Shopifyアプリセキュリティ強化2026年10月版

10月 28, 2026

APP SECURITY

Shopifyアプリセキュリティ強化
2026年10月アップデート

オフラインアクセストークン移行期限と新セキュリティ機能の全貌

公開アプリの開発者は2027年1月1日までにオフラインアクセストークンを有効期限付きへ移行する義務があります。期限を超過すると段階的にApp Storeからの削除・API利用停止が実施されます。同時に、クライアント認証によるトークン再発行・IPホワイトリスト・ネットワークアクセス宣言の3つの新セキュリティ機能も即日利用可能になりました。

1オフライントークン移行タイムライン

※ 1月15日・4月1日の日付はマーチャントへの猶予期間であり、開発者の移行期限ではありません。移行期限は 2027/1/1 です。

対象外: カスタムアプリ・マーチャント作成アプリ・オンラインアクセストークン

2新セキュリティ機能 3つの概要

3業務に活かせる具体ユースケース

課題: 本番環境でリフレッシュトークンを誤って削除してしまい、マーチャントに再インストールをお願いしなければならなかった
打ち手: クライアント認証（client credentials）を設定し、秘密鍵で新しいアクセストークンを発行できるようにしておく
効果: マーチャントを巻き込まずにバックエンドで完結し、ダウンタイムを最小化できる
技術メモ: 公式の「Set up client credentials access」ガイドに設定手順が記載されている。秘密鍵の管理は別途厳重に行うこと

課題: 漏洩したアクセストークンが第三者に悪用され、Admin APIへの不正アクセスが発生するリスクがある
打ち手: IPホワイトリストに自社サーバーのIPアドレスのみを登録し、想定外のIPからのAPI呼び出しをShopify側でブロックする
効果: トークン漏洩時の被害範囲を限定できる。有効なトークンを持っていても登録外IPからの呼び出しは拒否される
技術メモ: 公式の「Set up your IP allowlist」ガイドを参照。動的IPを使う環境では運用フローの見直しが必要

課題: アプリが外部リンクを多用しており、マーチャントの顧客がストア離脱前の警告画面を頻繁に見てしまいUXが低下している
打ち手: shopify.app.tomlの[network_access]セクションにリンク先のドメインを宣言することで、警告表示をスキップさせる
効果: 顧客体験がスムーズになり、遷移離脱率の改善も期待できる。同時にアプリの正規通信先として登録される
技術メモ: 公式の「Declare your app's network access」ガイドに記載フォーマットあり。サーバーと外部リンク先を別々に宣言する

4技術者が押さえるべき5つのポイント

項目	内容	注意点
移行対象	Admin APIを呼び出すすべての公開アプリのオフラインアクセストークン	カスタムアプリ・マーチャント作成アプリ・オンライントークンは対象外
移行期限	2027年1月1日（期限超過でApp Store掲載停止・新規インストール停止）	1/15・4/1の日付は開発者の延長期限ではなくマーチャント猶予期間
APIバージョン影響	非期限付きオフライントークンは2027年4月1日以降HTTP 403を返す	既存インストールの実APIコールが停止するため、早期移行が強く推奨される
リリース前チェック	CLIコマンド `shopify app security check` を実行して確認	App Security Hubでどのプラクティスが自アプリに適用されるか確認する
インシデント報告	セキュリティ問題を発見した場合は `partner-security-reports@shopify.com` に即報告	修正および影響マーチャントへの通知はアプリ開発者の責任。Shopifyがサポートする