えられる。テスト環境や開発中の画面が、本番と同じGA4のプロパティにデータを送っている場合。決済や予約といった外部のサービスの画面に、自社の計測タグを入れている場合。サイトを別のドメインに移した後の、古いドメインの残りもある。これらは自社が意図して送っているデータで、スパムとは扱いが違う。許可リストに入れるのか、除外するのか、あとで決められるよう、一覧の段階で区別しておく。

公式が書いていないこと

確認した範囲では、公式の文書に「届いたデータの何割が、自社以外のホスト名のものか」という目安や、「スパムの判定の仕組み」の説明は見当たらなかった。どのくらいのサイトで自社以外のホスト名が出ているかは、この記事では確かめていない。自社の場合にどうかは、自分のプロパティで数えるしかない。

03 この記事で出てくる用語

ホスト名

パス（/contact.html の部分）は含まれない。同じ会社でも、www付きとwww無し、本番とテスト環境は、別のホスト名として数えられる。

データフィルタ（含める・除外する）

GA4が受け取るデータの時点で、条件に合うイベントを処理の対象にしたり、外したりする設定である。公式のヘルプは、データフィルタの種類として「開発者トラフィック」「内部トラフィック」「ウェブのホスト名トラフィック」の3つを挙げている。「含める（Include only）」と「除外（Exclude）」の2つの操作があり、公式は、有効な「含める」フィルタをまとめて先に適用し、そのあとで有効な「除外」フィルタを順に適用すると書いている。

許可リスト

通してよい名前を並べたリストである。ホスト名の「含める」フィルタを使うと、このリストを作れる。公式の更新文は「allowlist」と書いている。反対側の、止める名前を並べたものは、一般に「拒否リスト」や「ブロックリスト」と呼ばれる。

データフィルタの状態

公式のヘルプによると、データフィルタには「テスト」「有効」「無効」の3つの状態がある。テストでは、条件に合うデータがディメンション「Test data filter name（テストデータフィルタ名）」に、フィルタの名前の値で記録され、データそのものは変更されない。有効にすると、条件に合うデータに恒久的な変更が加わる。無効のフィルタは評価されない。この説明は、データフィルタ全般についてのものである。ホスト名のフィルタの作成画面に同じ選択肢が出るかは、自分の画面で確かめる（05章の確認項目に入れてある）。

Measurement Protocol

サーバーなどから、Google アナリティクスへ計測データをHTTPリクエストで直接送る仕組みである。公式の概要は、「サーバー間やオフラインのやり取りを記録する」ためのもので、gtag・タグマネージャー・Firebase向けのGoogleアナリティクスによる自動収集を「置き換えるものではなく、補うもの」だと説明している。ホスト名の許可リストは、この仕組みで送られたイベントを止めない。

クロスドメイン計測

自社のサイトと、別ドメインのショッピングカートのように、複数のドメインにまたがる1回の訪問を、1人の利用者の行動としてつなぐ設定である。公式は「Cross-domain measurement allows activity to be accurately attributed to a single user as they cross domains.（クロスドメイン計測により、ユーザーがドメインをまたいでも、行動を1人のユーザーのものとして正確に扱える）」と説明している。この設定をしているサイトでは、別ドメインの画面からもデータが届くので、そのドメインも許可リストに入れる候補になる。

空のホスト名

イベントに、ホスト名の値が付いていない状態である。公式は、gtag.jsのトラフィックを例として挙げ、これが「スパムや異常なトラフィックを示す」と書いている。「含める」フィルタは、このようなイベントを自動で止める。

04 型別 — 適用範囲・この記事が測っていないこと・手順

A. この記事が当てはまる範囲

対象は、GA4を使っている自社サイトで、レポートに出てくるホスト名を確かめたことがない担当者である。特に、サブドメインを複数使っているサイト、決済や予約で外部のサービスの画面へ移るサイト、テスト環境を持つサイトで役に立つ。自社のホスト名が1つだけのサイトでも、「1つだけ」が本当かどうかを数えるところから始められる。

B. この記事が測っていないこと

次の4点は、この記事の範囲外である。第一に、許可リストを実際に有効にして、データの欠けがどれだけ出るかは試していない。第二に、自社以外のホスト名からスパムが届く割合が、一般にどの程度かは確かめていない。第三に、Google アナリティクス 360（有料版）での動き方は確認していない。第四に、アプリのデータストリームは扱っていない。この記事が扱うのは、ウェブのデータストリームでの話である。

