Shopifyのセキュリティは安全？守る範囲とお店に残る対策
#Shopify#セキュリティ#Shopify構築
書いた人 大島慎平
この記事には広告（PR）を含みます。
Shopifyのセキュリティの土台は、Shopifyが担っています。サーバーの運用とアップデートはShopifyが行い、すべてのストアがデフォルトでクレジットカード業界の基準PCI DSSに準拠し、通信を暗号化するSSL証明書も無料で自動発行されます。一方で、管理画面にログインする人の2段階認証と権限、入れるアプリの見直し、3Dセキュアの設定は、お店の側に残ります。日本ではカード取引のガイドラインが、ネットショップにEMV 3-Dセキュアと不正ログイン対策を求めているので、ここもお店が確かめる所です。
弊社はShopifyアプリ「まるっとシリーズ」を開発し、Shopifyの構築も請け負っているので、Shopifyを勧める立場にあります。そのうえで、この記事にはShopifyと経済産業省が公開している情報で確かめられることだけを書きます。
Shopifyのセキュリティは、どこまでShopifyが守ってくれる？
ストアが動くサーバーと、その上のソフトウェア、決済の基盤はShopifyの担当です。Shopifyが公開している情報で確かめられるのは、次の6つです。
出典：Shopifyヘルプセンター「Shopifyストアへの安全な接続を有効にする」
出典：Shopifyヘルプセンター「2段階認証でアカウントを保護する」
- PCI DSS
クレジットカードの情報を安全に扱うための、カード業界の国際的なセキュリティ基準です。安全なネットワークの維持、カード会員データの保護、脆弱性の管理、アクセスの制御、ネットワークの監視とテスト、情報セキュリティの方針という6つの分野を定めています。
Shopifyと自社サーバーのECサイトは、セキュリティの何が違う？
いちばん大きな違いは、サーバーの更新を誰がするかです。2026年10月には、PHPに認証なしで外からプログラムを動かされるおそれのある脆弱性が2つ見つかり、PHPは修正版を出してすべての利用者にすぐ更新するよう呼びかけました。PHPで動くサイトを自社のサーバーで運用していれば、その日のうちに版を確かめて上げる必要があります。Shopifyのストアには、お店の側でサーバーを更新する場面がありません。
出典：PHP「Security advisory: Critical remote code execution vulnerabilities, update now」
PHPの脆弱性への弊社サービスの対応は、PHPの脆弱性とeMudhra証明書の問題、弊社サービスへの影響と対応について にまとめています。
Shopifyで、お店の側に残るセキュリティ対策は？
Shopifyの利用規約は、パスワードの安全を確保する責任を利用者に置いています。アプリなどの外部サービスも、利用は利用者の責任と判断によるもので、Shopifyは責任を負わないとしています。つまり、管理画面に誰がどの権限で入れるか、どのアプリにデータを渡すかは、お店が決めて守る所です。
| 項目 | 担当 |
|---|---|
| サーバーとソフトウェアの更新 | Shopify |
| 決済の基盤のPCI DSSへの準拠 | Shopify |
| SSL証明書の発行 | Shopify |
| 管理画面のパスワードと2段階認証 | お店 |
| スタッフと制作会社の権限 | お店 |
| 入れるアプリの選択と見直し | お店 |
| 3Dセキュアなど不正注文対策の設定 | お店 |
出典：Shopify「Shopify利用規約」（最終更新日：2026年10月20日）
2段階認証は、ログインする全員が設定している？
Shopifyペイメントで決済を受けるには、アカウントの2段階認証が必須です。気をつけたいのは、ストアのオーナーがほかのスタッフの2段階認証を代わりに有効にできないことです。組織の全員に安全なログイン方法を義務づけられるのは、Shopify Plusのストアだけです。Plus以外のストアでは、スタッフ一人ひとりが自分で設定したかを確かめるしかありません。なお、SMSは新しく2段階認証の方法として設定できなくなっているので、認証アプリやパスキー、セキュリティキーを使います。
