【Shopify最新ニュース2026・開発者向け】Admin API を呼ぶ公開アプリのトークン移行は2027年1月1日まで、遅れると段階的に制限

2026年10月28日

開発者向けの変更です。
アプリを作る開発者・制作会社と、公開アプリを入れている店に関わる話です。

Shopify が、オフライントークンの期限を改めて示し、遅れたときの措置の日程を新しく示しました

Shopify は2026年10月20日、すべてのアプリ開発者にセキュリティの対策を求め、変更が効力を持つ前に詳細を伝えると書いていました。
その続きが、2026年10月27日の発表です。

出典: Shopify developer blog「Security update: Offline token dates, new security features」2026年10月27日
https://shopify.dev/changelog/blog/app-security-updates-october-2026

フラグは「Update」と「Action required」です。

All public apps that call the Admin API must migrate to expiring offline access tokens by January 1, 2027.
（Admin API を呼ぶすべての公開アプリは、2027年1月1日までに、有効期限のあるオフラインアクセストークンへ移行しなければなりません）

移行の期限は2027年1月1日で、遅れると3段階で制限されます

間に合わなかったアプリへの措置は、次の3つの日付で進みます。

January 1, 2027: Delisted from the Shopify App Store and blocked from new installs. Existing installs keep working.
January 15, 2027: Merchants using the app see a warning in Shopify admin.
April 1, 2027: Admin API requests using non-expiring offline access tokens return HTTP 403 .
（2027年1月1日: Shopify App Store から外され、新しいインストールが止まる。既存のインストールは動き続ける／2027年1月15日: そのアプリを使う店の管理画面に警告が出る／2027年4月1日: 有効期限の無いオフラインアクセストークンを使う Admin API の要求は HTTP 403 を返す）

日付	起きること
2027年1月1日	App Store から外れ、新しいインストールが止まる。既存のインストールは動く
2027年1月15日	そのアプリを使う店の管理画面に警告が出る
2027年4月1日	有効期限の無いオフラインアクセストークンでの Admin API の要求が HTTP 403 になる

公式は、後ろの日付を猶予と受け取らないよう書いています。

January 1 is the migration deadline: The later dates give merchants time to prepare, and should not be treated as extra time to migrate.
（1月1日が移行の期限です。後ろの日付は店に準備の時間を与えるためのもので、移行の猶予として扱うべきではありません）

カスタムアプリと、店が作ったアプリは対象外です

Custom apps, merchant-created apps and online access tokens are not affected.
（カスタムアプリ、店が作ったアプリ、オンラインアクセストークンは影響を受けません）

同じ日の changelog の別の1本は、店の管理画面に出る警告の中身にも触れています。

出典: Shopify developer changelog「Migrate to expiring offline access tokens before January 1, 2027」2026年10月27日
https://shopify.dev/changelog/posts/migrate-to-expiring-offline-access-tokens-before-january-2027

January 15, 2027: Merchants using non-compliant apps see warnings in Shopify admin about the risk of service interruption and the action they can take.
（2027年1月15日: 対応していないアプリを使う店は、サービスが止まるおそれと、取れる行動についての警告を管理画面で見ます）

この1本は、上の日程は2027年1月1日の期限の対象だった既存の公開アプリに当てはまるとし、2026年4月1日以降に作られた公開アプリへの要件はそのまま続く、とも書いています。

リフレッシュトークンを失っても、秘密鍵で取り直せるようになりました

新しいセキュリティ機能も、同じ週に加わりました。
1つめは、client credentials によるアクセスの取り直し。

If your app loses a refresh token, your backend can now request a new access token signed with your app’s private key, without waiting for a merchant to reopen your app.
（アプリがリフレッシュトークンを失っても、バックエンドがアプリの秘密鍵で署名した要求で新しいアクセストークンを取れるようになりました。店がアプリを開き直すのを待つ必要はありません）

自分のサーバーの IP 以外からの Admin API の要求を断れます

2つめは、IP 許可リスト。

List the IP addresses your servers use, and we’ll reject Admin API requests from any other IP, even if it has a valid access token.
（サーバーが使う IP アドレスを登録すると、ほかの IP からの Admin API の要求は、有効なアクセストークンを持っていても断ります）

