【Shopify最新ニュース2026・開発者向け】Shopify、全アプリ開発者に「今週中」のセキュリティ対策を要請（10月20日の週）

2026年10月21日

開発者向けの変更です。
アプリを作る開発者・制作会社と、アプリを入れている店に関わる話です。

Shopify が、すべてのアプリ開発者に10月20日の週のうちの対応を求めています

Shopify は2026年10月20日、すべてのアプリ開発者に、その週のうち（10月20日の週）にセキュリティの対策を取るよう求めました。

掲載は2026年10月20日、Shopify の developer changelog です。
フラグは「Update」と「Action required」。

出典: Shopify developer changelog「Securing your app, together」2026年10月20日
https://shopify.dev/changelog/blog/securing-your-app-together

冒頭の要約は、次のとおりです。

Act now to secure your app: We’re asking every app dev to act this week. We have new tools to help, including AI security scans, expiring tokens, and better log filtering.
（今すぐアプリを守ってください。すべてのアプリ開発者に、今週中の対応をお願いしています。手助けになる新しい道具として、AI によるセキュリティスキャン、有効期限のあるトークン、より良いログの絞り込みを用意しました）

Shopify は、アプリのエコシステム全体で攻撃が増えていると書いています

Shopify は、店がアプリを入れるのは信頼しているからだ、と書いています。

Merchants install your app because they trust it, and because they trust the Shopify App Store. There are bad actors out there who are motivated to exploit that trust.
（店があなたのアプリを入れるのは、アプリを信頼し、Shopify App Store を信頼しているからです。その信頼につけ込もうとする悪意を持つ者がいます）

Alongside the rest of the industry, we are seeing the number of attacks increasing across the app ecosystem as AI gets better at finding vulnerabilities.
（業界のほかと同じく、AI が脆弱性を見つけるのがうまくなるにつれて、アプリのエコシステム全体で攻撃の数が増えているのを確認しています）

攻撃の件数や、どのアプリが狙われたかは書かれていません。

Security is the most important thing you can work on right now.
（セキュリティは、いま取り組めるいちばん大事なことです）

開発者に求めている対策は8つです

We’re asking every app developer to act on the steps below this week.
（すべてのアプリ開発者に、以下の手順に今週中に取り組むようお願いしています）

公式が挙げる対策を、順に並べます。

新しいセキュリティチェックで、アプリを調べる
有効期限のあるアクセストークンに移る
脆弱性スキャナーで、すべてのエンドポイントを確かめる
表示するデータは、すべて信頼しない前提で扱う
Dev Dashboard で、API 要求に怪しい動きが無いか見る
アプリに触れるすべてのアカウントを守る
緊急時の連絡先を最新にしておく
Shopify Dev Docs のセキュリティのベストプラクティスを見直す

AI Toolkit で、Shopify に特有の脆弱性を調べられます

1つめは、AI Toolkit を使う新しいセキュリティチェックです。

Scan your app with our new security check. A single prompt with AI Toolkit checks for Shopify-specific vulnerabilities, such as unauthenticated routes, cross-shop data access and unverified webhooks.
（新しいセキュリティチェックでアプリを調べてください。AI Toolkit への1回のプロンプトで、認証の無いルート、店をまたいだデータへのアクセス、検証していない Webhook といった、Shopify に特有の脆弱性を調べます）

認証の無いルート
店をまたいだデータへのアクセス
検証していない Webhook

公式は、早期アクセスの結果にも触れています。

In early access, most partners found something they didn’t know about.
（早期アクセスでは、ほとんどのパートナーが、知らなかった何かを見つけました）

有効期限のあるアクセストークンが、まもなくすべての公開アプリで必須になります

2つめは、アクセストークンの切り替え。

Move to expiring access tokens. Short-lived tokens limit the damage if a token leaks. This will soon be required for all public apps, so start your migration now.
（有効期限のあるアクセストークンに移ってください。寿命の短いトークンは、漏れたときの被害を抑えます。まもなく、すべての公開アプリで必須になるので、いま移行を始めてください）

必須になる日付は、書かれていません。
公式の言い方は「soon」＝まもなく、までです。

表示するデータは、どこから来ても信頼しない前提で扱います

3つめと4つめは、アプリの作りの話。

Use vulnerability scanners to ensure all endpoints of your app are secured.
（脆弱性スキャナーを使い、アプリのすべてのエンドポイントが守られているか確かめてください）

Treat all rendered data, whether pulled from metafields or your own servers, as untrusted, ensuring inputs are thoroughly escaped and sanitized.
（メタフィールドから取ったものでも自分のサーバーから取ったものでも、表示するデータはすべて信頼できないものとして扱い、入力を確実にエスケープ・無害化してください）

メタフィールドから取ったデータも、対象に入っています。

Dev Dashboard のログを、接続元の IP で絞り込めます

5つめは、Dev Dashboard で API 要求を見ることです。

Check your Dev Dashboard to look at your API requests and ensure you do not see any suspicious activity. To get started, filter your logs by client IP to look at traffic patterns and find suspicious sources.
（Dev Dashboard で API 要求を見て、怪しい動きが無いか確かめてください。まずは、ログを接続元の IP で絞り込み、通信の傾向を見て、怪しい送り元を探します）

アプリに触れるアカウントを守り、5つで2段階認証を有効にします

6つめと7つめは、アカウントと連絡先。

Protect every account that touches your app. Turn on two-step authentication for your Partner account, hosting, CDN, code repositories and email. Remove access for anyone who no longer needs it.
（アプリに触れるすべてのアカウントを守ってください。Partner アカウント、ホスティング、CDN、コードのリポジトリ、メールで2段階認証を有効にしてください。もう要らない人のアクセスは外してください）

Partner アカウント
ホスティング
CDN
コードのリポジトリ
メール

Keep your emergency contact current. Make sure your emergency developer email in the Partner Dashboard reaches someone who can act quickly.
（緊急時の連絡先を最新にしておいてください。Partner Dashboard の緊急時の開発者メールが、すぐ動ける人に届くようにしてください）

Shopify の側も、制限を強めると書いています

Shopify が自分で進めることも、3つ挙げています。

We’re tightening the boundaries for storefront app code, adding IP address restrictions so your keys only work from your servers, and raising App Store security requirements.
（ストアフロントで動くアプリのコードの境界を狭め、キーが自分のサーバーからだけ使えるよう IP アドレスの制限を足し、App Store のセキュリティの要件を引き上げます）

ストアフロントで動くアプリのコードの境界を狭める
キーが開発者のサーバーからだけ使えるよう、IP アドレスの制限を足す
App Store のセキュリティの要件を引き上げる

We’ll share details and timelines with you before any change takes effect, so you have time to prepare.
（どの変更も、効力を持つ前に詳細と日程を伝え、準備の時間を取れるようにします）

3つとも、この1本には詳細と日程が書かれていません。

問題があれば、店に知らせるのは開発者の責任です

セキュリティの問題が疑われるときの連絡先も、書かれています。

If you ever suspect a security issue with your app, notify us immediately at [email protected]. You are accountable to fix the problem and notify affected merchants, and we’ll support you through it.
（アプリにセキュリティの問題があると疑ったら、すぐに [email protected] に知らせてください。問題を直し、影響を受けた店に知らせる責任は、あなたにあります。私たちはその間、支えます）