Shopify(ショッピファイ)アプリの権限は、管理画面の「設定→アプリ→対象アプリの詳細」で確認できます。2026年11月5日の表示改善により、最近の動作や機密データに関わる権限に加え、開発元が取り入れているセキュリティ対策も確認しやすくなりました。
ただし、新しい表示はアプリの総合的な安全評価ではありません。
「未設定」「不明」が出たときは表示の意味を読み、利用目的と開発元の対応状況を確かめてから、継続利用や見直しを判断します。
要点確認するのは、権限・動作・対策の三つ
アプリがどこまで触れるかを権限で、最近何をしたかをアクティビティで確認し、セキュリティ欄では開発元の対策を読みます。どれか一つだけで削除を決めず、業務への影響も合わせて確かめてください。
Shopifyアプリの権限は「設定→アプリ」で確認する
Shopifyの「設定→アプリ」でアプリ名をクリックすると、権限やプライバシーを確認する詳細ページが開きます。アプリの機能を使う画面を開く操作とは別なので、普段の作業画面に進んでしまった場合は、いったん設定の一覧へ戻りましょう。
11月5日の変更で確認しやすくなったこと
今回の変更では、アプリ一覧に最近のアクティビティや注意を要するセキュリティ情報が示され、詳細ページではアクセス先・権限・動作をまとめて確認できます。
機密データを含む可能性がある権限にはラベルが付き、顧客情報や財務データに触れるかを読み取る手がかりです。
出典:Shopify Changelog「Review app access and security information in Shopify admin」(英語)
管理画面で権限を開く手順
確認するときは、次の順番で権限・プライバシー・セキュリティを見ます。
2026年11月7日時点の公式ヘルプでは、ストアによって「アクティビティと許可」または「アクセスと許可」という名称が使われるため、自分の画面にある方を開けば構いません。
- 管理画面で「設定→アプリ」を開く。
- 確認したいアプリ名をクリックする。
- 「アクティビティと許可」または「アクセスと許可」で、対象領域と表示・編集の範囲を見る。
- 「プライバシー」で個人データの種類を確認し、「セキュリティ」で対策と状態を見る。
スマホのShopifyアプリでは、メニューから設定を開き、「ストア設定→アプリ」へ進みます。詳細が見つからない場合はPCでも確認し、表示がないという理由だけで未対応とは判断しないようにしてください。
Shopifyアプリのアクセス権限と最近の動作を読む
Shopifyアプリのアクセス権限から分かるのは、そのアプリがストアのどのデータを表示・編集できるかです。
たとえば注文や商品に関する権限を確認するときは、何の業務のために、そのデータへアクセスするのかと結び付けて読むと判断しやすくなります。
「表示」と「編集」を分けて確認する
表示はデータを読む操作、編集はデータを変更する操作に関わるため、同じ領域でも確認する意味が異なります。
領域名にカーソルを合わせると具体的な説明を確認できるので、アプリ名だけで役割を決め付けず、許可されている範囲まで見てください。
この確認では、顧客データへのアクセスが配送や注文対応など利用する機能に必要な場合もあると押さえておきましょう。
一方、用途との関係を説明できない権限があれば、必要な理由を開発元へ確認するまで、追加の承認を急がない進め方が考えられます。
個人情報の範囲を確かめるには、「プライバシー」のカテゴリーを展開し、開発元のプライバシーポリシーも確認します。機密情報のラベルを見つけたら、扱うデータと利用目的の両方を社内で説明できる状態にしておきましょう。
過去30日間の表示だけで不要と決めない
最近のアクティビティの日付からは、過去30日間の表示・編集リクエスト数などを確認できます。
ただし、「過去30日間はなし」は、その間にリクエストがなかった場合に加え、動作の情報を読み込めなかった場合も含む表示です。
この表示だけでは、季節のキャンペーンや月次業務で使うアプリまで不要とは決まりません。
利用目的と担当者を確かめ、在庫連携ならShopifyの標準機能と在庫管理アプリの使い分けも踏まえて、外した後に誰が同じ業務を担うかまで決めます。
注意動作の記録は、削除してよいという判定ではない
最近使われていない権限を見つけても、アプリの目的や稼働する時期を先に確認します。すべての権限を運営者が個別に解除できるとは限らないため、変更できる範囲も開発元へ問い合わせてください。
