「Shopify は安全ですか？」は、間違った問いです。より良い問いは次のとおりです。Shopify がどの部分をあなたのために守り、どの部分があなたの責任として残るのか？ Shopify は、クラウドインフラ、チェックアウトのエンジン、そして中核となる決済の流れを管理しています。スタッフ、アプリ、そしてストアフロントで動くコードを選ぶのはあなたです。ほとんどのセキュリティインシデントは、この 2 つ目の領域で起きています。
このガイドでは、管理画面へのログインからチェックアウトの完了まで、Shopify に組み込まれたセキュリティの層を分解します。各機能について、公式ドキュメントへのリンクも示します。
- チェックアウトは厳重に保護されています。 Shopify は checkout.liquid と従来のスクリプトタグを廃止しました。チェックアウトのカスタマイズは、現在すべてサンドボックス化された拡張機能を通じて動作します。
- アプリは初期状態で持つ権限が少なくなっています。 プラットフォームは、短命のトークン、明示的な権限スコープ、顧客データに対する厳格な保護措置を適用しています。
- Shopify はプラットフォームレベルで介入します。 2026年10月のアプリ乗っ取りインシデントを受けて、ストアフロントは、疑わしい外部サイトへ送る前に買い物客へ警告を表示するようになりました。
- Shopify があなたに代わって管理できないこと： アプリ開発者の審査、スタッフ権限の監査、外部に書き出した非公開の API トークンの保護です。
概念イメージ：管理画面、アプリ、ストアフロント、チェックアウトを取り囲む Shopify の保護レイヤー。
図：4 つの層。それぞれ以下で説明し、Shopify の公式ドキュメントへのリンクを付けています。
トピックハブの一部Shopify セキュリティ特集ハブを見る →
1. 管理者とスタッフ：より強力なログイン
アカウントの乗っ取りは、ログイン画面から始まります。Shopify は、許可されていないユーザーを管理画面から締め出すために、いくつかの制御を適用しています。
- 2段階認証は、Shopify Payments を利用する商家には必須です。対応する方法は、パスキー、物理的なセキュリティキー、認証アプリです。Shopify は、SMS による新規設定をもう許可していません。
- Shopify Plus の組織は、会社内のすべてのユーザーに安全なサインインを強制できます。
- Shopify の AI アシスタントである Sidekick は、既存のスタッフ権限を尊重します。Shopify によると、チームメンバーは、利用を許可されたデータと機能にのみ関わることができます。
あなたの役割： チームのメンバーそれぞれに、必要最小限の権限を持つ個別のアカウントを与え、退職したスタッフは速やかに削除してください。
2. アプリ：初期状態では信頼を最小限に
サードパーティのアプリは、外部のコードをあなたのビジネスに持ち込むため、主要な攻撃経路になります。Shopify は、アプリが見たりしたりできることを着実に絞り込んできました。
- トークン交換。 埋め込みアプリは、Shopify から短命の署名付き ID トークンを受け取り、それをアクセストークンと交換します。これにより、古いリダイレクトベースのインストールの流れがなくなりました。
- アクセススコープ。 すべてのアプリは、どのデータを読み取り、または変更するかを宣言しなければなりません。インストール時に、あなたがその一覧を確認して承認します。
- 保護された顧客データ。 顧客データを要求するアプリは、データの最小化、暗号化、保存期間の制限を含むプラットフォームの要件に従わなければなりません。氏名、住所、電話番号、メールアドレスを扱うアプリには、より厳しい第 2 段階が課されます。暗号化されたバックアップ、テストデータの分離、スタッフのアクセス制限、アクセスログ、そして文書化されたインシデント対応ポリシーです。
- 必須のプライバシー Webhook。 公開されているすべてのアプリは、顧客データのリクエストと削除のリクエストに対応しなければならず、署名が一致しない受信ペイロードはすべて拒否しなければなりません。
- クリックジャッキング対策。 アプリは
frame-ancestorsヘッダーを送信しなければならず、他のサイトがアプリの管理画面をフレーム内に表示できないようにする必要があります。
限界： これらのルールが制御するのは、アプリが Shopify の API を通じて何をしてよいかです。アプリ自身のサーバーがストアフロントに何を送るかは、完全には制御できません。2026年10月のインシデントが、このギャップを示しています。
3. ストアフロント：コードを注入できる経路を減らす
ストアフロントのすべてのスクリプトは、顧客のブラウザで直接実行されます。Shopify は、構造化された拡張ポイントによって、不正なコードの実行を最小限に抑えています。