設定の場所は、Dev Dashboard のアプリの Settings ページです。

出典: Shopify developer changelog「Restrict Admin API access with an IP allowlist」2026年10月27日
https://shopify.dev/changelog/posts/restrict-admin-api-access-to-your-app-with-an-ip-allowlist

Your app’s Settings page has a new IP allowlist section. Enter your servers’ addresses or CIDR ranges, test them against recent traffic, and enable enforcement. Requests from outside your ranges fail with a 403 status code.
（アプリの Settings ページに、IP 許可リストの欄が新しくできました。サーバーのアドレスか CIDR の範囲を入れ、最近の通信で試してから、適用を有効にします。範囲の外からの要求は 403 で失敗します）

IP アドレスが変わるサーバーレスの環境で動くアプリへの対応は、近く提供するとされています。

Support for apps hosted on serverless platforms with dynamic IP addresses is coming soon.
（動的な IP アドレスを使うサーバーレスの環境で動くアプリへの対応は、近く提供します）

アプリが使うサーバーとサイトを shopify.app.toml に書けます

3つめは、shopify.app.toml の新しい [network_access] の欄です。

出典: Shopify developer changelog「Secure your app with network access rules in shopify.app.toml」2026年10月27日
https://shopify.dev/changelog/posts/secure-your-app-with-network-access-hosts-in-shopify-app-toml

欄は2つあります。

allowed_navigation_hosts: アプリがストアフロントから購入者を送る外のサイト。ここに書いたサイトへのリンクでは、店の外に出る前の警告が出なくなる。20個まで
allowed_sources: アプリのコードが読み込む先・要求を送る先の HTTPS のオリジン。ストアフロント、チェックアウト、管理画面が対象。20個まで

We use the list to protect your app and monitor storefronts for malicious requests.
（この一覧を、アプリを守り、ストアフロントで悪意のある要求を見張るのに使います）

開発ストアと client-transfer ストアへのインストールで、本人確認が始まりました

4つめと5つめは、本人確認とセキュリティの案内ページです。

We now verify your identity before installing apps on development and client-transfer stores. This helps keep apps in trusted hands.
（開発ストアと client-transfer ストアにアプリを入れる前に、本人確認をするようになりました。アプリを信頼できる人の手に保つのに役立つ、としています）

Use the new app security hub as your checklist. Every app security practice now has its own page in the dev docs.
（新しいアプリのセキュリティハブを、チェックリストとして使ってください。アプリのセキュリティの実践は、それぞれ dev docs に専用のページができました）

アプリにセキュリティの問題が疑われるときは、すぐに [email protected] へ知らせるよう書いています。
問題を直し、影響を受けた店に知らせる責任は開発者にあり、Shopify が支える、とも書いています。

🔴 公式に書かれていないこと

次の点は、一次ソースにありません。

2027年1月15日に店の管理画面に出る警告の、文面や表示の場所は書かれていません
2027年4月1日以降、そのアプリの機能が店の側でどう止まるかは書かれていません。書かれているのは、Admin API の要求が HTTP 403 を返すことまでです
どのアプリがまだ移行していないかを、店が確かめる方法は書かれていません
IP 許可リストのサーバーレス対応の時期は書かれていません。「coming soon」とだけあります
network_access を書かないアプリが、いつか何か制限を受けるかは書かれていません。公式の言い方は「strongly recommend」までです
移行の手順、client credentials の設定、セキュリティハブなど、本文のリンク先は本記事では読んでいません
🔴 本記事は Dev Dashboard や管理画面を開いて確かめていません。記載が無いことをもって「できる」とも「できない」とも書きません

開発者と店がやること

開発者は、Admin API を呼ぶ公開アプリが、有効期限のあるオフラインアクセストークンに移っているかを確かめ、2027年1月1日より前に移行を終える
開発者は、静的な IP から Shopify を呼んでいるなら、Dev Dashboard で IP 許可リストを設定するかを決める
開発者は、shopify.app.toml の [network_access] に、購入者を送るサイトと、コードが通信する先を書き、shopify app deploy で新しい版を出す
店は、入れている公開アプリの開発者に、オフライントークンの移行が済んでいるかを聞いておく
店は、2027年1月15日以降に管理画面でアプリの警告を見たら、そのアプリの開発者に問い合わせる

🔵 上の手順はキクシル編集部の整理で、公式の記載ではありません。4 と 5 は店向けに足した整理で、一次ソースは店に何かを求めていません。