3Dツアーを閲覧者ごとに守る3つの方法｜パスワード保護の限界と多要素認証

Matterport（マーターポート）のスペースは、標準の公開設定だけでは「閲覧者ごとの認証」や多要素認証を付けられません。

ただし、SDKを使って手前に独自のログインを設ければ、純正のパスワード保護を残したまま、閲覧者ごとの多要素認証や閲覧ログを足せます。

Advalayでは、この仕組みを実際のスペースで検証済みで、多要素認証付きの閲覧環境の構築に対応しています。撮影会社・制作会社からの技術的なご相談も受け付けています。

本記事では、標準の公開設定でできることと限界、閲覧者ごとに守る3つの方法、導入前に決めておきたい点を整理します。

3行まとめ

• 標準の公開範囲は「非公開・パスワード保護・限定公開・公開」の4段階で、パスワード保護は全員で1つの合言葉を共有する仕組みです。
• 閲覧者ごとのログイン・多要素認証・閲覧ログが必要なら、SDKで手前に認証を設ける方法と、Enterprise契約向けの非公開埋め込みを使う方法があります。
• 認証を足しても画面の録画や設定ミスは防げないため、運用ルールとあわせて設計することが大切です。

3Dツアーのセキュリティ相談で多い2つの要望

3Dツアーのセキュリティ相談は、「URLが漏れても見られないようにしたい」と「誰が見たかを管理したい」の2つに集約されます。

本記事の出発点は、2026年11月にAdvalayへ寄せられた相談です。Matterportの撮影を手がける会社から、クライアント案件のスペースに多要素認証などの強固な認証を付けたい、APIやSDKで対応できるかという内容でした。

撮影した空間には、工場のライン配置、研究施設の設備、未公開の店舗、住宅の間取りなど、外部に出したくない情報が含まれることも珍しくありません。取引先の社内規程や情報セキュリティの監査で、「共有URLだけで見られる状態」が問題になる場面も増えています。

相談を整理すると、求められているのは次のような状態です。

• 許可した人だけが見られ、URLやスペースのIDが転送されても第三者は開けない。
• 閲覧者ごとにIDを発行し、退職や契約終了のときにその人だけを止められる。
• パスワードに加えて、スマートフォンの認証アプリなどで本人確認する（多要素認証）。
• 誰が、いつ、どのスペースを見たかを記録として残せる。

ここからは、まずMatterport標準の公開設定でどこまでできるかを確認し、そのうえで足りない部分を補う方法を解説していきます。

3Dツアーの公開範囲は4段階で設定する

Matterportのスペースは、「非公開」「パスワード保護」「限定公開」「公開」の4段階から公開範囲を選べます。

設定は、スペースの共有メニューにある公開範囲の項目から変更します。新しく作成したスペースは、標準では非公開の状態です。

非公開は社内の確認作業向き

非公開のスペースは、招待された共同編集者だけが閲覧できます。閲覧する人ごとにMatterportのアカウントで招待するため、関係者が少ない社内作業には向いています。

一方で、共同編集者は契約プランのユーザー数に数えられる点に注意が必要です。取引先の担当者を何十人も招待するような使い方には、あまり向いていません。

パスワード保護は限られた相手への共有向き

パスワード保護とは、共有URLを開いたときにパスワードの入力を求め、正しく入力した人だけにスペースを表示する設定です。閲覧者はMatterportのアカウントを持っている必要がなく、パスワードは何人にでも伝えられます。

設定を非公開に戻すと、同じURLを開いてもパスワード画面は表示されず、閲覧できなくなります。「標準の機能で、なるべく手軽に閲覧を絞りたい」という方にはおすすめです。

限定公開と公開はURLを知っていれば見られる

限定公開は、URLを知っている人なら誰でも閲覧できる設定です。Webサイトへの埋め込みや、営業資料でのURL共有に広く使われています。

公開に設定すると、Matterportの紹介サイトや検索エンジンにも表示される可能性があります。機密性のある空間では、限定公開や公開を選ばないようにしましょう。

パスワード保護だけでは足りない？4つの限界

パスワード保護は手軽ですが、閲覧者を一人ずつ管理する仕組みではないため、厳しいセキュリティ要件には足りないことがあります。

1．全員で1つの合言葉を共有する

パスワード保護のパスワードは、スペースごとに1つです。閲覧者全員が同じパスワードを使うため、「誰が入力したか」を区別できません。

メールやチャットで転送されると、本来の閲覧者以外にもパスワードが広がります。転送した人を後から特定することも難しいといえるでしょう。

2．特定の人だけを止められない

担当者が異動した、取引が終わったという場合でも、その人だけの閲覧を止める方法はありません。止めるにはパスワードを変更し、残りの閲覧者全員に新しいパスワードを伝え直す必要があります。

閲覧者が多いほど、パスワードの変更は負担になります。結果として、同じパスワードを長く使い続けてしまうケースも少なくありません。

3．多要素認証を付けられない

多要素認証（MFA）とは、パスワードに加えて、スマートフォンの認証アプリやメールで届く確認コードなど、別の要素で本人確認する方法です。パスワードが漏れても、もう1つの要素がなければログインできません。

