Shopify、アプリ向けセキュリティ更新を発表　期限付きオフライントークンは2027年1月必須

2026年10月28日 9:322026年10月28日 9:36

Shopifyは2026年10月27日、アプリ開発者向けのセキュリティ更新を公式changelogで発表した。公開アプリの期限付きオフラインアクセストークンへの移行期限（2027年1月1日）と、未移行時の段階的な強制スケジュールに加え、クライアント資格情報での復旧、Admin APIのIP許可リスト、設定ファイルでのネットワーク宣言、開発／譲渡ストアでの本人確認、app security hubなどをまとめて案内している。

要点（3行）

Admin APIを呼ぶ公開アプリは、2027年1月1日までに期限付きオフラインアクセストークンへ移行（Shopify公式、2026年10月27日）
未移行時は、App Store掲載停止・新規インストール不可（1/1）→管理画面に警告（1/15）→非期限付きトークンでのAdmin APIはHTTP 403（4/1）と段階的に強制
同週の新機能として、クライアント資格情報での復旧、Admin APIのIP許可リスト、[network_access]宣言、開発／譲渡ストアでの本人確認、app security hub／shopify app security checkを案内

何が発表されたか

一次情報はShopify Developersのchangelogブログ「Security update: Offline token dates, new security features」（2026年10月27日）だ。公式は10月20日にアプリ開発者へセキュリティ強化を呼びかけたうえで、強制が始まる前に詳細を共有するとしていた。今回はその続報として、オフライントークンの強制スケジュールと、同週にロールアウトしたセキュリティ機能を整理している。

対象はアプリ開発・公開アプリ側の話が中心で、ストア運営の日常操作そのものではない。公式は、カスタムアプリ、店舗が作成したアプリ、オンラインアクセストークンはオフライントークン移行の対象外と明記している。

オフライントークン移行の期限（公式）

日付	内容（公式）
2027年1月1日	移行期限。未移行の公開アプリはShopify App Storeから掲載停止され、新規インストールも不可。既存インストールは動作を継続
2027年1月15日	当該アプリを使うマーチャントのShopify管理画面に警告が表示
2027年4月1日	期限なしオフラインアクセストークンによるAdmin APIリクエストはHTTP `403`

公式は「1月1日が移行期限であり、その後の日付を追加の移行猶予として扱わないこと」としている。後段の日付は、マーチャント側の準備時間を確保するためのものだ。

同週に案内された新機能

クライアント資格情報での復旧：リフレッシュトークンを失っても、アプリの秘密鍵で署名したリクエストにより、バックエンドが新しいアクセストークンを取得できる（マーチャントがアプリを開き直すのを待たなくてよい）
Admin APIのIP許可リスト：自社サーバーのIPを登録し、それ以外からのAdmin APIリクエストを拒否（有効なトークンがあっても拒否）
shopify.app.toml の [network_access]：アプリが読み込み／送信するサーバーや、顧客を送る外部サイトを宣言。未宣言のリクエスト検知や、許可したリンクでの警告スキップに使う、と公式
本人確認：開発ストアおよびクライアント譲渡ストアへのアプリインストール前に、身元確認を実施
app security hub：各セキュリティ実践を開発ドキュメントの専用ページに整理。エージェント向けにもチェック可能で、リリース前に shopify app security check の実行を推奨

実務担当者・マーケター向けの読みどころ

自社や発注先がShopify App Store公開アプリを開発・運用している場合、2027年1月1日までの期限付きオフライントークン移行が必須スケジュールになる
ストア側としては、利用中の公開アプリが未対応のまま残ると、掲載停止・新規導入不可や、管理画面の警告、最終的なAPI拒否につながる可能性がある。導入・継続判断では開発側の対応状況確認が実務的
カスタムアプリや店舗作成アプリ、オンラインアクセストークンは今回のオフライントークン移行の対象外（公式）。まず「公開アプリか／トークン種別は何か」を切り分ける
セキュリティハブと shopify app security check は、リリース前チェックやエージェント支援の開発フロー向け。ストアの日次オペレーション変更ではない