tracklint 0.1.0

package/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 hyuga611
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

package/README.md

@@ -0,0 +1,94 @@
+# tracklint
+
+**Did a redesign quietly stop your form from tracking conversions?**
+A conversion-tracking **integrity** linter. It reads your HTML/JSX source and **fails the PR** (exit 1 + inline annotations) when a form or CTA isn't wired for tracking. Zero-dependency, language-agnostic, runs in CI.
+
+**その改修、フォームのコンバージョン計測を静かに壊していませんか？**
+送信ボタン・フォーム・サンクスページが計測に **配線されているか** を CI で検証するリンタ。表示は正常なのに計測だけ壊れる—を PR 時点で落とす。依存ゼロ・言語非依存。
+
+---
+
+## Why / なぜ
+
+Conversion tracking is the one layer that **looks fine when it breaks**. A redesign turns a `<button type="submit">` into a `<div>`, the GTM click trigger silently stops firing, unit tests still pass, visual review misses it — and nobody notices until the numbers don't add up months later (sometimes they even go *up*, because a thank-you page with no `noindex` double-counts). Runtime QA tools (ObservePoint, Trackingplan, browser debuggers) only catch this *after* it ships. `tracklint` checks the *source*, so it fails the build **before merge**. It checks facts, not prose — so it works in any language.
+
+## Use as a GitHub Action / CIで使う（定着の本体）
+
+```yaml
+# .github/workflows/tracklint.yml
+name: tracklint
+on: [push, pull_request]
+jobs:
+  tracklint:
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - uses: <you>/tracklint@v1     # auto-detects files containing <form>
+```
+
+Findings show up as inline PR annotations, and the job fails (exit 1) so broken tracking can't be merged.
+
+## Use as a CLI / ローカルで使う
+
+```bash
+npx tracklint                 # <form> を含むファイルを自動検出
+npx tracklint src/ pages/     # ファイル/ディレクトリ指定も可
+```
+
+## What it catches / 検出するもの
+
+| rule | severity | 何を落とすか |
+|---|---|---|
+| `submit-not-button` | error | 送信コントロールが `<div>` / `<input type=submit>` で `<button type="submit">` でない → クリック計測が要素を特定できない |
+| `submit-missing-tracking` | error | 送信ボタンに一意の `id` も計測属性(`data-gtm-event` 等)も無い |
+| `submit-duplicate-id` | error | 送信ボタンの `id` が重複 → クリックの二重計上/取り違え |
+| `submit-dynamic-id` | warn | `id` がテンプレート展開 → 実行時の値・一意性を静的に検証できない |
+| `ajax-no-conversion` | warn | AJAX 送信なのに成功時の `dataLayer.push` / `gtag` / `analytics.track` が無い |
+| `thankyou-unresolved` | error | フォームのサンクスページがリポジトリに存在しない |
+| `thankyou-indexable` | error | サンクスページに `noindex` が無い → インデックス漏れ・CV 二重計上 |
+
+Exit code 1 when any `error` is found = a CI gate.（`warn` は既定では CI を落としません）
+
+## Config / 設定（任意）
+
+`tracklint.config.json` をリポジトリ直下に置くと上書きできます（無くても動きます）。
+
+```json
+{
+  "trackingAttributes": ["data-gtm-event", "data-track"],
+  "conversionCalls": ["dataLayer.push", "gtag", "analytics.track"],
+  "rules": {
+    "ajax-no-conversion": "error",
+    "submit-missing-gtm-event-attr": "warn"
+  }
+}
+```
+
+## What this can and cannot see / できること・できないこと
+
