「投稿したゲームのコードは誰が読めますか」：配信と非公開の仕組み

Q1. 遊ぶ人はコードを読めますか

ブラウザゲームは、HTML、JavaScript、画像、音などのファイルをブラウザが受け取って動かします。受け取ったファイルは、遊ぶ人の端末にあります。多くのブラウザには開発者ツールがあり、読み込まれたファイルの一覧や中身を調べられるのが一般的です。ただし、アソバースの画面でどこまで見えるかは、ブラウザや表示の構造によって変わる可能性があります。この部分は断定せず、後の手順で自分のゲームを使って確かめます。

ここで大事なのは、「見えにくい」と「読めない」は別だという点です。次のような状況は、コードを隠す手段にはなりません。

• 見つけにくい場所にファイルを置いた
• 変数名を短くした
• 画面上にソースを表示するボタンがない

だからこそ、投稿前に「このファイルが遊ぶ人に届いても困らないか」を考えておく必要があります。

アソバースの案内に基づいて、投稿できるものの範囲も押さえておきます。サーバー用コードは対象外です。つまり、ゲームの中に鍵やパスワードを置いて、サーバー側で守る構成は取れません。投稿するものはすべて、ブラウザで動く静的なファイルとして届く前提です。

Q2. アソバースの配信では何が確認できていますか

確認済みの事項を、配信に関係するものだけ並べます。

• 投稿の方法は、HTMLまたはZIPの直接アップロードと、公開済みURLの二通りです。
• 流れは「入力→表示の確認→公開」の3段階です。下書き保存ができ、公開後も内容の更新、非公開化、削除ができます。公開にはメールアドレスの確認が必要です。
• ゲームはsandbox付きのiframeで実行されます。sandboxは、埋め込まれたページができることを制限する、ブラウザの標準的な仕組みです。
• アップロードしたコードは、メインサイトとは別のオリジンから配信されます。オリジンとは、ブラウザがページの「出どころ」を区別する単位です。別オリジンにすることで、ゲームのコードがメインサイトのデータに触れにくくなります。
• アップロードしたゲームにはSDKが自動で追加されます。URL投稿のゲームは、作者がSDKを読み込むと使えます。SDKを使うと、作品専用のプレイヤーIDと、作品ごとにJSONで128KiBまでのクラウドセーブが使えます。
• ゲームには、FirebaseのUID、認証トークン、メールアドレスを渡しません。

ここから読み取れるのは、守られているのは主に「遊ぶ人のアカウント情報をゲームのコードから切り離す」方向だということです。sandboxと別オリジンは、悪意のあるコードや不具合のあるコードからサイトと遊ぶ人を守る仕組みです。ゲームのコードを遊ぶ人から隠す仕組みとは、目的が逆の向きになっています。

非公開化や削除の効果の細部、たとえば公開をやめた直後に配信がどう止まるか、一度開いた人の端末に何が残るかは、確認済みの範囲にありません。この部分は現在の案内で確認してください。なお、退会するとアップロードファイル、履歴・セーブを含む個人データ、認証アカウントが削除されることは確認済みです。

Q3. AIがコードを読むのはどんなときですか

AIが関わる場面は、確認済みの範囲では「紹介文と遊び方を作成」の機能です。条件を表にまとめます。

• 読み取る対象、確認済みの内容：公開済みURL、または本人の検証済みアップロード
• 作られるもの、確認済みの内容：選択言語の紹介文と遊び方の下書き
• 反映のタイミング、確認済みの内容：「この文章を使う」を押したときだけ
• 公開との関係、確認済みの内容：生成の操作だけで公開されることはない
• 回数の上限、確認済みの内容：利用者ごとに1時間3回、全体でUTC1日20回

この表から言えることは三つあります。

1. 対象が「本人の検証済みアップロード」である以上、他人が下書き中のファイルをこの機能で読む形にはなっていません。
2. 生成された文章は下書きです。気に入らなければ「この文章を使う」を押さなければよく、押すまで作品の紹介文は変わりません。
3. 回数制限があるため、何度も作り直す使い方は想定されていません。作品の説明に入れたい要素は、先にメモしておくと無駄が出ません。