Shopifyアプリの新しいセキュリティ表示の見方
Shopifyアプリの詳細にある「セキュリティ」は、開発元が特定の対策を設定しているかを確認する欄です。代表的な項目は「有効期限付きアクセストークン」と「IP制限の適用」で、どちらもアプリがストアへアクセスする仕組みに関わります。
有効期限付きトークンとIP制限は何を守る？
アクセストークンは、アプリがストアのデータにアクセスするときに使う認証用の情報です。
有効期限を設けて定期的に更新すると、盗まれたトークンを使える期間を短くする対策になります。
これに対してIP制限は、アプリからストアへのAdmin APIリクエスト、つまりデータの取得・変更の要求を、承認したサーバーからだけ受け付ける仕組みです。
運営者のPCや自宅回線を登録する設定とは異なるので、自分のIPアドレスを変更して対処する必要はありません。
使える期間を絞る
有効期限付きトークンは、盗まれた認証情報を長く使い続けられる事態を抑える対策。
送信元を絞る
IP制限は、アプリのAPI要求を承認したサーバーからだけ受け付ける対策。
状態ごとに確認する内容
| 状態 | 基本的な意味 | 次にすること |
|---|---|---|
| 設定済み | 対策を設定済み | 権限の必要性も確認 |
| 未設定 | 対策を未設定 | 実施予定を照会 |
| 不明 | 読込不能等 | 再確認・開発元へ照会 |
「不明」は情報を読み込めなかった場合や、開発元が設定した対策が自分のストアでは有効になっていない場合などに表示されます。
不明という表示だけで、不正アクセスや情報漏えいが起きたとは分かりません。
逆に「設定済み」でも、アプリ全体の安全性が保証されるわけではありません。対策の設定状況を確認したうえで、権限が用途に合っているかや開発元のデータ管理方針も合わせて読みます。
セキュリティ欄や項目が出ない場合
Shopifyが開発したアプリにはセキュリティ欄がなく、該当しないチェック項目も表示されません。
また、情報を読み込めない場合などは「このアプリのセキュリティ情報はまだありません」と表示されるため、欄や項目の有無だけを比べると誤解につながります。
スタッフがこのチェックを見るには、「アプリとチャネルの管理およびインストール」の権限が必要です。見えない場合は権限を持つ担当者に確認を頼み、確認のためだけに全員へ広い管理権限を配らないようにしましょう。
ここで必要になるスタッフの権限は、人が管理画面で何をできるかを決めるものです。アプリ自身のデータアクセスとは分けて扱い、人の追加や利用停止はShopifyのスタッフ追加・停止の手順に沿って見直します。
未設定・不明の表示があれば開発元へ確認する
Shopifyアプリに未設定の対策があれば、実施予定とストア側に必要な操作を開発元へ確認します。対策の実装はアプリ側の仕事になるため、運営者が管理画面のどこかを切り替えれば解決すると決め付けない方がよいでしょう。
表示内容と利用業務をセットで伝える
問い合わせには、アプリ名・表示された項目と状態・確認日時・依存している業務を添えます。「安全ですか」だけを聞くより、何をいつまでに対応し、自社は何をすればよいかを具体的に聞くと、次の対応を判断しやすいでしょう。
文例開発元への確認文
現在、貴社アプリを注文処理に利用しています。管理画面のセキュリティ欄で「IP制限の適用」が「未設定」と表示されました。
対応の予定日、現在の利用への影響、当ストアで必要な操作を教えていただけますか。別の方法へ切り替える必要がある場合は、移行手順と保存すべきデータもご案内ください。
この文例の業務名・項目・状態は、自分の画面と運用に合わせて置き換えます。スクリーンショットを送るときは、顧客名・住所などを隠し、パスワードやトークンを貼り付けないようにしてください。
ストア側で確かめる
開発元に確かめる
回答を受けたら、継続利用・対応を待つ・代替へ移すのどれにするかを業務担当者と決めてください。不明の表示が続く場合も、回答内容と再確認する日を記録し、確認を頼んだまま放置しない運用にすると追いやすくなります。
制作会社などへ確認を任せる場合は、誰が開発元へ問い合わせ、誰が結果を判断するかまで決めておきます。役割が曖昧なら、Shopify保守で依頼する作業と契約範囲を見直す際に、アプリの点検も含まれるかを確かめてください。
Shopifyアプリを削除する前に業務への影響を確かめる
