連携アプリの「アクセス権」と「セキュリティ状況」が 管理画面でまとめて見えるように

図解 ： Shopify 管理画面でアプリのアクセス権とセキュリティ情報を確認できるように Admin / Feature 連携アプリの「アクセス権」と「セキュリティ状況」が 管理画面でまとめて見えるように 設定 ＞ アプリ で、各アプリの最新アクティビティ、注意が必要なセキュリティ問題、機密データを含む可能性がある権限、必須のセキュリティ対策（有効期限付きトークン・IP 制限）に対応しているかを確認できる。 このページの構成 そもそも何が変わるのか（30秒で理解） 画面図解 ： アプリ一覧 → 詳細ページ 確認できる 2 つの必須セキュリティ対策 画面ごとに確認できることの一覧 記事に記載がないこと 確認手順（3ステップ） 技術者が押さえるべき5つのポイント 業務に活かせる3つのユースケース 提案で使える1行サマリ 1 そもそも何が変わるのか Shopify 管理画面の 設定 ＞ アプリ で、ストアに連携しているアプリの情報をこれまでより多く確認できるようになった。 「このアプリは 何にアクセスできて 、 最近何をしていて 、 セキュリティ対策に対応しているか 」を 1 か所で見られる。 最新アクティビティ アプリ一覧に、各アプリの最新のアクティビティが表示される。 セキュリティ問題のハイライト 注意が必要な可能性のあるセキュリティ問題が一覧上で強調表示される。 機密データ権限のラベル 詳細ページで、機密データを含む可能性がある権限にラベルが付く。 2 画面図解 ： アプリ一覧 → 詳細ページ 一覧で「どのアプリに注意が必要か」を掴み、詳細ページで「何にアクセスでき、どんな権限を持ち、どう動いているか」を確認する、という 2 段構えの流れになる。 ※ 図は記事の説明を元にした概念図。実際の画面レイアウトとは異なる。 3 確認できる 2 つの必須セキュリティ対策 アプリ詳細ページでは、アプリが 必須のセキュリティ対策を採用しているか を確認できる。記事で挙げられているのは次の 2 つ。 対策 1 有効期限付きアクセストークン（Expiring access tokens） 期限が切れ、定期的に更新しなければならない認証情報。 トークンが盗まれた場合に悪用できる期間を短くできる。 対策 2 IP 制限の強制（Enforced IP restrictions） Shopify API へのリクエストを制限し、 承認済みの IP アドレスからのみ アプリがストアにアクセスできるようにする。 記事では対策を「including（〜を含む）」として紹介しており、 必須セキュリティ対策がこの 2 つだけかどうかは記載なし 。また、未対応アプリがどう扱われるか（停止・警告のみ等）も記載なし。 4 画面ごとに確認できることの一覧 画面 確認できること 何に役立つか アプリ一覧 表示 各アプリの最新アクティビティ 最近動いているアプリ、動いていないアプリの把握 アプリ一覧 ハイライト 注意が必要な可能性のあるセキュリティ問題 対応が必要なアプリをすぐ見つける アプリ詳細 集約 アクセス・権限・アクティビティを 1 セクションに 1 か所でアプリの影響範囲を確認 アプリ詳細 ラベル 機密データを含む可能性のある権限 注意すべき権限を見分ける アプリ詳細 採用状況 有効期限付きトークン／IP 制限の強制 アプリのセキュリティ水準を確認 5 記事に記載がないこと 記載なし 対象プラン・ロールアウト 利用できるプランや、全ストアへの展開状況は記載なし。 記載なし API／Webhook での取得 同じ情報を API で取得できるかは記載なし。管理画面での確認機能の説明のみ。 記載なし 必要な管理画面の権限 どのスタッフ権限でこの画面を見られるかは記載なし。 詳細は記事からリンクされている Shopify ヘルプセンターの「アプリのアクセス権とセキュリティの確認」ページを参照すること。 