フォーム送信数をセッション数で割ってみれば、B2Bウェブサイトの訪問者の大多数が名乗らずに離脱していることがわかります。ウェブサイト訪問者識別は、その一部を取り戻そうとするものです。フォーム入力なしに、どの組織が閲覧しているか、何を読んでいるか、どれくらいの頻度で戻ってくるかを把握します。B2Bでは3つの役割を担います。どのアカウントが調査中かを営業に伝えること、それらのアカウント向けにサイトをパーソナライズすること、そして広告用のアカウントリストを作ることです。
この技術はベンダーが言うよりシンプルで、多くの購入者が期待するほど完全ではありません。この記事では、3つの識別方法、マッチ率が大きく異なる理由、得られるデータ、信頼度ごとに可能なアクション、適用されるプライバシールール、導入の進め方を解説します。簡潔な定義は用語集の訪問者識別をご覧ください。ベンダーを比較している場合は、Webサイト訪問者識別ソフトウェアの選び方ガイドで評価方法を解説しています。
3つの識別方法
どのベンダーも3つの手法を何らかの形で組み合わせています。違いは、何を特定するか（企業か個人か）、照合の確度、そして法的リスクの大きさです。
1. リバースIPルックアップ（企業レベル）
インターネットに接続されたすべてのデバイスにはIPアドレスがあります。Acme Corpの誰かがオフィスからウェブサイトを訪問すると、ブラウザはAcme Corpのネットワークに割り当てられたIPアドレスからリクエストを送信します。訪問者識別ツールは、IPアドレスと企業名を対応付けるデータベースを保持しています。特定のプロセスは次のステップで進みます。
- IPの取得：Webサイトはすべてのリクエストで訪問者のIPアドレスを受け取ります。この部分に特別なトラッキングは必要ありません
- データベースの照会:そのIPブロックをどの組織が所有またはリースしているかをツールが照会します
- エンリッチメント：企業がマッチすると、ツールがファーモグラフィックデータ（業種、従業員数、売上規模、本社所在地、テクノグラフィック）を付加します
- セッションの結合：一定の時間枠内の同じ企業からのページビューを、1回の企業訪問としてまとめる
IP-企業データベースは、地域インターネットレジストリの記録（ARIN、RIPE NCC、APNICなど）、逆引きDNS、BGPのルーティングデータ、観測されたトラフィック、商用データの提携から構築されています。このデータベースの品質が、ベンダー間の最大の差別化要因です。仕組みについては用語集のリバースIPルックアップの項目で解説しています。
できないこと：その人物が誰かを特定すること、そして勤務先に登録されていないネットワーク上の人を識別することです。従業員が在宅勤務している場合、トラフィックはComcast、AT&T、Deutsche Telekomなどの家庭向けISPから来るため、ツールに見えるのは勤務先ではなくISPです。リモートワークやハイブリッドワークの普及で、この上限はさらに低くなりました。Cookieベースのマッチングやデバイスフィンガープリンティングやファーストパーティデータとの突き合わせで回避しようとするツールもありますが、純粋なIP解決には明確な限界があります。
2. ファーストパーティ識別（個人レベル、既知のコンタクト）
誰かがフォームに入力したり、ログインしたり、メール内の計測リンクをクリックしたりすると、そのセッション（Cookie が許可されていれば同じブラウザでのその後のセッションも）を CRM やマーケティングオートメーションプラットフォームの既知の連絡先と関連付けられます。本人が名乗っているので、これは群を抜いて最も正確な方法です。限界はカバー範囲で、すでにデータベースにいる人にしか機能しません。
3. アイデンティティグラフ（個人レベル、サードパーティ）
主に米国トラフィックを対象とする一部のベンダーは、パブリッシャーやデータパートナーのネットワークから構築したサードパーティのアイデンティティグラフと Cookie やデバイスシグナルを突き合わせ、ブラウザを個人に結び付けます。フォームに一度も入力していない訪問者の氏名とメールアドレスを返すこともできます。私たちの見解では、EU と英国のトラフィックに対してこれを正当化するのは非常に困難です。訪問者はあなたと何の関係もなく、名前を特定されることを合理的に予期していないからです。法律顧問が特定のベンダーとデータフローを承認していない限り、対象外として扱いましょう。
