shopify.app.tomlでアプリの外部通信を宣言する新機能

10月 28, 2026

APP SECURITY

shopify.app.tomlで
外部通信ルールを宣言する

ストアフロントの「外部サイト警告」を除去しつつ、不審リクエストからアプリを守る新セクションが登場

このアップデートはストアフロント・チェックアウト・Shopify管理画面から外部サーバーと通信するすべてのアプリ開発者が対象です。2026年10月27日に提供開始され、shopify.app.tomlに新設された[network_access]セクションを追記→デプロイするだけで有効になります。

1何が変わったか — Before / After 図解

22つのプロパティを理解する

allowed_navigation_hosts

アプリがストアフロントからリンクする外部サイトのホスト名を列挙する。ここに登録したホストへの遷移はShopifyの「外部サイト警告」をスキップ。最大20件まで指定可能。

例: "app.example.com"

allowed_sources

アプリのコードがロードまたはリクエストを送る HTTPSオリジンを列挙する。ストアフロント・チェックアウト・Shopify管理画面のすべてが対象。Shopifyはこのリストを使って悪意あるリクエストを監視・保護。最大20件。

例: "https://api.app.example.com"

3具体的な設定例

[network_access]
allowed_navigation_hosts = ["app.example.com"]
allowed_sources = ["https://api.app.example.com"]

設定後は shopify app deploy を実行し、新バージョンをリリースする。

4業務ユースケース3選

課題: 自社ブランドのアプリからマイページ（外部ドメイン）へ誘導する際に毎回「外部サイトへ移動します」という警告が挟まり、直帰率が上がっていた。
打ち手: allowed_navigation_hosts に自社マイページのホスト名を追加し、shopify app deploy で反映する。
効果: 警告ページへの誘導がなくなり、ユーザーがスムーズに外部マイページへ遷移できる。離脱ポイントが一つ減る。
技術メモ: リンクに使用しているホスト名を「そのまま」記載する必要がある（最大20件）。サブドメイン違いは別途列挙すること。

課題: チェックアウト拡張から自社APIサーバー（CDN経由）にデータ取得リクエストを送っているが、Shopify側でその通信が把握されておらず、セキュリティ監査で指摘を受けた。
打ち手: allowed_sources に自社APIのHTTPSオリジンとCDNオリジンを登録する。
効果: ShopifyがそのオリジンをホワイトリストとしてAPIレベルで把握し、第三者による悪意あるリクエストとの差別化が可能になる。
技術メモ: スキームを含む完全なオリジン形式（https://から始まる）で指定する必要がある。

課題: Shopify管理画面に埋め込まれたアプリホームページが外部の分析SDKを読み込んでいるが、どのオリジンが許可されているか管理できていなかった。
打ち手: アプリホーム・アプリプロキシページで読み込む全オリジンを allowed_sources に列挙し、定期的にtomlを棚卸しするオペレーションを整備する。
効果: 許可済みオリジン一覧がコードではなく設定ファイルで管理されるようになり、セキュリティレビューが容易になる。
技術メモ: アプリホーム・エクステンション・アプリプロキシページがすべて対象。上限は20件なので不要なオリジンは随時削除する運用が重要。

5技術者が押さえるべきポイント

観点	詳細
設定ファイル	`shopify.app.toml` の `[network_access]` セクションに追記する
対象ページ	ストアフロント・チェックアウト・Shopify管理画面（エクステンション、アプリホーム、アプリプロキシを含む）
件数上限	各プロパティとも最大20件まで
HTTPS必須	`allowed_sources` はHTTPSオリジンのみ指定可能。HTTPは記載なし
デプロイ手順	toml 編集 → `shopify app deploy` → 新バージョンのリリースが必要
強制 vs 推奨	Shopify公式は「強く推奨（strongly recommend）」としており、現時点での必須要件かどうかは記載なし
公式リファレンス	「Declare your app's network access」ドキュメントに設定例あり（元記事リンク参照）