+これは **静的解析** です。「配線が存在し正しく書かれている」ことを検証しますが、**GTM/GA4 が実行時に実際に発火したことは保証しません**。以下は構造的に見えないので、`warn`/`info` に留めるか設定で抑制します。動的検証(E2E)は置き換えではなく補完です。
+
+- GTM のコンテナ側(UI)だけで組んだトリガーは見えない（ページ側に手掛かり=id/属性があるかだけを見る）
+- 別ファイル/バンドル/フレームワークのハンドラに配線された計測は追い切れない
+- CMS やサーバーテンプレートが実行時に注入する `dataLayer.push` は静的ソースに無い
+- HTTP ヘッダ(`X-Robots-Tag`)で付けた `noindex` は `<meta>` が無いと拾えない
+- `robots.txt` の `Disallow` は `noindex` とは別物（クロール禁止であってインデックス禁止ではない）
+
+## Roadmap
+
+- [x] Static core: submit control / tracking hook / AJAX conversion / thank-you page — zero-dep (`src/scan.mjs`)
+- [x] **GitHub Action** (`action.yml`) + inline PR annotations + self-CI dogfood
+- [ ] `--runtime` mode (Playwright): 実際に送信してイベント発火とサンクス遷移を検証
+- [ ] SARIF 出力（GitHub code-scanning 連携）
+- [ ] baseline/allowlist（既存リポは新規違反だけで落とす）
+- [ ] presets: Shopify / HubSpot / Contact Form 7 / WPForms
+
+## Dev
+
+```bash
+node --test                 # unit tests
+npm run poc                 # 壊れたサンプルで検出デモ → exit 1
+npm run selfcheck           # 正しいサンプルの自己検査 → exit 0
+```
+
+MIT

package/action.yml

@@ -0,0 +1,22 @@
+name: 'tracklint'
+description: "Fail CI when a form or CTA isn't wired for conversion tracking (submit button, dataLayer.push, noindex thank-you page)."
+author: 'tracklint'
+branding:
+  icon: 'check-circle'
+  color: 'green'
+inputs:
+  files:
+    description: 'Space-separated files or directories to check. Default: auto-detect files containing <form> in the repo.'
+    required: false
+    default: ''
+runs:
+  using: 'composite'
+  steps:
+    - name: Run tracklint
+      shell: bash
+      # Pass the caller input via env (NOT ${{ }} expanded into the script) to avoid
+      # GitHub Actions template/shell injection. $FILES is intentionally unquoted so
+      # multiple space-separated paths split into separate argv.
+      env:
+        FILES: ${{ inputs.files }}
+      run: node "$GITHUB_ACTION_PATH/src/check.mjs" $FILES

package/package.json

@@ -0,0 +1,37 @@
+{
+  "name": "tracklint",
+  "version": "0.1.0",
+  "description": "Conversion-tracking integrity linter — fail CI when a form or CTA isn't wired for tracking (submit button, dataLayer.push, noindex thank-you page). Zero-dependency, language-agnostic, runs in CI.",
+  "type": "module",
+  "bin": {
+    "tracklint": "src/check.mjs"
+  },
+  "engines": {
+    "node": ">=18"
+  },
+  "files": [
+    "src",
+    "action.yml"
+  ],
+  "scripts": {
+    "poc": "node src/check.mjs examples/bad",
+    "selfcheck": "node src/check.mjs examples/good",
+    "test": "node --test"
+  },
+  "keywords": [
+    "conversion-tracking",
+    "analytics",
+    "gtm",
+    "google-tag-manager",
+    "ga4",
+    "datalayer",
+    "linter",
+    "ci",
+    "github-action",
+    "html",
+    "jsx",
+    "noindex",
+    "martech"
+  ],
+  "license": "MIT"
+}

package/src/check.mjs

@@ -0,0 +1,153 @@
+#!/usr/bin/env node
+// tracklint — conversion-tracking integrity linter (CLI).