マッチ率が大きく異なる理由
計画の基準にできる、業界全体の信頼できるマッチ率は存在しません。ベンダーの数値は自社の顧客基盤で測定されたもので、定義もまちまちです（セッションで数えるもの、訪問者で数えるもの、計算前にISPのトラフィックを除外するものなど）。企業に紐づくセッションの割合は、ベンダーよりも主に自社のトラフィックに左右されます。影響の大きいおおよその順に、要因は次のとおりです。
- 人々が働く場所。オフィスのネットワークは、多くの場合雇用主の名義で登録されています。家庭用ブロードバンドは個人向けISPの名義で登録されているため、リモートで働く従業員は一般家庭のように見えます。リモートやハイブリッドの働き方が多いオーディエンスほど、企業に紐付く割合は低くなります。
- 企業規模。大企業は登録済みの IP 範囲を所有し、トラフィックをそこ経由で送っている可能性が高くなります。小規模企業はコワーキングスペースで回線を共有していたり、一般消費者向けの ISP を使っていたりすることがよくあります。
- モバイルのトラフィック。モバイルキャリアは非常に多くの契約者でIPアドレスを共有しているため、モバイルのセッションが企業に紐付くことはまれです。
- VPNとプライバシーリレー。企業のVPNは、プラスに働く場合（トラフィックが会社のIPレンジから出る）もあれば、マイナスに働く場合（AWSなどのクラウドプロバイダーから出る）もあります。個人向けのプライバシーサービスは発信元を完全に隠します。Appleによると、iCloudプライベートリレー（Appleサポート）を有効にすると、Webサイトにはユーザー自身のIPアドレスではなく一時的なIPアドレスが表示されます。
- 地域。データベースのカバー範囲は地域とベンダーによって異なります。北米の大企業に強いベンダーが、北欧の中堅企業には弱いこともあります。
- ボットや人間以外のトラフィック。クローラーや監視サービスはデータセンターからアクセスするため、除外しないとホスティング企業によって「識別済み」の件数が水増しされます。
重要なマッチ率は、トライアル期間中に自社のトラフィックで測定したものだけです。カバレッジだけでなく精度も確認しましょう。既知のアカウント（顧客、進行中の案件、自社オフィス）のマッチをサンプルとして抜き出し、どれだけ正しいかを確認します。社名が正確な低めのマッチ率のほうが、誤った帰属だらけの高いマッチ率よりも価値があります。誤った帰属は、一度も訪問していないアカウントを営業担当に追わせてしまうからです。
例:セッションから使えるアカウントへ
月間10,000セッションの架空のB2Bサイトの例示の数値：
| ステージ | 件数 | ここで除外されるセッション |
|---|---|---|
| すべてのセッション | 10,000 | |
| ボットと社員を除外した後 | 8,500 | クローラー、監視ツール、自社スタッフ |
| 組織を特定済み | 2,500 | 自宅のブロードバンド、モバイル、リレー |
| 組織がISP、大学、ホスティングプロバイダーではなく実在の企業である | 1,800 | 精度の低いマッチ |
| ユニーク企業数 | 900 | 同じ企業からの繰り返しのセッション |
| ICPに合致する企業 | 180 | 規模、業界、地域が合わない |
| 購買行動（料金、比較、複数の訪問者）を示しているICP企業 | 25 | 何気ない訪問や1ページのみの訪問 |
この例では、見出し上のマッチ率25%が、営業担当者が注目すべき月25アカウントになります。この最終的な数字を基準にプロセスを設計しましょう。ファネルの入口の数字を基準に計画するチームは、営業をノイズで溢れさせ、最初の1か月で信頼を失います。
実際に得られるデータ
訪問者が企業単位で識別されると、通常2種類のデータが得られます。
訪問レベルのデータ
- 企業名とドメイン
- 閲覧ページと各ページの滞在時間
- ランディングページと参照元