- テーマアプリ拡張機能とアプリ埋め込みにより、アプリはテーマファイルを変更せずに機能を追加できます。アプリを削除すると、そのスクリプトブロックは自動的に読み込まれなくなります。
- リダイレクト保護（2026年10月）。 ストアフロントは、外部サイトへリダイレクトする前に、買い物客に警告を表示するようになりました。10月23日の更新により、Shopify が悪意があると判断したサイトへのリンクはブロックされ、疑わしい移動先では買い物客の確認が必要になり、通常のリンクはこれまでどおり動作します。
実際の観察：Shopify の変更履歴の記事。2026年10月20日に公開され、2026年10月23日に更新されました。
- Shopify Functions は、割引、配送、支払いのカスタムロジックを、隔離されたサンドボックス内で実行します。命令数、メモリ、入力ペイロードのサイズに厳しい上限が設けられています。外部ネットワークへのアクセスは、Enterprise プランのカスタムアプリにのみ許可されています。
4. チェックアウトと決済：最も保護された領域
チェックアウトは、決済情報と顧客の身元を扱うため、プラットフォーム全体で最も厳重に守られた領域です。
- checkout.liquid は廃止されました。 Shopify は、Plus ストア向けに、「ありがとうございます」ページと注文ステータスページの従来のレイアウトファイルを2025年8月に終了しました。これらのページのスクリプトタグは、Plus 以外のストアでは2026年8月26日に終了しました。チェックアウトへのすべての変更は、現在 Checkout Extensibility を通じて行われます。
- Web ピクセルはサンドボックスで動作します。 アプリのピクセルは「strict」サンドボックスで動作し、ページにアクセスできません。カスタムピクセルは「lax」のサンドボックス化された iframe で動作し、トップページには到達できません。トラッキングコードは、もはやカード入力欄を読み取れません。
- 3D Secure は、PSD2 のルールを満たすため、欧州経済領域（EEA）のカード決済に自動的に適用されます。
- Shopify Protect（米国、Shop Pay を使う Shopify Payments）は、対象となる不正なチャージバックについて、注文金額とチャージバック手数料をカバーします。ただし、注文が7日以内に追跡番号付きで発送されていることが条件です。
- チェックアウトのボット保護（Plus、オンラインストア）は、reCAPTCHA や hCaptcha などのチャレンジ検証を使います。Shopify はこれを、限定販売のための公正さを守る仕組みであり、不正対策の製品ではないと説明しています。
5. 人：バグバウンティ
自動化ツールは日常的なバグを検出しますが、Shopify は攻撃者が悪用する前に、複雑な脆弱性を見つけるための、クラウドソーシングによる研究にも資金を提供しています。同社の公開バグバウンティページには、最大報奨金 200,000 ドル、そして累計 1,020 万ドル以上の支払い（統計は2026年11月に更新）が掲載されています。
実際の観察：2026年11月4日に取得した、Shopify のバグバウンティページ。
6. AI エージェント：新しいルールが作られている途中
自律型ソフトウェアが閲覧や購入を始めており、Shopify は AI ショッピングのトラフィックに関する境界を定めつつあります。2026年1月に Google と発表した Universal Commerce Protocol と、ネイティブのエージェント向けツールを通じて、Shopify は明確な運用ルールを設定しています。Shopify のエージェント向けドキュメントでは、エージェントは署名付きのリクエストで自己を識別することが求められています。また、信頼レベルによって、レート制限や、エージェントが実行できる操作（チェックアウトの完了を含む）を決めています。この分野は新しく、急速に変わっていくでしょう。
7. トレードオフ：Shopify の保護が及ばない範囲
EC ストアの安全性は、責任の分担によって成り立ちます。Shopify はプラットフォームのインフラを守りますが、ストアの設定はあなたの手の中にあります。
| 領域 | Shopify が担うこと | 引き続きあなたの責任 |
|---|---|---|
| サーバー、稼働時間、チェックアウトの PCI | はい | — |
| スタッフのログイン | ツール（2段階認証、パスキー） | 有効化すること、古いアカウントを削除すること |
| アプリ | 審査ルール、スコープ、サンドボックス | ベンダーを選ぶこと、使っていないアプリを削除すること |
| ストアフロントのコード | リダイレクト警告、アプリ埋め込み | あなた自身や代理店が追加するカスタムコード |