+//
+// 送信ボタン・フォーム・サンクスページが計測に配線されているかを静的に検査し、
+// 壊れていれば exit 1 で CI を落とす。依存ゼロ・言語非依存。
+// CI(GitHub Action)で毎PR走らせるのが本体。
+//
+//   node src/check.mjs [file|dir ...]   # 省略時は <form> を含むファイルを自動検出
+
+import { readFileSync, existsSync, statSync, readdirSync } from 'node:fs';
+import { resolve, join, relative } from 'node:path';
+import { pathToFileURL } from 'node:url';
+import { scan, collectIds, DEFAULT_CONFIG } from './scan.mjs';
+
+const EXT = /\.(html?|php|jsx|tsx|vue|svelte)$/i;
+const IGNORE_DIRS = new Set(['node_modules', 'dist', 'build', 'vendor', '.git', '.svn', 'coverage']);
+
+function loadConfig(root) {
+  try {
+    const cfg = JSON.parse(readFileSync(join(root, 'tracklint.config.json'), 'utf8'));
+    return {
+      ...DEFAULT_CONFIG,
+      ...cfg,
+      rules: { ...DEFAULT_CONFIG.rules, ...(cfg.rules || {}) },
+    };
+  } catch {
+    return DEFAULT_CONFIG;
+  }
+}
+
+function walk(root, dir, out) {
+  let entries;
+  try {
+    entries = readdirSync(dir, { withFileTypes: true });
+  } catch {
+    return;
+  }
+  for (const e of entries) {
+    const full = join(dir, e.name);
+    if (e.isDirectory()) {
+      if (!IGNORE_DIRS.has(e.name)) walk(root, full, out);
+    } else if (EXT.test(e.name)) {
+      let text;
+      try {
+        text = readFileSync(full, 'utf8');
+      } catch {
+        continue;
+      }
+      if (text.includes('<form')) out.push(relative(root, full).replace(/\\/g, '/'));
+    }
+  }
+}
+
+/** 引数（ファイル/ディレクトリ）を <form> を含む対象ファイル一覧に展開する。 */
+export function collectTargets(root, args) {
+  const out = [];
+  if (args.length === 0) {
+    walk(root, root, out);
+    return out;
+  }
+  for (const a of args) {
+    const full = resolve(root, a);
+    let st;
+    try {
+      st = statSync(full);
+    } catch {
+      continue;
+    }
+    if (st.isDirectory()) walk(root, full, out);
+    else out.push(relative(root, full).replace(/\\/g, '/'));
+  }
+  return [...new Set(out)];
+}
+
+export function main(argv) {
+  const inActions = process.env.GITHUB_ACTIONS === 'true';
+  const root = process.cwd();
+  const args = argv.filter((a) => a !== '--' && !a.startsWith('-'));
+  const config = loadConfig(root);
+
+  // 明示指定されたパスが存在しない場合は「素通りで exit 0」にせず error にする
+  // （files: のタイプミスやリネームで CI が黙って緑になる＝偽の安心を防ぐ）。
+  if (args.length) {
+    const missing = args.filter((a) => !existsSync(resolve(root, a)));
+    if (missing.length) {
+      console.error(`tracklint: 指定されたパスが見つかりません: ${missing.join(', ')}`);
+      return 2;
+    }
+  }
+
+  const targets = collectTargets(root, args);
+  if (targets.length === 0) {
+    console.log('tracklint: <form> を含む対象ファイルがありません。スキップ。');
+    return 0;
+  }
+
+  // 全ファイルを読み、id の重複をファイル横断で集計する
+  const texts = new Map();
+  for (const f of targets) {
+    try {
+      texts.set(f, readFileSync(resolve(root, f), 'utf8'));
+    } catch {
+      console.error(`tracklint: ${f} を読めません`);
+      return 2;
+    }
+  }
+  const idCount = new Map();