- 一定期間内の訪問回数
- 接続のおおよその所在地（番地ではなく都市レベル）
ファーモグラフィックデータ(エンリッチメント)
- 業種分類（SIC/NAICSコード）
- 従業員数またはその範囲
- 年間売上の範囲
- 本社所在地
- テクノグラフィックデータ（企業が使っているソフトウェア）
- 資金調達情報（スタートアップの場合）
企業レベルの識別でわからないのは個人です。わかるのは「Salesforceの誰かが今週3回料金ページを訪れた」ということであって、それがマーケティング担当VPのJane Smithさんだったということではありません。個人が特定されるのは、訪問者がフォーム入力、ログイン、メールのクリックによって自ら名乗った場合だけです。このことは早い段階で営業チームに伝えておきましょう。プライバシーへの準拠と、営業担当者がアラートを受けて何ができるかの両方に関わります。
アクションを信頼度に合わせる
これは多くの導入で見落とされているルールです。データの用途によって許容できる誤り率は異なるため、何かを有効にする前に、各アクションに必要な確度を決めておきましょう。
| シグナル | 信頼度 | 安全に使える用途 | 安全でない対象 |
|---|---|---|---|
| IPが企業に紐付く、単一のページビュー | 低 | 集計レポート、業界単位のパーソナライゼーション | 営業へのアラート、指名アカウント向けのコピー |
| IPが企業に紐づき、数日にわたって繰り返しセッションがある | 中 | 業界別・規模別のパーソナライズ、広告オーディエンス、アカウントエンゲージメントスコア | ページ上でアカウント名を表示する |
| 企業の照合＋CRMのターゲットアカウントフラグ | 中〜高 | ページの文脈付き営業アラート、ティア別のABM体験 | 特定の個人が訪問したと思い込む |
| フォーム、ログイン、メールのクリックで判明している既知のコンタクト | 高い | 明示したプライバシー条件の範囲内での個別フォロー、進行中の商談向けページ | 本人に知らされていないこと全般 |
業界の推定を誤っても、見出しの関連性が少し下がるだけです。一方、一度も訪問していない企業に営業担当が電話をかけたり、ホームページで間違った企業名を呼びかけたりすれば、信頼を失います。アクションの目立たせ方は、シグナルの確度に合わせて調整しましょう。
プライバシーコンプライアンス：GDPRとその先
これは実務者向けの要約であり、法的助言ではありません。何かを導入する前に、プライバシー責任者または弁護士とこれらの問題を確認してください。
- 個人データは関係するか？ほぼ確実に関係します。GDPRの前文第30項はIPアドレスをオンライン識別子の1つに挙げており、EU司法裁判所はBreyer事件（CJEU、2016年）で、動的IPアドレスがWebサイト運営者にとって個人データになり得ると判示しました。出力は企業名かもしれませんが、入力は個人のデバイスのIPアドレスです。
- どの法的根拠か？企業レベルの識別は通常、正当な利益（GDPR第6条(1)(f)）を根拠とします。そのためには、目的、必要性、訪問者の期待との比較衡量テストを含む、正当な利益評価を文書化する必要があります。ICOの正当な利益に関するガイダンスで3つの要素すべてが解説されています。
- トラッキング自体に同意は必要か？デバイス上の情報の読み取りや保存（Cookie、ローカルストレージ、多くのスクリプト）はeプライバシー指令の第5条(3)の対象となり、EDPBはGuidelines 2/2023でこれを広く解釈しています。企業特定のタグが識別子を設定または読み取る場合は、弁護士が別の結論を出さない限り、同意バナーの対象になるものと考えてください。
- 訪問者は異議を申し立てられるか？GDPR第21条では、正当な利益に基づく処理に対して異議を申し立てることができ、ダイレクトマーケティングについては異議は絶対的なものです。それに対応できる実際の仕組みが必要です。
