はじめに
- Shopifyのストアのセキュリティ対策を、何から手をつければいいのか分からない
- 乗っ取りや偽の決済画面のニュースを見て、自分の店で確かめることを一覧で知りたい
- 「Shopifyは安全」と聞くけれど、店の側でやることがどこまであるのか分からない
このような方のための記事です。
この記事では、Shopifyのストアでお店がやるセキュリティ対策を7つにまとめて、それぞれ管理画面のどこで何をするかを解説します。乗っ取りや外部スクリプトのように詳しい記事があるものは、そちらにもつないでいます。
Shopifyが守る範囲と、店が守る範囲
最初に、守備範囲を分けて考えてください。Shopifyはサーバーやカード情報を預かる仕組みを自社で守っていて、店がサーバーの更新をすることはありません。一方で、管理画面に誰が入れるか、テーマに何を貼るか、どの注文を発送するかは店が決めることで、Shopifyは代わりに守れません。
カード情報の扱いについて、Shopifyはカード業界の安全基準のPCI DSSで一番上のレベル1の認定を受けていて、その認定はShopifyで動くすべてのストアに及ぶと説明しています。
PHP・Linux・WordPressの脆弱性のように、サーバーの部品の騒ぎが起きたときに店の作業が要らないのは、この左側の話だからです。それぞれの件はPHPの脆弱性の記事・Linuxの脆弱性の記事・WordPressの脆弱性の記事にまとめています。
ここから先の7つは、すべて右側の、店がやることです。
1. 管理画面のログインを守る
被害が一番大きくなるのは、管理画面に他人が入ることです。売上の振込先、商品、テーマ、アプリのすべてを変えられてしまいます。
やることは3つです。
- 2段階認証かパスキーを入れる: パスワードが漏れても、本人の端末が無いとログインできなくなります。認証アプリ・セキュリティキー・パスキーから選べます。SMSは新しくは設定できません
- スタッフに自分で設定してもらう: ストアのオーナーが、ほかのスタッフの2段階認証を代わりにオンにすることはできません。全員に強制できるのはShopify Plusだけです。スタッフを足したら、本人に設定してもらうところまでを1つの作業にしてください
- 1人1アカウントにして、権限を絞る: ログインを使い回すと、誰が何をしたか追えません。制作会社にはスタッフのアカウントではなく、コラボレーターの申請で入ってもらいます
設定の手順と、乗っ取られたかもと思ったときの動き方は乗っ取り対策の記事に、制作会社の入れ方はコラボレーターの記事にまとめています。
2. テーマに貼ったタグとアプリを棚卸しする
ストアのページには、店がテーマに貼った計測やチャットのタグと、アプリが入れたコードが、テーマと同じ力で動いています。外の会社のコードがすり替わると、お客さまの画面で勝手に動きます。2026年10月には、アプリの設定に入った不正なコードで、「購入手続きへ」を押したお客さまが偽の決済画面に飛ばされる被害が海外で出ました。
点検は次の順で進めてください。
- 読み込んでいる外のドメインを一覧にする: ブラウザの開発者ツールで、カートの画面が読み込んでいるスクリプトの送り元を出します
- 何のためのものか言えないタグを外す: 試しに入れた速度計測やヒートマップは、ツールの契約を止めてもテーマに残ります
- 使っていないアプリを消し、埋め込みを止める: テーマエディタの「埋め込みアプリ」で、有効なものを一覧で見られます
- 計測はピクセルに移す: 「設定」→「お客様イベント」に入れたピクセルは、ページとは別の囲いの中で動き、ページの中身に触れられません
一覧を出すコードと画面ごとの手順は外部スクリプトの点検の記事に、偽の決済画面の見分け方は偽の決済画面の記事に載せています。RYXでは自社の開発ストアで毎朝、決済まで進めるかと、読み込んでいるドメインが増えていないかを確かめています。
3. 不正注文をShopify Flowで止める
盗まれたカードでの注文を発送してしまうと、あとからカード会社経由で売上を取り消されるチャージバックになり、商品も売上も失います。チャージバックが続くと、Shopifyペイメントが使えなくなることもあります。
Shopifyは、カードの注文ごとに不正のリスクを「低・中・高」で判定し、「発送してよい」「お客様に確認」「キャンセルを検討」のどれかを勧めます。中と高の注文は、注文の一覧に警告のマークが付きます。リスクの判定はGrow以上のプランか、Shopifyペイメントを使っている店で出ます。
毎回の確認を手でやる代わりに、無料の自動化アプリのShopify Flowに用意されているテンプレートを使えます。Flowの「テンプレートを見る」で「リスクの高い注文」と検索すると、次のようなものが出ます。
- リスクの高い注文をキャンセルする: 高リスクの注文をキャンセルして在庫を戻し、注文とお客様にタグを付けて、スタッフに通知のメールを送ります
- リスクが高くない場合に支払いを確定する: 支払いを手動で確定する設定にしておき、低・中のリスクの注文だけ自動で確定します。高リスクは確定せずに残ります
- 過去に不正に使われたメールアドレスの注文をキャンセルする: 一度不正があった相手からの注文を、次から自動で止めます
いきなり自動でキャンセルするのが不安な店は、まずタグ付けと通知だけにして、数週間どんな注文が引っかかるかを見てから、キャンセルまで広げてください。誤って止めた正しい注文は、お客様への連絡が要ります。
4. メールの送信元を自分のドメインで認証する
注文の確認や発送のお知らせのメールは、「設定」→「通知」の差出人のメールアドレスから送られます。ここをGmailなどのアドレスにしていたり、独自ドメインのアドレスでもドメインの認証をしていなかったりすると、お客さまには「store+数字@shopifyemail.com」という見慣れないアドレスから届きます。