+  for (const t of texts.values()) for (const id of collectIds(t)) idCount.set(id, (idCount.get(id) || 0) + 1);
+  const isDupId = (id) => (idCount.get(id) || 0) > 1;
+
+  const exists = (p) => existsSync(resolve(root, p));
+  const readText = (p) => {
+    try {
+      return readFileSync(resolve(root, p), 'utf8');
+    } catch {
+      return null;
+    }
+  };
+
+  let errors = 0;
+  let warns = 0;
+  for (const f of targets) {
+    const findings = scan(texts.get(f), { filename: f, exists, readText, isDupId, config });
+    if (findings.length === 0) {
+      console.log(`✓ ${f} — 計測OK`);
+      continue;
+    }
+    const e = findings.filter((x) => x.severity === 'error').length;
+    const w = findings.length - e;
+    errors += e;
+    warns += w;
+    console.error(`✗ ${f} — ${findings.length} 件 (error:${e} warn:${w})`);
+    for (const x of findings) {
+      console.error(`  ${f}:${x.ln}\t[${x.rule}] ${x.msg}`);
+      if (inActions) {
+        const lvl = x.severity === 'error' ? 'error' : 'warning';
+        console.log(`::${lvl} file=${f},line=${x.ln}::[${x.rule}] ${x.msg.replace(/\r?\n/g, ' ')}`);
+      }
+    }
+  }
+
+  if (errors > 0) {
+    console.error(`\ntracklint: ${errors} 件の error${warns ? ` / ${warns} 件の warn` : ''}`);
+    return 1;
+  }
+  console.log(`\ntracklint: error 0 件${warns ? `（warn ${warns} 件）` : ''} — OK`);
+  return 0;
+}
+
+// 直接実行された時だけ CLI として動く（import 時は関数だけ公開）
+if (process.argv[1] && import.meta.url === pathToFileURL(process.argv[1]).href) {
+  process.exit(main(process.argv.slice(2)));
+}

package/src/scan.mjs

@@ -0,0 +1,273 @@
+// tracklint — conversion-tracking integrity linter (pure core).
+//
+// 「フォーム / CTA が計測に配線されているか」を HTML/JSX ソースから静的に検証する。
+// 表示は正常なのに計測だけ静かに壊れる—を PR 時点で落とす。依存ゼロ・言語非依存。
+//
+// このファイルは副作用ゼロの純粋関数だけを公開する（fs/network は check.mjs 側で注入）。
+
+export const DEFAULT_CONFIG = {
+  // 明示的な「計測フック」とみなす属性（provider を足すだけで自社トラッカにも対応）
+  trackingAttributes: ['data-gtm-event', 'data-ga4-event', 'data-track'],
+  // 「コンバージョンが飛んだ」とみなす JS 呼び出し
+  conversionCalls: ['dataLayer.push', 'gtag', 'analytics.track'],
+  // ルールごとの severity: 'error' | 'warn' | 'off'
+  rules: {
+    'submit-not-button': 'error',
+    'submit-missing-tracking': 'error',
+    'submit-dynamic-id': 'warn',
+    'submit-duplicate-id': 'error',
+    'submit-missing-gtm-event-attr': 'off', // ノイズ抑制のため既定 off
+    'ajax-no-conversion': 'warn', // 誤検知が出やすいので既定 warn
+    'thankyou-unresolved': 'error',
+    'thankyou-indexable': 'error',
+  },
+};
+
+// ---- tokenizer（ゼロ依存・行番号付き。JSX の {expr} 属性値も許容） ----
+
+// タグ属性部は「クオート文字列」「{JSX式}（1段ネストまで）」「その他非区切り文字」を許容する。
+// これにより onClick={() => f()} の中の '>' や data-x={a > b} でタグが途中終了しない。
+const BRACE = String.raw`\{(?:[^{}]|\{[^{}]*\})*\}`;
+const TAG = new RegExp(String.raw`<(\/?)([a-zA-Z][\w:-]*)((?:"[^"]*"|'[^']*'|${BRACE}|[^"'>])*)>`, 'g');
+const ATTR = new RegExp(String.raw`([\w:@.-]+)(?:\s*=\s*(?:"([^"]*)"|'([^']*)'|(${BRACE})|([^\s"'=<>\`]+)))?`, 'g');
+
+// HTML コメントと <script>/<style> 本文を「長さ・改行を保ったまま」空白化する。
