カード預託エンドポイントがmTLS必須に

7月 20, 2026

セキュリティ／Breaking Change

カード預託エンドポイントがmTLS必須に

2026年10月15日までにShopify発行の証明書を取得・設定しないと、新規カードデータの預託が完全停止します

Shopifyはカードデータ預託エンドポイント（/sessions）へのリクエストに対し、Shopify発行のmTLSクライアント証明書を必須化します。対象は customerPaymentMethodCreditCardCreate または customerPaymentMethodCreditCardUpdate を利用してカードデータをShopifyに預託しているアプリ。2026年10月15日が移行期限で、期限後は証明書のないリクエストが拒否されます。

1Before / After：何が変わるのか

2影響範囲：自分のアプリは対象か

対応必須

customerPaymentMethodCreditCardCreate または customerPaymentMethodCreditCardUpdate を呼び出し、カードデータを直接Shopifyに預託しているアプリ

対応不要

customerPaymentMethodRemoteCreate のみを使い、Stripe・Braintree・Authorize.Net・Adyen・PayPalなど外部ゲートウェイのリファレンスをインポートするアプリ。カードデータをShopifyに預託しないため対象外。

3業務に活かせる具体ユースケース

課題: 定期課金アプリが顧客登録時にクレジットカード情報をShopify Vaultへ直接保存しており、10月以降も安定稼働が必要
打ち手: 早急に shopify-mtls-partnerships@shopify.com へAPIクライアントIDを添えて証明書を申請し、/sessions呼び出し時に証明書を提示する実装に変更
効果: ブラックフライデー前に移行完了し、カード預託フローが中断するリスクをゼロに
技術メモ: 初回証明書はShopifyが手動署名のため数日かかる。余裕を持って申請開始すること

課題: 複数マーチャントに提供するBtoB向けSaaSが、管理画面からカードを登録する機能を持っており、エンドポイント移行の影響範囲が不明確
打ち手: まず自社アプリが customerPaymentMethodRemoteCreate のみか CreditCardCreate/Update も使っているかをコードベースで確認。後者なら移行対象と判断しmTLS対応を計画
効果: 不要な対応コストを避けつつ、対象アプリを漏れなく移行できる
技術メモ: GraphQL Admin API Oauthフローは変更なし。vault mutationの呼び出し方も変わらない

課題: 証明書取得後、有効期限（TTL 1年）の管理を忘れて失効するとカード預託が停止し、売上損失につながる
打ち手: 初回証明書取得後はShopifyのCertificate Signing Service（CSS）でセルフサービスローテーションを実施。期限監視をObservabilityスタックに組み込む
効果: Shopifyへの問い合わせ不要でローテーション可能。期限切れによる突発停止を防止
技術メモ: ローテーション自体はセルフサービス対応だが、監視を怠ると預託停止になるため証明書expiry alertは必須

4技術者向け移行チェックポイント

項目	詳細	ステータス
エンドポイントURL	`https://checkout-mtls.pci.shopifyinc.com/sessions`（変更なし）	変更なし
クライアント証明書要否	2026/10/15以降、すべてのリクエストに必須	Breaking Change
証明書取得方法	`shopify-mtls-partnerships@shopify.com` にAPIクライアントID＋技術担当者連絡先を送付。初回は手動署名で数日かかる	要申請
GraphQL Vault mutation	`customerPaymentMethodCreditCardCreate` / `Update` の呼び出し方は変更なし。session IDを渡すフローは継続	変更なし
OAuth フロー	GraphQL Admin API のOAuthフローは影響なし	影響なし
証明書ローテーション	TTL 1年。期限前にCertificate Signing Serviceでセルフサービスローテーション。失敗すると預託停止	監視必須
期限	2026年10月15日（BFCM 2026前）	期限厳守