Shopifyアプリを外すと、そのアプリに依存する自動化や外部連携が動かなくなる場合があります。セキュリティ表示が気になったときも、出荷や在庫更新を担うアプリを、代わりの手順なしに消さないようにしましょう。
保存・引き継ぎ・契約を確認してから削除する
削除の前には、止まる機能と保存しておくデータを確認します。アプリによっては再インストールしても設定やデータが戻らず、テーマに追加したコードが自動では消えない場合もあるため、開発元の案内に沿って準備してください。
- 出荷・在庫・定期購入など、止まると困る業務の担当者へ確認した。
- 必要なデータを書き出し、設定の引き継ぎ方法を確認した。
- テーマに残るコードや連携先を、誰が処理するか決めた。
- Shopify外の請求があれば、別途解約が必要か確かめた。
この準備で見落としたくないのが外部サービスの請求で、Shopifyからアプリを削除してもキャンセルされません。アプリ内や開発元の契約も確認し、データの保存と業務の切り替えが済んでから削除を進めます。
出典:Shopifyヘルプセンター「アプリのアンインストール」
広告計測に関わるアプリを見直す場合は、どの注文情報をどこへ送っているかも先に確認します。計測の移し替えが必要なら、Shopifyの広告タグ・アクセス解析の移行で確認する項目を手がかりに、計測が止まる箇所や重複する箇所を洗い出してください。
新しく入れるときも、必要な権限を見てから進む
新しいアプリは、インストール時にアクセスする個人データと、表示・編集するストア領域が示されます。すでに使っているアプリの点検と同じ考え方で、使いたい機能に対して必要な権限かを見てから承認しましょう。
出典:Shopifyヘルプセンター「アプリをインストールして設定する」
導入後も、アプリ名・利用目的・担当者・確認日・開発元の回答を一緒に残しておくと、担当者が変わっても判断を引き継げます。次の点検日も記録し、「誰が、何のために残すと決めたか」が分かる形にしておきましょう。
アプリの権限とセキュリティでよくある質問
QShopifyアプリの権限はどこで確認できますか？
AShopifyアプリの権限は、管理画面の「設定→アプリ」で対象アプリ名をクリックし、「アクティビティと許可」または「アクセスと許可」で確認できます。個人データの種類は「プライバシー」も確認してください。
Qアプリの権限とスタッフの権限は同じですか？
Aアプリの権限はアプリが触れるデータや操作の範囲、スタッフの権限は人が管理画面でできる操作の範囲です。スタッフの権限変更と、アプリのデータアクセスの見直しは分けて行います。
Qセキュリティが未設定なら、すぐ削除すべきですか？
A未設定の対策があるアプリは、開発元へ対応予定とストア側に必要な操作を確認してください。業務を支えるアプリを削除する場合は、影響と移行手順を確かめてから進めます。
Qセキュリティ欄の「不明」は危険という意味ですか？
A「不明」は、情報の読込不能や、設定された対策がそのストアで有効になっていない場合などに表示されます。「不明」という状態だけで、不正アクセスや情報漏えいが起きたとは判断できません。
QIP制限のために、自社のPCのIPを登録しますか？
Aアプリの「IP制限の適用」は、アプリからストアへのAdmin APIリクエストの送信元を制限する対策です。運営者のPCの接続元を登録するという意味ではありません。
Q過去30日間の動作がなければ不要なアプリですか？
A過去30日間の表示は、その期間のリクエストがない場合や情報の読込不能を含むため、不要という判定には使えません。季節的な用途や依存する業務も担当者へ確認してください。
Qアプリにセキュリティ欄がないときはどうしますか？
AShopifyが開発したアプリにはセキュリティ欄がありません。外部アプリでは対象外の項目や情報の読込状態も関係するため、必要なスタッフ権限を持つ担当者に確認を頼み、解消しなければ開発元へ照会します。
Shopifyアプリの権限は止まると困るものから確かめる
まずは、注文処理や在庫連携など止まると困るアプリを一つ選び、権限・最近の動作・セキュリティ表示を一緒に見てください。用途を説明できない権限や未設定の対策があれば、削除より先に開発元へ確認するところから始めましょう。
確認するアプリが多く手を付ける範囲に迷う場合は、弊社でも予算と見直したい範囲に合わせて進め方を検討できますので、予算が決まる前でも現在の連携と困っている業務からご相談いただけます。