| API トークン | アプリ向けの短命トークン | カスタムアプリや代理店向けのトークン |
知っておく価値のある欠落が1つあります。どの構成においても、決済ページのスクリプトに関する PCI DSS の要件（6.4.3 と 11.6.1）の責任者を明記した公式の Shopify のページは見つかりませんでした。PCI コンプライアンスの証拠が必要な場合は、想定に頼らず、Shopify と決済プロバイダーに直接確認してください。
8. チェックリスト
- すべてのスタッフアカウントで、パスキーまたは物理セキュリティキーの使用を必須にしてください。
- 設定 → アプリと販売チャネル で付与されたアプリのスコープを確認し、役割に必要な以上の権限を求めているアプリには疑問を持ってください。
- レガシーなチェックアウトのスクリプトで、廃止された機能に依存しているものがないか確認してください。
- 米国で Shopify Payments を使って販売している場合は、注文に Shopify Protect が適用されるかを確認してください。
- Shopify の変更履歴のセキュリティ記事をブックマークしてください。保護機能は毎月追加されています。
これらのレイヤーの背後にあるセキュリティ技術へ進むか、2026年に Shopify 商家が直面する脅威へ戻ってください。
出典
- Shopify Help, Two-step authentication：https://help.shopify.com/en/manual/your-account/account-security/two-step-authentication
- Shopify, Shopify AI / Sidekick：https://www.shopify.com/ai
- Shopify.dev, Token exchange：https://shopify.dev/docs/apps/build/authentication-authorization/access-tokens/token-exchange
- Shopify.dev, Protected customer data：https://shopify.dev/docs/apps/launch/protected-customer-data
- Shopify.dev, Privacy law compliance (mandatory webhooks)：https://shopify.dev/docs/apps/build/privacy-law-compliance
- Shopify.dev, Set up iframe protection：https://shopify.dev/docs/apps/build/security/set-up-iframe-protection
- Shopify Changelog, New protection against unexpected redirects：https://changelog.shopify.com/posts/new-protection-against-unexpected-redirects
- Shopify.dev, Shopify Functions：https://shopify.dev/docs/api/functions
- Shopify.dev, checkout.liquid：https://shopify.dev/docs/storefronts/themes/architecture/layouts/checkout-liquid
- Shopify Help, Checkout upgrade：https://help.shopify.com/en/manual/checkout-settings/checkout-extensibility/checkout-upgrade
- Shopify.dev, Web pixels：https://shopify.dev/docs/apps/build/marketing-analytics/pixels
- Shopify, Shopify Protect：https://www.shopify.com/protect
- Shopify Help, Bot protection：https://help.shopify.com/manual/checkout-settings/bot-protection
- Shopify, Bug Bounty：https://www.shopify.com/bugbounty
- Shopify.dev, Agents：https://shopify.dev/docs/agents
- Shopify News, AI commerce at scale (UCP)：https://www.shopify.com/news/ai-commerce-at-scale