- 米国のトラフィック。CCPAにおける企業間（B2B）個人情報の一時的な適用除外は2023年1月1日に失効したため、他社の従業員に関するデータも他の個人情報と同様に対象となります。改正後のカリフォルニア州法では、消費者に知る権利と、個人情報の販売・共有をオプトアウトする権利（Global Privacy Controlシグナルによるものを含む）が認められています。詳しくはカリフォルニア州司法長官のCCPAページをご覧ください。
企業レベルの範囲にとどめてください。「Deutsche Bankからの訪問者がセキュリティページを閲覧しました」と「Deutsche BankのMax Muellerさんがセキュリティページを閲覧しました」は、法的に別物として扱われます。どの法律が適用されるかにかかわらず、実務上の最低限は次のとおりです。
- 企業レベルの訪問者識別とその目的を明記したプライバシー通知
- ベンダーとのデータ処理契約（DPA）
- 特定データの保持期間が文書化されている
- EUと英国のトラフィックでは、個別に承認されない限り、個人レベルのエンリッチメントを無効にする
- 個人の閲覧ではなく、企業の行動を伝える営業アラート
- 反対意見やオプトアウト依頼への対応方法
訪問者識別とファーストパーティデータを組み合わせる
識別は、訪問者自身が提供するデータと組み合わせることで、はるかに有用になります。（識別した各企業について記録する価値のあるイベントは、B2Bウェブサイトの訪問者トラッキングガイドをご覧ください。）以下は、有名企業の名前をあくまで例として使った進行のイメージです。
ステージ1：匿名企業の識別
Stripe の訪問者が、1週間に2回の訪問でホームページ、機能ページ、料金ページを閲覧したとします。Stripe の誰かであることはわかりますが、誰なのかはわかりません。それでもアカウントレベルのパーソナライゼーションには十分です。フィンテック向けの導入事例、関連する連携機能、その企業規模に合わせた料金ページのメッセージを表示できます。
ステージ2：段階的なエンリッチメント
同じ訪問者がホワイトペーパーをダウンロードし、メールアドレスを入力したとします。これで、すでに把握している企業単位の履歴、つまり過去3回の訪問、閲覧したページ、企業プロフィールをこの個人と結び付けられます。CRMのレコードにこの背景情報がすべて入ります。
ステージ3：アカウント単位の全体像
その後の数週間で、Stripe の複数の人が訪問します。フォームで名乗る人もいれば、匿名のままの人もいます。アクティビティをアカウント単位でまとめると、購買委員会のエンゲージメントが見えてきます。3人が訪問し、2人がコンテンツをダウンロードし、1人は料金ページを4回訪れています。
単一のソースでこの全体像は得られません。特定レイヤーが匿名の訪問をカバーし、ファーストパーティのやり取りのたびに名前が埋まっていきます。
データの活用方法
多くの企業はマーケティング用途で識別を始めますが、最も役立つ活用法のいくつかは営業やカスタマーサクセスにあります。
営業向けのダイジェストとアラート
アカウントオーナーには、担当するターゲットアカウントの行動（どのページを、何人の訪問者が、どれくらい最近見たか）を日次または週次のダイジェストで送りましょう。リアルタイムアラートは、料金、導入事例、比較ページなど、タイミングが重要な最も購買意欲の高いページに限定します。アカウントがまだ情報収集中のうちに届くアラートは役立ちますが、週次ダイジェストでは手遅れになることが少なくありません。データはアプローチのタイミングと内容を決めるために使い、監視していることを伝えるために使ってはいけません。「御社のチームが当社のWebサイトをご覧になっていたようですが」と切り出すメールより、アカウントが読んだ内容に関連する資料から始めるメールのほうが、たいてい響きます。アラートのロジックについてはインテントに基づくWebサイトリードのルーティングのガイドで解説しています。同じシグナルをアカウントスコアリングモデルに取り込めば、優先度を一貫させられます。
Webサイトパーソナライゼーション
業種や規模のバリエーションには中程度の信頼度のファーモグラフィックを、ABMの体験にはCRMと照合したアカウントを使います。特定できない訪問者にはデフォルトを表示します。セグメントの設定方法とホールドアウトとの比較による測定方法は、Webサイトパーソナライゼーションの記事で解説しています。