+// これで行番号やオフセットを狂わせずに、コメント/スクリプト内のタグ的テキストを走査対象から外せる。
+const COMMENT = /<!--[\s\S]*?-->/g;
+const RAWTEXT = /<(script|style)\b[^>]*>[\s\S]*?<\/\1>/gi;
+const blank = (m) => m.replace(/[^\n]/g, ' ');
+
+function parseAttrs(str) {
+  const attrs = new Map();
+  let m;
+  ATTR.lastIndex = 0;
+  while ((m = ATTR.exec(str)) !== null) {
+    if (!m[1]) continue;
+    const name = m[1].toLowerCase();
+    const val = m[2] ?? m[3] ?? m[4] ?? m[5] ?? '';
+    if (!attrs.has(name)) attrs.set(name, val);
+  }
+  return attrs;
+}
+
+/** HTML/JSX をタグ列に分解する（コメント・<script>/<style> 本文・doctype は無視される）。 */
+export function tokenize(html) {
+  const clean = html.replace(COMMENT, blank).replace(RAWTEXT, blank);
+  const tokens = [];
+  let m;
+  let pos = 0;
+  let line = 1;
+  TAG.lastIndex = 0;
+  while ((m = TAG.exec(clean)) !== null) {
+    while (pos < m.index) {
+      if (clean.charCodeAt(pos) === 10) line++;
+      pos++;
+    }
+    let attrStr = m[3];
+    // 自己終了 '/' の誤検出を避ける: 直前が空白/クオート、または属性部先頭のときだけ自己終了とみなす
+    // （action=/thanks/ のような未クオート値の末尾スラッシュを自己終了と誤認しない）。
+    const selfClose = /(?:^|[\s"'`])\/\s*$/.test(attrStr);
+    if (selfClose) attrStr = attrStr.replace(/\/\s*$/, '');
+    tokens.push({
+      name: m[2].toLowerCase(),
+      isClose: m[1] === '/',
+      selfClose,
+      attrs: parseAttrs(attrStr),
+      line,
+    });
+  }
+  return tokens;
+}
+
+const isDynamic = (v) => /\{|<\?|\$\{|%[sd]|\{\{/.test(v);
+
+/** 静的で一意判定に使える id を集める（動的 id は除外）。check.mjs の重複検出用。 */
+export function collectIds(html) {
+  const ids = [];
+  for (const t of tokenize(html)) {
+    if (t.isClose) continue;
+    const id = t.attrs.get('id');
+    if (id && !isDynamic(id)) ids.push(id);
+  }
+  return ids;
+}
+
+/** サンクスページの <head> に noindex meta があるか。 */
+export function hasNoindex(html) {
+  for (const t of tokenize(html)) {
+    if (t.name !== 'meta' || t.isClose) continue;
+    const name = (t.attrs.get('name') || '').toLowerCase();
+    const content = t.attrs.get('content') || '';
+    if ((name === 'robots' || name === 'googlebot') && /\b(noindex|none)\b/i.test(content)) return true;
+  }
+  return false;
+}
+
+// ---- パス解決（fromFile からの相対 / ルート絶対 → リポジトリ相対パス） ----
+
+export function resolveDest(fromFile, dest) {
+  let d = String(dest).split(/[?#]/)[0].trim();
+  if (!d) return null;
+  if (/^(?:[a-z][\w+.-]*:)?\/\//i.test(d) || /^(?:mailto|tel):/i.test(d) || d.startsWith('#')) return null;
+  const endsSlash = d.endsWith('/');
+  let rel;
+  if (d.startsWith('/')) rel = d.slice(1);
+  else {
+    const dir = fromFile.replace(/\\/g, '/').replace(/\/[^/]*$/, '');
+    rel = fromFile.includes('/') ? `${dir}/${d}` : d;
+  }
+  const parts = [];
+  for (const seg of rel.split('/')) {
+    if (seg === '' || seg === '.') continue;
+    if (seg === '..') parts.pop();
+    else parts.push(seg);
+  }
+  let out = parts.join('/');
+  const base = out.split('/').pop() || '';
+  if (endsSlash || !/\.[a-z0-9]+$/i.test(base)) {
+    out = out ? `${out}/index.html` : 'index.html';
