SECURITY UPDATE
2027年1月〜全パブリックアプリで有期オフライントークン必須化
非有期トークンを使い続けると認証エラー。2026年末までに移行完了を
このアップデートはAdmin APIを利用する全パブリックアプリの開発者が対象です。2027年1月1日以降、有効期限なしのオフラインアクセストークンは認証エラーになります。2026年4月1日の新規アプリ向け変更を既存アプリにも拡大するものです。
1変更内容のBefore / After図解
2適用対象・対象外の整理
対象
- 非有期オフラインアクセストークンでAdmin APIを呼び出している全パブリックアプリ
- 2026年4月1日より前に作成されたアプリも含む
対象外
- カスタムアプリ（マーチャントが自作したもの）
- Dev DashboardまたはShopify管理画面でマーチャント自身が作成したアプリ
3業務に活かせる具体ユースケース
- 課題
- 数年前に構築した受注管理連携アプリが非有期トークンで動作しており、2027年以降にAdmin APIが突然エラーを返すリスクがある
- 打ち手
- 移行ガイドに従い、既存トークンを有期トークンに交換するコードを実装。トークンのストレージ更新も合わせて対応する
- 効果
- マーチャントの再インストール不要でシームレスに移行でき、API停止リスクを事前に排除できる
- 技術メモ
- Shopify公式アプリテンプレート・公式APIライブラリ利用時はリフレッシュ処理が実装済み。トークン交換とストレージ更新のみ対応すれば良い
- 課題
- 複数のマーチャントに展開しているパブリックアプリで、トークンが何らかの経路で漏洩した場合、現状は永続的な不正アクセスが続く可能性がある
- 打ち手
- 有期トークンへ移行することでトークンの有効期限を60分に限定し、自動ローテーション機構を組み込む
- 効果
- クレデンシャル漏洩が発生しても60分後にトークンが無効化され、被害範囲を大幅に縮小できる
- 技術メモ
- 有期トークンは自動でローテーションされる仕組みのため、一度実装すれば継続的なセキュリティ強化が得られる
- 課題
- Shopify App Storeに公開しているアプリのセキュリティ基準を最新のOAuthベストプラクティスに準拠させたい
- 打ち手
- 2026年12月31日までに有期トークン対応を完了し、App Storeのコンプライアンス要件を先んじて満たす
- 効果
- 期限前に対応することで、2027年1月以降のサービス断絶リスクをゼロにし、マーチャントへの信頼性を高められる
- 技術メモ
- 対応期限ギリギリの実装は予期しない不具合リスクが高いため、早期テスト・ステージング環境での検証を推奨
4技術者目線のポイント
| 項目 | 内容 |
|---|---|
| トークン有効期限 | 有期オフラインアクセストークンは発行から60分で期限切れ、その後自動ローテーション |
| 影響するAPIバージョン | Admin API（詳細なバージョン指定は元記事に記載なし） |
| マーチャント側の作業 | 不要。再インストール不要でアプリ側のコード変更のみで対応可能 |
| 公式ライブラリ利用時 | ShopifyのアプリテンプレートおよびAPIライブラリを使用している場合、リフレッシュ処理は実装済み。必要な作業はトークン交換とストレージ更新のみ |
| 移行期限 | 2026年12月31日（2027年1月1日以降、非有期トークンは認証エラー） |
| サポート窓口 | Shopify Dev Platformコミュニティで質問・支援を受けられる（元記事リンク参照） |
5移行スケジュール早見図
2027年1月1日の期限に備え、Admin APIを使用する全パブリックアプリを今すぐ有期オフラインアクセストークン対応に移行することで、マーチャントへのサービス継続とセキュリティ強化を同時に実現できます。
※ 本記事はShopify公式チェンジログをもとにした独立系メディアの解説です。実装前は必ず公式ドキュメントおよび移行ガイドをご確認ください。
Source: https://shopify.dev/changelog/expiring-offline-access-tokens-required-for-all-public-apps-as-of-january-1-2027 | 公開日: 2026年5月20日
Share:
Shop Minis 新機能：同意管理とIntents対応
MetaobjectAdminAccess列挙型の廃止予定値を削除