アカウントベース広告
購買意欲の高いページを訪問した ICP アカウントを企業リストとしてエクスポートしてアカウントベースの広告キャンペーンに使い、既存顧客と進行中の商談は新規開拓のキャンペーンから除外します。
レポートとコンテンツの検証
トラフィックとコンバージョンのレポートを業界別・規模別に分解すれば、キャンペーンが単にセッションを増やしているだけでなく、適切な企業を引き寄せているかどうかがわかります。同じレイヤーはコンテンツの判断にも役立ちます。Kubernetesの記事が数千回閲覧されたことだけでなく、識別できた訪問者がICP企業なのか、学生や趣味で見ている人なのかまで把握できます。
プロダクト主導型成長（PLG）
セルフサーブで登録できるSaaS企業では、識別によって、どのアカウントが登録前に製品を調べていたかがわかります。ある企業が2週間で何度か訪問した後にアカウントを作成した場合、最もよく調べていた機能からオンボーディングを始められます。
顧客の利用拡大と解約のシグナル
使っていない製品やプランのページを閲覧している既存顧客は、アップセルのシグナルです。エンタープライズの料金ページを訪れた中位プランの顧客には、アカウントマネージャーがアプローチすべきです。既存顧客による競合比較ページへの訪問は解約リスクのシグナルの可能性があり、営業のキューではなくカスタマーサクセスが扱うべきものです。
競合インテリジェンス
識別データからは、競合他社がサイトを訪問していることもわかります。過剰に反応する必要はありませんが、パターンは参考になります。ある競合が突然毎週料金ページを確認し始めたら、何らかの変更を準備しているのかもしれません。
訪問者識別のアプローチを選ぶ
大きく分けて3つの選択肢があります。
単体の特定ツール（Leadfeeder や Albacross など）は、企業の特定と訪問者アクティビティのダッシュボード表示に特化しています。導入は簡単ですが、ダッシュボードの確認であれ、CRM にデータを送る連携の設定であれ、活用のレイヤーは自分で作る必要があります。
識別機能を内蔵したABMプラットフォーム（Demandbaseや6senseなど）は、識別機能を広告、インテントデータ、アカウントスコアリングとセットで提供します。包括的ですが、通常は専任の担当者が必要です。料金は見積もりベースです。6senseの料金ページにはパッケージは載っていますが価格は記載されていない（2026年10月時点）ため、自社のトラフィックとシート数で各ベンダーに見積もりを依頼しましょう。
識別機能を内蔵したパーソナライゼーションプラットフォーム（Markettailorなど）は、識別と、識別した企業向けにウェブサイトを変える機能を組み合わせています。誰が訪問したかを知ることと、それに基づいて行動することの間のギャップを埋めます。
正しい選択は、データを何に使うかによって決まります。サイトを訪問している企業のリストが欲しいだけなら、単体のツールで十分です。それらの企業に見せる内容を変えたいなら、識別とパーソナライゼーションを連携させる必要があります。重み付けしたスコアカードと公平なマッチ率テストで特定のベンダーを比較するには、ウェブサイト訪問者識別ソフトウェアのガイドをご活用ください。
5ステップの導入計画
- まずアクションを定義する（第1週）。確信度の表のうちどのアクションを実行するか、それぞれの担当者は誰か、そして自社にとって「使えるアカウント」とは何か（ICPへの適合度とどの行動か）を書き出します。これがなければ、単にリストを買っているだけです。
- 法的根拠を確定させます（第1〜2週）。トラッキングコードを公開する前に、正当な利益の評価を完了し、同意を前提とするものを決め、プライバシー通知を更新し、DPAに署名します。公開後に行うと、タグを作り直すことになります。
- 自社のトラフィックで試用する（2〜4週目）。訪問者はブログ記事やランディングページから入ることが多いため、ホームページだけでなく全ページにスクリプトを設置します。1〜2社のベンダーを少なくとも2週間並行して運用し、既知のセッションと照合結果を検証して、ベースラインの照合率と活用可能なアカウント数を記録します。