6 確認手順（3ステップ） 1 設定 ＞ アプリ を開く Shopify 管理画面の「設定」から「アプリ」へ。 2 一覧でハイライトを確認 最新アクティビティと、強調表示されたセキュリティ問題をチェック。 3 詳細ページを確認 アクセス・権限（機密データラベル）・アクティビティ・セキュリティ対策の採用状況を見る。 確認するだけの機能なので、 新たな設定作業は不要 （記事に有効化の手順は書かれていない）。まずは一覧のハイライトから見るのが近道。 7 技術者が押さえるべき5つのポイント 1. 有効期限付きトークンが「見える評価軸」に トークンの有効期限への対応状況がマーチャントの画面に出る。アプリ開発側は、期限切れ前の更新（リフレッシュ）処理を前提とした実装かどうかが問われる。 2. IP 制限は送信元 IP の管理が前提 承認済み IP からのみ API にアクセスできる仕組みのため、アプリ側のサーバーの送信元 IP を固定・管理できる構成かが関わる。具体的な設定方法は記載なし。 3. 機密データ権限にはラベルが付く 機密データを含む可能性がある権限はマーチャントに明示される。アプリが要求する権限（スコープ）は必要最小限か見直す材料になる。 4. API での取得可否は記載なし 記事は管理画面での確認機能のみ。アプリ監査を自動化したい場合、同じ情報を取得できる API があるかは別途確認が必要。 5. 「最新アクティビティ」で使われていないアプリを見つけやすい 一覧に最新アクティビティが出るので、長く動いていないのにアクセス権を持ち続けているアプリを見つけやすくなる。 アクセス権の棚卸し（不要アプリの削除）の起点 として使える。 8 業務に活かせる3つのユースケース USE CASE 1 定期的な「アプリ棚卸し」の運用化 課題 導入済みアプリが増え、どれが今も使われていて、どのアプリが何にアクセスできるのか把握できていない。 打ち手 月次などで 設定 ＞ アプリ を確認し、最新アクティビティが古いアプリを洗い出して削除を検討する。 効果 不要なアクセス権が残り続ける状態を減らせる。 技術メモ 同じ情報を API で取得できるかは記載なし。当面は管理画面を見る手作業の運用として設計する。 USE CASE 2 新規アプリ導入前のセキュリティチェック 課題 アプリを導入する時、そのアプリがどんな機密データにアクセスできるのか、セキュリティ対策は十分かを判断する材料が乏しい。 打ち手 導入後に詳細ページで機密データラベル付きの権限と、有効期限付きトークン・IP 制限の採用状況を確認し、社内の導入チェック項目に組み込む。 効果 アプリ選定の判断に、Shopify が示すセキュリティ情報を根拠として使える。 技術メモ 未対応アプリの扱い（警告のみか、制限がかかるか）は記載なし。判断ルールは自社で決める必要がある。 USE CASE 3 自社開発アプリ・カスタムアプリを必須対策に対応させる 課題 自社や制作会社が作ったアプリが、マーチャントの管理画面で「セキュリティ対策に未対応」と見えてしまう可能性がある。 打ち手 アプリのトークン運用を有効期限付きに対応させ、API リクエストの送信元 IP を固定して IP 制限に対応できる構成にする。 効果 マーチャントに安心感を与え、問い合わせ・不安の声を減らせる。トークン流出時の被害期間も短くできる。 技術メモ 具体的な実装手順・設定方法は記事に記載なし。Shopify ヘルプセンターや開発者向けドキュメントで要確認。 9 提案で使える1行サマリ 「設定 ＞ アプリ で、連携アプリの 最新アクティビティ・機密データ権限・セキュリティ対策の対応状況 がまとめて見えるようになった。 まずは一覧のハイライトを見て、 使っていないアプリと未対応アプリの棚卸し から始めよう。」 source ： changelog.shopify.com / review-app-access-and-security-information-in-shopify-admin published 2026-11-05