一方で、次の点は確認済みの案内に書かれていません。

• 読み取った内容が、AIの処理のあとにどれだけ保存されるか
• 読み取りの対象にどのファイルが含まれるか
• 読み取りの結果が、AIの学習に使われるかどうか

これらは、現在の案内やプライバシーに関する説明で確認してください。コードの中に、読まれたら困るものがあるなら、そもそも投稿するファイルに入れないのが確実です。

「公開済みURL」を読む場合についても、整理しておきます。公開済みURLは、誰でも開ける場所に置かれているものです。そのため、AIが読む内容は、遊ぶ人に届く内容とおおむね同じ範囲だと考えるのが自然です。ただし、これも「自然に考えられる」にとどまります。実際の読み取り範囲は、現在の案内で確認してください。

Q4. 自分のゲームで、何が届いているかを確かめるには

ここからは、読者が自分で行える確認の手順です。結果はゲームごとに異なるため、この記事では書きません。

準備するもの

• 公開前（下書きまたは表示の確認の段階）のゲーム、またはテスト用に作った小さなゲーム
• 開発者ツールが使えるパソコンのブラウザ
• ファイル名と中身の一覧をメモする紙かテキストファイル

手順

1. 投稿前に、ZIPの中身を一覧にします。直下にindex.htmlがあること、素材が相対パスで参照されていることを確認します。
2. 投稿画面の「表示の確認」で、ゲームを開きます。
3. ブラウザの開発者ツールを開き、読み込まれたファイルの一覧（ネットワークやソースに相当するタブ）を見ます。
4. 一覧にあるファイル名を、手順1のメモと突き合わせます。メモにないファイルが読み込まれていれば、理由を調べます。
5. メモにあるのに一覧に出てこないファイルがあれば、使われていないか、読み込みに失敗しています。
6. 一覧にあるファイルを一つずつ開き、人に見られて困る文字列がないか検索します。検索する語は、人名、メールアドレス、社内の呼び名、試験用のコメント、使っていない古い処理などです。

結果の読み方

• 見られて困る文字列が見つかったら、そのファイルを直し、ZIPを作り直します。公開の前に済ませるのが原則です。
• 公開の前後で、同じ確認を二度行うと比較しやすくなります。差があれば、更新の手順が反映されているかを疑います。
• 開発者ツールでファイルが見えた場合は、それが「遊ぶ人にも届き得る」ことの証拠として扱えます。見えなかった場合でも、見えない理由が配信の仕組みによるのか、使っているブラウザの設定によるのかは区別できません。その場合は「読めない」と結論せず、現在の案内で確認します。

起こりやすい誤り

• 自分のブラウザのキャッシュ（保存された古いファイル）を見て、更新が反映されたと思い込む。
• 開発中のメモ用ファイルがZIPに残ったまま、一覧の確認を省く。
• 画面に出ていない処理だから安全だと考える。

Q5. 何を入れてはいけないか、どう判断しますか

届いても困らないかを基準にすれば、判断はシンプルです。次の三つのグループで考えてみます。

入れてはいけないもの

• パスワード、外部サービスの鍵、トークン
• 個人のメールアドレスや連絡先
• 他人の著作物で、使う許可を確認していない素材

素材の扱いは、著作権や利用規約が関わります。断定はできないため、素材の配布元の案内や、必要に応じて専門家に確認してください。

入れても構わないが、意識しておくもの

• ゲームのロジック、パズルの答え、敵の動き方
• コメントや変数名に残った作り方のメモ

これらは遊ぶ人に読まれる可能性があります。読まれて困るなら、答えの一覧をそのまま持たず、生成の規則だけにするなど、作りを工夫する手もあります。ただし、それでも完全には隠せません。

ゲームに渡さないもの

• FirebaseのUID、認証トークン、ログイン用のメールアドレス

これらはアソバースの側がゲームに渡さない決まりです。自作のコードの側でも、これらを取り込もうとしたり、外へ送ろうとしたりしないようにします。セーブにも、プレイヤーを特定できる情報は入れないほうが安全です。クラウドセーブは作品ごとに128KiBまでのJSONなので、必要最小限の進行データだけを入れる使い方が向いています。

公開をやめたいときは、非公開化または削除ができます。迷ったら、まず非公開にしてから、修正して公開し直す流れが取れます。ただし、一度公開した内容を、すでに遊んだ人の端末からどう消せるかは、確認済みの範囲にありません。

次の行動

自作のゲームがあれば、投稿前に表示の確認の画面で開発者ツールを開き、読み込まれるファイルの一覧を、手元のZIPの中身と突き合わせてください。見られて困る文字列が一つでもあれば、公開の前にファイルを直します。AIによる下書きを使うときは、「この文章を使う」を押すまで反映されないことを思い出し、読み取りの範囲や保存については現在の案内で確認してください。