出典：Shopifyヘルプセンター「2段階認証でアカウントを保護する」
ログイン情報を、スタッフや制作会社と共有していない？
BasicとStarterのプランでは、追加できるスタッフアカウントは0人です。スタッフを追加する機能はGrowプラン以上で使え、上限はGrowが5人、Advancedが15人、Shopify Plusは無制限です。スタッフが増えたからといって、オーナーのログイン情報を共有してはいけません。Shopifyは、ログイン情報を誰とも共有しないよう求めています。
制作会社や外部の開発者に作業を頼むときは、コラボレーターアカウントを使います。コラボレーターはユーザー数の上限に数えられないので、Basicのストアでも使えます。パートナーからアクセスのリクエストが届くと、パートナーアカウントの登録年月や、リクエストを送った国が表示されることがあります。VPNなどを通した送信なら、国名のあとに「VPN の可能性あり」と出ます。頼んだ覚えのない相手や、聞いていた所在地と合わない相手のリクエストは承認しないでください。
- コラボレーターアカウント
ストアへのアクセスを許可したShopifyパートナー（制作会社や開発者）のためのアカウントです。お店が許可を選んで役割を渡し、いつでも外せます。
コラボレーターアカウントで守られること
- パートナーの側にも2段階認証が必須2段階認証が有効でないコラボレーターは、ストアにログインできません。
- 渡す権限をお店が選べる作業に要る許可だけを含む役割を作って割り当てます。
- 使わなくなったら自動で止まる90日ログインしなかったコラボレーターのアクセス権は、自動で失効します。
- ストアの所有権は渡らないストアの所有権をコラボレーターに譲ることはできません。
出典：Shopifyヘルプセンター「各料金プランの最大ユーザー数」
出典：Shopifyヘルプセンター「コラボレーターアカウント」
出典：Shopifyヘルプセンター「アカウントのセキュリティに関するベストプラクティス」
スタッフの役割と許可の決め方は Shopifyのスタッフ管理・権限設定 に、制作会社を選ぶときに確かめることは Shopify制作会社の選び方 にまとめています。
入れたアプリは、何にアクセスできる？
アプリを入れる前に、Shopifyはそのアプリが求めるアクセスを画面に出します。お客様などの個人データを見るか、商品・注文・ディスカウントなどのストアのデータを見たり編集したりするかが分かり、開発元のプライバシーポリシーへのリンクもあります。入れたあとは、管理画面の「設定」>「アプリ」で、アプリごとの「アクティビティと許可」を確かめられます。過去30日間に使われていない許可は「未使用のアクセス」に表示されるので、見直しの目安になります。使っていないアプリは削除しておきましょう。
出典：Shopifyヘルプセンター「アプリをインストールして設定する」
3Dセキュアは、オンになっている？
3Dセキュアは、オンラインのカード決済で、お客様がカードを発行した銀行で本人確認をする仕組みです。Shopifyペイメントでは、管理画面の「設定」>「決済」で、Shopifyペイメントの「不正注文防止」にある3Dセキュアをオンにできます。Shopifyは、3Dセキュアを有効にすると、注文に対して不正なチャージバックを申請できなくなると説明しています。Shopifyペイメントを使っていない場合は、3Dセキュアに対応した外部の決済サービスを選びます。
出典：Shopifyヘルプセンター「Shopify ペイメントを設定する」
日本のクレジットカード・セキュリティガイドラインには、どう対応する？
- クレジットカード・セキュリティガイドライン
クレジットカード会社、加盟店、決済代行会社などが行うべき、カード情報の漏えいと不正利用を防ぐ対策をまとめたものです。クレジット取引セキュリティ対策協議会がつくり、経済産業省の割賦販売法の監督の基本指針で、法律のセキュリティ対策義務の「実務上の指針」と位置づけられています。
ネットショップ（EC加盟店）にかかわる改訂は、次の順に進んできました。