標準のパスワード保護には、この仕組みがありません。取引先から「多要素認証が必須」と指定されている場合、標準機能だけでは要件を満たせないといえます。

4．閲覧の記録が残らない

パスワード保護では、誰がいつ閲覧したかを個人単位で記録できません。情報セキュリティの監査で「アクセス記録の提出」を求められると、説明に困ることがあります。

閲覧数の把握だけであれば分析ツールでも可能ですが、それは「誰が見たか」の証明にはなりません。個人を特定した記録が必要かどうかは、最初に確認しておきたい点です。

3Dツアーを閲覧者ごとに守る3つの方法

閲覧者ごとの認証を足すには、「SDKで手前にログインを設ける」「Enterprise契約の非公開埋め込みを使う」「社内のアカウントでログインさせる」の3つの方法があります。

SDK（ソフトウェア開発キット）とは、Matterportのスペースを自社のWebページの中で操作・拡張するための開発用の仕組みです。SDKでできること全般は、Matterport SDKでできることを紹介した記事で解説しています。

方法1．独自ログインからパスワード保護を自動で解除する

1つ目は、自社のWebページに閲覧者ごとのログイン画面を設け、認証が通った人にだけスペースを表示する方法です。Matterport側のスペースはパスワード保護のまま残します。

流れは次のとおりです。

• 閲覧者は、自社のページでIDとパスワードを入力し、多要素認証で本人確認します。
• 認証が通ると、サーバーがMatterportのパスワードを純正の入力欄へ渡し、スペースの保護を解除します。
• 閲覧者はMatterportのパスワードを知らないまま、スペースを閲覧できます。

この方法では、Matterportの表示部分を自社のドメインから配信できる「SDK Bundle」を使います。通常の埋め込み表示はMatterportのドメインで動くため、外側のページから純正のパスワード入力欄を操作できないからです。

ポイントは、Matterport側のパスワード保護を外さずに、その手前に認証を重ねることです。スペースのIDやURLが外部に漏れても、パスワードがなければ表示もデータの取得もできないため、保護が二重になります。

Advalayでは2026年11月に、自社で用意した検証用のスペースで、この仕組みが動作することを確認しています。独自のログイン画面で受けた入力から純正のパスワード保護が解除され、パスワードなしで直接URLを開いた場合は閲覧できないことを確かめました。

方法2．Enterprise契約の非公開埋め込みを使う

2つ目は、Matterportが提供する「Private Model Embed（PME）」を使う方法です。PMEとは、非公開のスペースを、閲覧者にMatterportのログインを求めずに自社のポータルへ埋め込むための仕組みです。

Matterportの開発者向け資料によると、PMEは次のように動きます。

• 自社のサーバーがMatterportから認証用のトークンを受け取ります。
• そのトークンで、有効期限付きの閲覧リンクを発行します。期限は最長24時間です。
• 閲覧リンクを自社のページに埋め込み、ログインした人にだけ表示します。

スペース自体は非公開のままなので、共有用のパスワードが存在しません。閲覧リンクが転送されても、期限が切れれば開けなくなる点が特徴的です。

一方で、PMEを使うにはEnterprise契約と、Matterport側での機能の有効化が必要です。契約しているプランで使えるかどうかを、最初に確認しましょう。

方法3．社内のアカウントでログインさせる

3つ目は、閲覧者が普段使っている会社のアカウントでログインさせる方法です。Microsoft 365やGoogle Workspaceのアカウントでログインする仕組みは、シングルサインオン（SSO）と呼ばれます。

SSOは単独の方法というより、方法1や方法2の「ログイン画面」の部分に組み合わせて使います。閲覧者の会社ですでに多要素認証が設定されていれば、その本人確認をそのまま利用できます。

社内の閲覧者が中心の場合や、退職者のアカウント停止を会社側の管理に一本化したい場合は、SSOを検討するのもおすすめです。

3つの方法の比較

多要素認証は4つの方式から選ぶ

多要素認証の方式は、閲覧者の環境と運用の手間で選ぶと失敗しにくくなります。

取引先から方式が指定されていない場合は、認証アプリを基本にし、慣れていない閲覧者にはメールを選べるようにする形が扱いやすいでしょう。

あわせて、一定時間操作がなければ自動でログアウトする設定や、同じアカウントで何度もログインに失敗したときの一時停止も検討しておくと安心です。

認証を付けても守れない3つのこと

閲覧者ごとの認証は「誰が見られるか」を守る仕組みであり、見られる人の行動や設定ミスまでは防げません。

1．許可した人による撮影・録画

ログインを許可した閲覧者が、画面を撮影したり録画したりすることは防げません。閲覧ログが残ることで抑止にはなりますが、技術的に止めることはできないと考えておきましょう。

機密性の高い場所は、撮影の段階で映さない、またはスペースを分けて閲覧者を絞るといった対応も有効です。

2．Matterport側の設定変更

方法1では、Matterport側のパスワード保護が最後の守りになります。誰かが管理画面で公開範囲を「限定公開」や「公開」に変えると、自社のログインを通らなくても見られる状態になります。