C. 手順の全体像 — 5つの順番で進める

手順は5つに分ける。1つ目は、確かめる名前を出すこと。2つ目は、いま届いている名前を数えること。3つ目は、自社の名前と届いた名前の差を見て、許可する名前を決めること。4つ目は、フィルタをテストの状態で作り、通らなくなる範囲を見ること。5つ目は、有効にして、新しい画面やドメインが増えたら表に足すことである。最初の3つは、フィルタを1つも作らずに進められる。

D. 作る人の権限と、フィルタの上限

公式のヘルプによると、データフィルタの作成・編集・削除には、プロパティ単位のEditor（編集者）の役割が要る。Editorの役割は、公式の役割一覧で「Full control of settings at the property level.（プロパティ単位の設定のすべてを操作できる）」と説明され、ユーザーの管理はできない。また、1つのプロパティで作れるデータフィルタは10件までと書かれている。上限に近いと、新しい許可リストの置き場が足りなくなることがありうる。

05 明日、自社サイトで確認できることチェックリスト

まず13項目を通して見る

以下は、明日、GA4の管理画面とブラウザだけで、許可リストの案を1枚の表にするまでの項目である。チェックの状態はブラウザに保存され、サーバーには送信されない。上から順に行うと、1〜3番目が現状を見る作業、4〜8番目が届いた名前を数える作業、9〜13番目が決めて確かめる作業になる。フィルタの保存は、どの項目にも入れていない。

• GA4の「管理」から「データフィルタ」を開き、いま在るフィルタの名前と状態（テスト・有効・無効）を書き出して、作成済みの件数が10件の上限のうちいくつかを数える
• 自社が使っているドメインを、本番サイト・サブドメイン・外部のサービスの画面の3つに分けて、思いつく範囲で10個まで書き出す
• 探索レポートで、ディメンションに「ホスト名」、指標に「イベント数」を入れた表を作り、期間を直近28日にして、上位10件を書き写す
• 3番目の表の中で、2番目の一覧に載っていない名前に印を付け、その数を数える
• 印を付けた名前のうち、イベント数が多い上位3件について、ホスト名の文字列を担当者に見せて、心当たりがあるかを尋ね、答えを控える。見覚えのない、不審なドメインは、ブラウザで開かない
• 決済・予約・会員ページなど、外部のサービスを使っている画面を3つ開き、アドレス欄に出るホスト名を、2番目の一覧と照らして確認する
• テスト用か開発用の環境を1つ開き、ページのソースを表示して、GA4のタグが入っているかどうかを確認する
• 3番目の表で、ホスト名が空欄か「(not set)」の行があるかを探し、あれば、イベント数を書き写す
• 許可する・確認する・許可しないの3列で、ホスト名の案を10行までの1枚の表にまとめる
• データフィルタの作成画面を開き、ホスト名のフィルタで「含める」と「除外」を選べるか、状態の選択欄があるかを、保存せずに確認する
• 管理画面で自分の役割を開き、Editor以上かどうかを確認し、無ければ権限を持つ人の名前を書き留める
• サーバーから計測データを送る仕組み（Measurement Protocolなど）が自社にあるかを、開発の担当者1人に尋ねて、有無を書き留める
• テストの状態を始める日と、結果を見る日を、1週間ほど空けて、カレンダーに2件入れる

9番目の表は、次の図のような形になる。数値とドメインは、この図のための架空の例である。「確認する」の行は、自社が送っているものかどうかを、担当者に尋ねたり、実際のページを開いたりして決める。

観点別の内訳と、かかる時間

すべてに目を通す時間の目安は、あわせて1時間15分ほどである（筆者の見積もりで、サイトの大きさによって変わる）。1つの項目が5分を超えそうなら、対象を減らしてよい。たとえば3番目の「上位10件」を「上位5件」にしても、どんな名前が混ざっているかは見える。

5分で終わらない項目があったとき

3番目の表で、行が多すぎて写しきれない場合は、イベント数が多い上位10件だけを写して「10件中」と書き残す。目的は全部の名前を数えることではなく、自社が知らない名前が混ざっているかどうかを見つけることである。期間は、まず28日で足りる。季節で動くサイトでは、あとから90日に広げて、28日には出なかった名前が増えるかどうかを見るとよい。ホスト名を探索レポートで出す手順は、第三者の解説（Loves Data）でも、ディメンションに「Hostname」を加える方法として紹介されている。画面の項目名は、自分の管理画面で確かめてほしい。

06 代替・他の選択肢（表で）

「データを絞る」設定は、5つに分かれる

GA4には、不要なデータを扱う設定が複数ある。同じ「除く」ように見えても、除く場所と、取り消せるかどうかが違う。ホスト名の許可リストを選ぶ前に、どれが目的に合うかを並べておく。