- 2024年3月14日
5.0版に改訂
2025年4月以降、すべてのEC加盟店に「セキュリティ・チェックリスト」に書かれた脆弱性対策などを求めることと、2025年3月末までに原則すべてのEC加盟店でEMV 3-Dセキュアを入れることが決まりました。
- 2025年3月4日
6.0版に改訂
EC加盟店は、これまでの対策に加えてシステムやWebサイトの脆弱性対策を行い、EMV 3-Dセキュアと適切な不正ログイン対策（Webサイトにログインするときの本人認証など）を行うことになりました。
- 2025年3月末
EMV 3-Dセキュアの導入の期限
原則すべてのEC加盟店が対象です。
- 2025年4月以降
セキュリティ・チェックリストの対策
すべてのEC加盟店に、チェックリストに書かれた脆弱性対策などの実施が求められています。
出典：経済産業省「クレジットカード・セキュリティガイドライン」が改訂されました（2024年3月15日）
出典：経済産業省「クレジットカード・セキュリティガイドライン」が改訂されました（2025年3月5日）
Shopifyのストアでは、サーバーやソフトウェアの更新はShopifyが行います。お店の側で確かめるのは、3Dセキュアがオンになっているか、管理画面にログインする全員が2段階認証を使っているか、権限が作業に見合っているか、入れたアプリに不要なアクセスがないか、です。決済会社からチェックリストへの回答を求められたら、項目ごとにShopifyが担う所とお店が担う所を分けて確かめ、分からない項目は決済会社に問い合わせてください。
ストアの会員ログインの、不正ログイン対策は？
ガイドラインの6.0版がいう不正ログイン対策は、Webサイトにログインするときの本人認証などの対策です。Shopifyのお客様アカウントは、サインインリンクを有効にすると、パスワードを使わずにログインする形になります。お客様がメールアドレスを入力すると、1回限りの6桁の認証コードが届き、そのコードでログインします。ほかのサイトから漏れたパスワードを試す攻撃は、そもそもパスワードがなければ成り立ちません。Shop Payを有効にしていれば、Shopの資格情報と保存したパスキーでのログインも選べます。Shopify Plusなら、自社のIDの仕組みにつなぐこともできます。
ガイドラインの本文は、クレジット取引セキュリティ対策協議会の事務局（日本クレジット協会）が公開しています。2026年10月26日時点で同協会のサイトがメンテナンス中で本文を確かめられなかったため、この節は経済産業省の発表に書かれている範囲にとどめています。
アカウントが乗っ取られたら、何をすればいい？
Shopifyのヘルプは、アカウントがハッキングされたと思ったら、ただちにShopifyサポートに連絡するよう案内しています。そのうえで、できる範囲で次の順に進めます。
- 1
Shopifyサポートに連絡する
ハッキングや不正アクセスを受けたと思ったら、まず連絡します。 - 2
メールとShopifyのパスワードを変える
Shopifyへのログインに使うメールアカウントのパスワードを先に変え、次にShopifyのパスワードを変えます。 - 3
2段階認証を設定し直す
有効にしていなければ有効にします。端末を盗まれて突破された場合は、その端末の認証方法を削除して、別の端末で設定し直します。 - 4
お金の流れを確かめる
金融アカウントと銀行口座の情報に、身に覚えのない変更がないかを見ます。 - 5
ストアの中を確かめる
スタッフとコラボレーターの権限、アクティビティログ、ストアの設定、ファイル、アプリとカスタムアプリ、ディスカウント、注文に、身に覚えのないものがないかを見ます。
出典：Shopifyヘルプセンター「アカウントのセキュリティに関するベストプラクティス」
Shopifyアプリを選ぶときは、何を見ればいい？
2026年10月20日、Shopifyはアプリ開発者に向けて、AIで脆弱性が見つけやすくなり、アプリを狙う攻撃が増えていると書き、8つの安全対策を今週中に行うよう求めました。お客様の名前・住所・電話番号・メールアドレスを扱うアプリには、もともと、バックアップの暗号化、スタッフのアクセスの制限、アクセスの記録、事故が起きたときの対応方針などの要件があります。