公開範囲を変更できる人を限定し、定期的に設定を確認する運用ルールを決めておきましょう。共同編集者の一覧を棚卸しすることも大切です。

3．ログインした人による仕組みの解析

方法1では、ログインした閲覧者のブラウザに、パスワードが一時的に渡ります。専門知識のある閲覧者であれば、ブラウザの開発者ツールで取り出せる余地が残ります。

対策としては、Matterport側のパスワードを定期的に変更する仕組みを組み込む方法があります。より厳しく守りたい場合は、共有用のパスワードが存在しない方法2を検討するといいでしょう。

認証付き3Dツアーを導入する5ステップ

認証付きの3Dツアーは、要件を整理してから小さく試作し、実際のスペースで確認してから本開発へ進めると手戻りを減らせます。

STEP1．守りたい範囲と背景を整理する

最初に、なぜ認証を強化したいのかを整理します。取引先の社内規程、情報セキュリティの監査、過去のトラブルなど、背景によって必要な対策の重さが変わるためです。

あわせて、対象のスペースの数と、閲覧者の範囲（社内・取引先・一般）、おおよその人数を書き出しておきましょう。

STEP2．契約プランと方式を確認する

Matterportの契約プランによって、選べる方法が変わります。Enterprise契約でPMEを使えるのか、SDKを利用できる契約なのかを確認し、方法1と方法2のどちらで進めるかを決めます。

多要素認証の方式やSSOの要否も、この段階で決めておくと見積もりの精度が上がります。

STEP3．試作で動作を確かめる

本開発の前に、実際のスペースを使って、ログインから表示までの流れを試作で確認します。パソコン、スマートフォン、タブレットなど、閲覧者が使う端末で動くかどうかもここで確かめます。

VRゴーグルで閲覧する予定がある場合は、通常の表示とは別に確認が必要です。VRでの表示に関する論点は、VRゴーグルの視野変更と複数人同期を解説した記事で整理しています。

STEP4．管理画面と閲覧ログを仕上げる

試作で問題がなければ、閲覧者の追加・停止を行う管理画面や、閲覧ログの保存、自動ログアウトなどを仕上げます。閲覧者を管理する担当者が、エンジニアでなくても操作できる画面にしておくと運用が安定します。

STEP5．運用ルールを決めて定期的に見直す

公開範囲を変更できる人、パスワードの変更周期、閲覧ログの保存期間、閲覧者の棚卸しの時期を決めます。導入して終わりではなく、半年に1回など定期的に見直す流れを作っておきましょう。

よくある質問

閲覧者ごとの認証について、導入前によく聞かれる点を整理します。

閲覧者はMatterportのアカウントを持っている必要がありますか？

方法1と方法2では、閲覧者にMatterportのアカウントは必要ありません。閲覧者は、自社で発行したIDや、社内のアカウントでログインします。

すでに公開しているスペースにも後から認証を付けられますか？

付けられます。ただし、閲覧に使うURLは自社のページのURLに変わります。これまで共有していたMatterportのURLは、パスワード保護や非公開に切り替えた時点で、認証なしでは開けなくなります。

画面からMatterportの表示を消せますか？

消せません。独自のログイン画面を設ける場合も、Matterportの規約に沿ってMatterportの表示を残す必要があります。画面のデザインは自社のものにできますが、表示の扱いは事前に確認しておきましょう。

スマートフォンでも閲覧できますか？

スマートフォンのブラウザでも閲覧できるように作れます。認証アプリやSMSを使う方式は、スマートフォンでの操作と相性がよい方式です。対象の端末は、試作の段階で確認しておくと安心です。

撮影会社が複数のクライアントの案件で使うことはできますか？

できます。スペースごとに閲覧者を分けて管理する設計にすれば、1つの仕組みで複数のクライアントの案件を扱えます。クライアントごとに閲覧ログを分けて提出できるようにしておくと、監査への説明もしやすくなります。

撮影の依頼から公開までの流れは、Matterport撮影代行の費用と依頼の流れを解説した記事もあわせてご覧ください。

まとめ：閲覧者ごとの認証で3Dツアーを安心して共有しよう！

Matterportの標準の公開範囲は4段階で、パスワード保護は全員で1つの合言葉を共有する仕組みです。閲覧者ごとのログイン、多要素認証、閲覧ログが必要な場合は、SDKで手前に認証を設ける方法や、Enterprise契約の非公開埋め込みを組み合わせて対応できます。

認証を足しても、許可した人による録画や設定ミスは防げません。守りたい範囲と運用ルールを先に整理し、試作で確認してから導入を検討してみてはいかがでしょうか。

弊社Advalayでは、Matterportの撮影に加えて、SDKを使った閲覧画面の開発のご相談を受け付けています。対象のスペースの数、閲覧者の範囲と人数、取引先から指定されている認証方式をお知らせいただくと、合う方法を具体的にご提案できます。

Advalay メディア事業部

株式会社Advalayのメディア事業部。バーチャルツアー・3Dスキャンの制作実績3,000件以上の知見をもとに、空間データ活用の実務情報を発信しています。