- CRMと連携し、厳しくフィルタリングする（第4〜5週）。ICPと行動のフィルターを通過した企業だけを同期します。ISP、ホスティング事業者、大学、既存顧客（こちらはカスタマーサクセスに回します）、そして自社は除外してください。
- 施策を1つ開始して効果を測定し、それから次を追加する（6週目以降）。まず営業向けの週次アカウントダイジェストから始め、次に購買意欲の高いページの閲覧アラートを追加します。パーソナライズや広告オーディエンスは、営業がアカウントの妥当性を確認してから追加します。
よくある間違い
- ベンダーを公表された一致率で判断する。自社のトラフィックで測定し、一致数ではなく使えるアカウントの数を数えましょう。
- マッチするたびに営業にアラートを送る。数週間で営業担当者はそのチャネルを無視するようになります。まずはICPと購買行動で絞り込んだダイジェストから始めましょう。
- 企業データを匿名データとして扱う。処理の起点は個人データです。それに応じて文書化してください。
- ISP、ホスティング事業者、大学を除外していない。これらは件数を水増しし、セグメントを汚します。
- 初めての訪問者にページ上で企業名を表示する。監視されているように感じさせます。関係ができるまでは業界に合わせた表現にとどめましょう。
- 既存顧客を無視する。既存顧客の料金ページや比較ページへの訪問は、利用拡大または解約のシグナルです。アカウントマネージャーに振り分けましょう。
識別だけでは企業名のリストにすぎません。価値は、それを何につなげるかで生まれます。アカウント担当者に届くアラート、Web上の行動を表示するCRMレコード、そして重視するセグメントに合わせて変化するWebサイト体験です。Markettailorの訪問者識別は、最後のステップのために、識別した企業をそのままセグメンテーションに渡します。
よくある質問
Webサイト訪問者の識別はどのような仕組みですか？
最も一般的な方法はリバースIPルックアップです。訪問者のIPアドレスを、そのネットワーク範囲を所有する組織と照合し、業種や規模などの企業データでエンリッチします。個人レベルの識別は、フォーム入力、ログイン、トラッキング付きメールリンクのクリックといったファーストパーティデータか、サードパーティのアイデンティティグラフから得られますが、後者は法的リスクがより高くなります。
ウェブサイト訪問者の何パーセントを識別できますか？
信頼できる普遍的な数値はありません。オーディエンスによって異なるからです。大企業のオフィスで働く訪問者が多いサイトほど多くのセッションが識別され、リモートワーカー、小規模企業、モバイルのトラフィック、プライバシーリレーの利用者が多いサイトほど識別されるセッションは少なくなります。ベンダーのトライアル中に自社のトラフィックで測定し、マッチの総数ではなく使えるICPアカウントの数を追跡しましょう。
Webサイト訪問者の識別はGDPR上合法ですか？
合法的に行うことは可能ですが、規制の対象です。IPアドレスは個人データになり得るため、法的根拠（通常は評価を文書化した正当な利益）、プライバシー通知、ベンダーとのDPA、異議申し立てに対応する手段が必要です。デバイスに識別子を保存したり読み取ったりするスクリプトは、ePrivacyの規則上、一般に同意が必要です。
Webサイトを訪問した個人を特定できますか？
確実かつ合法的に特定できるのは、本人が自ら名乗った場合だけです。フォーム入力、ログイン、自社メールからのクリックなどです。一部のベンダーは、主に米国のトラフィックについて、アイデンティティグラフを使って匿名の訪問者を特定できると主張しています。EUと英国の訪問者については、本人が自社と関係を持たず、それを予期してもいないため、正当化は困難です。
訪問者識別と訪問者トラッキングの違いは何ですか？
トラッキングは、セッションが何をしたか（ページ、イベント、流入元）を記録します。識別は、セッションの背後に誰がいるかを、通常は企業単位で明らかにします。両方が必要です。トラッキングは、識別したアカウントに対応する価値があるかを判断するための行動データを提供し、識別は匿名の行動を、営業、パーソナライゼーション、広告に使えるアカウント単位のシグナルに変えます。