+  }
+  return out;
+}
+
+// ---- rules ----
+
+function submitControl(form) {
+  // 優先: 正しい <button type=submit> → だめな送信要素（input submit/image, JSで submit するボタン/div 等）
+  let proper = null;
+  let improper = null;
+  for (const c of form.controls) {
+    const onclick = c.attrs.get('onclick') || '';
+    const jsSubmits = /\.(?:request)?submit\s*\(/i.test(onclick);
+    if (c.name === 'button') {
+      const type = (c.attrs.get('type') || 'submit').toLowerCase();
+      if (type === 'submit') {
+        if (!proper) proper = c;
+      } else if (jsSubmits && !improper) {
+        improper = c; // type=button/reset なのに JS でフォームを submit している
+      }
+    } else if (c.name === 'input') {
+      const type = (c.attrs.get('type') || '').toLowerCase();
+      if (type === 'submit' || type === 'image') {
+        if (!improper) improper = c;
+      } else if (jsSubmits && !improper) {
+        improper = c;
+      }
+    } else if (jsSubmits && !improper) {
+      improper = c; // div/span/a が onclick で form を submit している
+    }
+  }
+  return { proper, improper };
+}
+
+/**
+ * 1ファイル分の HTML/JSX を走査して findings を返す（純粋・テスト可能）。
+ * @param opts.filename    リポジトリ相対のファイル名（パス解決に使う）
+ * @param opts.exists      `(relPath) => boolean` サンクスページの実在判定
+ * @param opts.readText    `(relPath) => string|null` サンクスページ本文の取得
+ * @param opts.isDupId     `(id) => boolean` id がファイル横断で重複しているか
+ * @param opts.config      設定（DEFAULT_CONFIG にマージ済み）
+ */
+export function scan(html, opts = {}) {
+  const {
+    filename = '',
+    exists = () => true,
+    readText = () => null,
+    isDupId = () => false,
+    config = DEFAULT_CONFIG,
+  } = opts;
+  const rules = { ...DEFAULT_CONFIG.rules, ...(config.rules || {}) };
+  const trackingAttributes = config.trackingAttributes || DEFAULT_CONFIG.trackingAttributes;
+  const conversionCalls = config.conversionCalls || DEFAULT_CONFIG.conversionCalls;
+
+  const findings = [];
+  const push = (rule, ln, msg) => {
+    const severity = rules[rule] ?? 'error';
+    if (severity === 'off') return;
+    findings.push({ ln, rule, severity, msg });
+  };
+
+  // フォームのスコープを組み立てる
+  const tokens = tokenize(html);
+  const forms = [];
+  const stack = [];
+  for (const t of tokens) {
+    if (t.name === 'form' && !t.isClose && !t.selfClose) {
+      const f = { line: t.line, attrs: t.attrs, controls: [] };
+      stack.push(f);
+      forms.push(f);
+    } else if (t.name === 'form' && t.isClose) {
+      stack.pop();
+    } else if (stack.length && !t.isClose && ['button', 'input', 'div', 'span', 'a'].includes(t.name)) {
+      stack[stack.length - 1].controls.push(t);
+    }
+  }
+
+  // ファイル単位の signal（R3 用）。コメントは除外し、AJAX の判定は
+  // 「実際の submit ハンドラの証拠」に限定する（type="submit" 属性の "submit" に反応しない）。
+  const code = html.replace(COMMENT, ' ');
+  const hasSubmitHandler = /addEventListener\s*\(\s*['"]submit['"]|onsubmit\s*=|\.(?:request)?submit\s*\(/i.test(code);
+  const hasAjax =
+    /\bfetch\s*\(|XMLHttpRequest|\baxios\b|\$\.ajax|\.ajax\s*\(/.test(code) ||