アプリを選ぶときは、次の点を見てください。
- 求めるアクセスが、アプリの機能に見合っているか
- 開発元が誰で、どこに問い合わせればよいかが分かるか
- プライバシーポリシーがあり、データの扱いが書かれているか
アプリの開発元として付け加えると、Shopifyが求めた対策のうち、お店から見て効き目が大きいのは期限つきのアクセストークンです。アプリがストアのデータを読むための鍵が短い時間で切れるので、万一その鍵が漏れても、使える時間が限られます。メタフィールドなどのデータを画面に出す前に必ずエスケープすることも、ストアのページに不正なスクリプトを埋め込まれないための基本です。どちらもお店の側からは見えない所なので、気になるアプリがあれば、開発元に対応を問い合わせてみてください。
弊社のアプリ4本（まるっと予約・まるっと検索・まるっと請求書・まるっと売上ランキング）は、Shopifyが求めた8つの安全対策をすべて実施しています。お店専用のアプリをつくる場合の考え方は、Shopifyのカスタムアプリ開発はいつ必要？ にまとめています。
出典：Shopify Developer Community「Securing your app, together」
出典：Shopify Dev Docs「Protected customer data」
よくある質問
サーバーの運用と更新、決済の基盤、SSL証明書はShopifyが担っていて、すべてのストアがデフォルトでPCI DSSに準拠します。自社でサーバーを持つECサイトと比べると、お店がやることはずっと少なくなります。ただし、管理画面のアカウントの2段階認証と権限、入れるアプリ、3Dセキュアの設定はお店の側に残ります。
組織の全員に安全なログイン方法を義務づけられるのは、Shopify Plusのストアだけです。Plus以外では、オーナーがほかのスタッフの2段階認証を有効にすることはできないので、スタッフ一人ひとりに設定してもらいます。Shopifyペイメントで決済を受けるには、アカウントの2段階認証が必須です。
渡さないでください。Shopifyはログイン情報を誰とも共有しないよう求めています。制作会社にはコラボレーターアカウントで、作業に要る権限だけを渡します。コラボレーターはユーザー数の上限に数えられないので、Basicのストアでも使えます。
使えません。Shopifyでは外部サービスのSSL証明書は使えず、Shopifyに追加したすべてのドメインに、Shopifyが無料で証明書を発行します。
Shopifyペイメントでは、管理画面の「設定」>「決済」にある「不正注文防止」で3Dセキュアをオンにできます。日本のガイドラインは、原則すべてのEC加盟店にEMV 3-Dセキュアの導入を求めているので、オンになっているかを確かめてください。ほかの決済サービスを使っている場合は、その会社に対応を確かめます。
できます。弊社の構築・伴走支援では、新規構築や移行のときに、スタッフの2段階認証と権限、入れるアプリの見直しも一緒に確かめます。初回のご相談は30分無料です。
まとめ
- サーバーの運用と更新、決済の基盤、SSL証明書はShopifyが担い、すべてのストアがデフォルトでPCI DSSに準拠する
- お店に残るのは、管理画面にログインする全員の2段階認証と権限、入れるアプリの見直し、3Dセキュアの設定
- 2段階認証をスタッフ全員に義務づけられるのはPlusだけ。ほかのプランでは一人ひとりの設定を確かめる
- 制作会社にはログイン情報を渡さず、コラボレーターアカウントで必要な権限だけを渡す
- 日本のガイドラインは、EC加盟店にEMV 3-Dセキュアと不正ログイン対策、Webサイトの脆弱性対策を求めている
サーバーの更新に追われないのは、Shopifyを選ぶ大きな理由のひとつです。そのうえで、お店に残る数か所を最初に整えておけば、守りの手間はぐっと少なくなります。自社サーバーのECサイトからの移行や、いまのストアの見直しを考えている方は、お気軽にご相談ください。
この記事は、Shopifyアプリ「まるっと」シリーズの開発者、大島慎平（SHIN）が書いています。
↑ 記事の先頭へ戻る