それぞれの設定が「できないこと」も知っておく

公式のヘルプは、「If you want to hide data from certain reports without permanently filtering out the data, use report filters instead.（データを恒久的に除かずに、特定のレポートからデータを隠したいなら、代わりにレポートのフィルタを使ってください）」と書いている。許可リストを作る前に、レポートの側で隠してみることは、取り消せない操作を避ける1つの方法になる。

「許可リスト」を選ばない場合もある

自社のホスト名が多くて、すべてを言い切れない場合や、外部の画面を頻繁に追加する運営では、許可リストの更新が追いつかない。そのときは、除外フィルタを、見つかった名前から1つずつ足していくほうが、データの欠けは出にくい。許可リストは、自社の名前をすべて言える状態になってから選ぶ設定だと考えるとよい。

07 当サイトで数えてみた結果

数えた範囲と方法

当サイトでも、5つの手順のうち、管理画面を開かずにできる部分を数えた。2026年10月1日に、公開サイトのHTMLを取得して、GA4のタグ（gtag.js）の有無と、書かれている計測IDの種類を数えた。対象は、サイトマップに載っている309本のうち、等間隔で選んだ20本と、代表の4本（トップ、解説記事の一覧、ブログ記事1本、ツール一覧）、そして開発・確認用の環境の2本である。

結果は、本番のホスト名が1つで、確認用の環境にはタグが無かった

この結果から、2つのことが言える。1つ目は、当サイトのページから送られるホスト名は、本番の1つに絞られているように見えること。2つ目は、確認用の環境のページにはタグが入っておらず、その環境からデータが届く経路は、少なくとも今回見たページでは見当たらなかったことである。ドメインだけのアドレスは、転送されるので、ページとして表示される先は本番のホスト名になる。

この結果から言えないこと

また、20本の選び方は等間隔であって、無作為ではない。309本のうち残りの289本は、個別には開いていない。「全ページに入っている」とは言わず、「選んだ範囲では入っていた」と書くのは、そのためである。

08 このテーマの、これまで

公式の更新の跡

ホスト名フィルタの話は、2026年に入ってからの更新で動いている。6月11日に「除外」のホスト名フィルタが加わり、9月21日に「含める」が加わった。上の2つの更新の間は、およそ3か月半である。GA4の設定画面は、数か月のうちに項目が増えたり、名前が変わったりする。この記事の画面の呼び方も、確認した時点のものとして読んでほしい。

GA4を使った当サイトの過去の記事

GA4の数字をどう読むかは、当サイトの記事で何度か扱ってきた。外部から来た人の数をアクセスの記録から数え直した記事（外部から来た人は19人だけだった ── アクセスログの「参照元」の95.1%は、自分のサイトからの移動だった）では、参照元の大半が自社のサイトからの移動だったことを書いている。「アクセスが0でした」と言われた日の調査（「アクセスが0でした」と言われて調べたら、仕組みは全部 正常だった ── 壊れていたのは「誰が見に来ているか」の前提）では、数字が0になる理由を、計測の仕組みの外から調べた。

AIからの流入をどう計測するかについては、AIに表示された回数を知っているか — GSC・GA4・Bing、3ツール立体計測の正直な現在地とLCRS は 10.7%、GA4 referrer は 0 ── AI 検索時代に WEBディレクターが測るべき第 4 軸（引用率）の話がある。後者は、GA4の参照元が0だった時期の話である。Googleの数字そのものが壊れていた時期の整理は、Google の数字は 11 ヶ月、壊れていた — Search Console バグ・FAQ 廃止・5 月の変動、2026 年に WEB ディレクターが計測 OS を作り直す理由にまとめてある。

近い話題の、解説記事

GA4に関する公式の更新は、このほかにも解説している。Google アナリティクスに「ダッシュボード」が追加された ── 作成に必要な権限とカードの上限を確認する13項目（2026年9月時点）は、ダッシュボードの作成に必要な権限とカードの上限の話で、今回のEditorの権限とも通じる。外部のツールとの連携を棚卸しする手順は、サイトにつながる外部ツールと権限は、サービスごとに別々の画面で管理されている ── 計測・CMS・広告の連携を棚卸しする14項目（2026年9月時点）にある。計測タグのような外部のタグが、どのデータを集めるかを確かめる話は、ChatGPTの広告cookie「__obi」は「analytics」に分類されていた ── 自社サイトに広告タグを入れる前に確認する13項目（2026年9月時点）で扱った。

数字は確認した時点のものとして扱う

この記事で引用した公式の文言は、2026年10月1日に確認したものである。データフィルタの上限（10件）や、不要な参照元リストの上限（50件）は、公式が将来書き換える可能性がある。基準日を書かない数字は、時間が経つほど誤りに近づく。この記事を使うときも、必要に応じて公式のページを直接開き、最新の記載を確かめてほしい。