+    (/preventDefault\s*\(/.test(code) && hasSubmitHandler);
+  const hasConversion = conversionCalls.some((c) => code.includes(c));
+
+  for (const form of forms) {
+    // R1 / R2: 送信コントロール
+    const { proper, improper } = submitControl(form);
+    if (improper && !proper) {
+      const what =
+        improper.name === 'input'
+          ? `<input type="${(improper.attrs.get('type') || '').toLowerCase()}">`
+          : `<${improper.name}>`;
+      push('submit-not-button', improper.line, `送信コントロールが ${what} です。<button type="submit"> にしてください（GTM/GA4 のクリック計測が要素を特定できません）`);
+    } else if (proper) {
+      const id = proper.attrs.get('id');
+      const hasId = id != null && id !== '';
+      const hasTrackAttr = trackingAttributes.some((a) => proper.attrs.has(a) && proper.attrs.get(a) !== '');
+      const onclick = proper.attrs.get('onclick') || '';
+      const inlineConv = conversionCalls.some((c) => onclick.includes(c));
+      if (!hasId && !hasTrackAttr && !inlineConv) {
+        push('submit-missing-tracking', proper.line, '送信ボタンに一意の id・計測属性(data-gtm-event 等)・インライン計測呼び出しがありません（クリックが計測不能）');
+      } else if (hasId && isDynamic(id)) {
+        push('submit-dynamic-id', proper.line, `送信ボタンの id がテンプレート展開されています("${id}")。実行時の値・一意性を静的に検証できません`);
+      } else if (hasId && isDupId(id)) {
+        push('submit-duplicate-id', proper.line, `送信ボタンの id "${id}" が複数箇所で使われています。クリックが二重計上/取り違えられます`);
+      }
+      if (hasId && !hasTrackAttr) {
+        push('submit-missing-gtm-event-attr', proper.line, 'id はありますが data-gtm-event が無く、コンバージョン名が GTM コンテナ側にしか存在しません');
+      }
+    }
+
+    // R4: サンクスページ
+    let dest = form.attrs.get('data-thankyou') || form.attrs.get('data-success-url');
+    if (!dest) {
+      const action = (form.attrs.get('action') || '').split(/[?#]/)[0];
+      if (action && !/^(?:[a-z][\w+.-]*:)?\/\//i.test(action)) {
+        const base = (action.replace(/\/$/, '').split('/').pop()) || '';
+        const ext = (base.match(/\.([a-z0-9]+)$/i) || [])[1];
+        if (!ext || /^html?$/i.test(ext)) dest = action; // ページ or ディレクトリ（.php 等のハンドラは静的に追えないのでスキップ）
+      }
+    }
+    if (dest) {
+      const resolved = resolveDest(filename, dest);
+      if (resolved) {
+        if (!exists(resolved)) {
+          push('thankyou-unresolved', form.line, `サンクスページ "${dest}" (${resolved}) がリポジトリに存在しません`);
+        } else {
+          const body = readText(resolved);
+          if (body != null && !hasNoindex(body)) {
+            push('thankyou-indexable', form.line, `サンクスページ "${dest}" に <meta name="robots" content="noindex"> がありません（インデックス漏れ・CV 二重計上のリスク）`);
+          }
+        }
+      }
+    }
+  }
+
+  // R3: AJAX 送信なのに成功時の計測イベントが無い（ファイル単位・1回だけ）
+  if (forms.length && hasAjax && !hasConversion) {
+    push('ajax-no-conversion', forms[0].line, `AJAX 送信のようですが、成功時の計測呼び出し(${conversionCalls.join(' / ')})がファイル内に見当たりません（ページ遷移しないため計測が飛びません）`);
+  }
+
+  return findings.sort((a, b) => a.ln - b.ln);
+}