見慣れないアドレスからのメールは、迷惑メールに入りやすく、お客さまが偽物を疑うきっかけにもなります。逆に、偽の店がお店の名前でメールを送ってきたとき、本物との見分けもつきにくくなります。
独自ドメインのアドレスを差出人にしたら、同じ画面の「ドメインを認証」から表示されるCNAMEのレコードを、ドメインを買った会社のDNSの設定に全部入れてください。送信元の確認に使うSPFとDKIMは、このCNAMEで済みます。GmailやYahooに届けるには、これとは別にDMARCのレコードを1つ入れる必要があります。Shopifyの既定の値は「v=DMARC1; p=none;」で、DMARCのレコードが2つあると認証に失敗します。
実際にクライアント案件で、差出人に独自ドメインのアドレスを入れた時点で「独自ドメインから送られている」と思われていて、公開の当日にshopifyemail.comから届いていると分かったことがありました。差出人を変えたら、「設定」→「通知」の認証の表示が「設定が必要」でなくなるまで見届けてください。画面に出るCNAMEの数は店ごとに違うので、メモではなくその日の画面から写します。
5. お客様のデータの削除依頼に答える
お客様から「自分の情報を消してほしい」「どんな情報を持っているか教えてほしい」と言われたら、管理画面からそのまま対応できます。日本の個人情報保護法にも、本人から開示や利用の停止を求められたときの決まりがあるので、やり方を先に知っておくと慌てません。
- データを渡すとき: 「顧客管理」でお客様を開き、「その他の操作」→「お客様データをリクエスト」を選びます。ストアのオーナーにはメールでも届きます
- 消すとき: 同じメニューの「個人データを消去」を選びます。Shopifyが処理するので、サポートへの連絡は要りません。10日のあいだは取り消せます
「個人データを消去」は、名前や住所などの個人の情報を消し、何をいつ売ったかは売上の記録として残します。プロフィールごと消す「お客様情報を削除」とは別の操作です。定期購入や予約販売の途中のお客様だと、契約が止まり、残りの支払いは請求されません。依頼の前に、残っている支払いが無いかを確かめてください。
本人からの依頼かどうかは、店の側で確かめる必要があります。注文時のメールアドレスからの依頼か、注文番号と合っているかを見てから処理してください。
6. 商品とテーマのバックアップを取っておく
管理画面には、消した商品や書き換えた設定を、まとめてある日の状態に戻すボタンがありません。スタッフの操作ミスでも、乗っ取られて書き換えられたときでも、元の状態は店の側で持っておく必要があります。
- 商品はCSVで書き出す: 「商品管理」の「エクスポート」で、全商品をCSVに書き出せます。Shopifyも書き出しの用途のひとつに「商品のバックアップ」を挙げています。ただし画像のファイルそのものはCSVに入りません
- テーマは触る前に複製する: テーマを編集する前に「…」から複製しておけば、壊れたときに公開中のテーマを差し替えられます。手元に残すなら、テーマのダウンロードでファイル一式をメールで受け取れます
- お客様と注文もCSVで書き出せる: どちらも一覧の画面からエクスポートできます
外部記事Exporting productsExport your Shopify products into a CSV spreadsheet file.help.shopify.com
外部記事Duplicating themesLearn how to duplicate a theme for your online store.help.shopify.com
商品の大きな一括の変更やテーマの作り替えの前には、必ずこの2つをやってください。毎日の自動のバックアップが欲しい店は、バックアップのアプリを使う方法もありますが、そのアプリにストアのすべてのデータを読む権限を渡すことになります。入れるなら、2で書いたアプリの棚卸しの対象に加えてください。
7. 「Shopifyです」という連絡を疑う
最後は設定ではなく、日々の習慣です。乗っ取りの入口の多くは、パスワードを盗むための偽のメールやチャットです。「アカウントが停止されます」「支払いに問題があります」という連絡のリンクから、管理画面に似たページでログインさせる手口が続いています。
Shopifyからの通知は、管理画面の中にも出ます。メールのリンクは押さずに、自分でブックマークから管理画面を開いて確かめてください。サポートを名乗る相手に、パスワードや2段階認証のコードを伝えないことも、スタッフ全員で決めておきます。見分け方の例は乗っ取り対策の記事にあります。
Shopifyのセキュリティ対策の点検表
7つを、点検の頻度ごとに並べ直すと次のとおりです。
- 今日やる: 2段階認証かパスキーを入れる、スタッフのアカウントと権限を見直す、差出人のドメインの認証の表示を見る
- 月に1回: テーマが読み込んでいる外のドメインと、入っているアプリを見直す。シークレットウィンドウでカートから決済画面まで進めるか確かめる
- 作業の前に: テーマを複製する、商品をCSVで書き出す
- 起きたときに: 高リスクの注文はFlowのタグと通知で拾う、データの削除依頼は本人かを確かめてから処理する
さいごに
Shopifyでは、サーバーとカード情報はShopifyが守り、管理画面のログイン、テーマのタグとアプリ、不正注文、メール、お客様のデータ、バックアップは店が守ります。7つのうち、まだやっていないものから順に進めてください。
テーマのタグの棚卸しやFlowの設定、メールのドメインの認証などの作業は、お問い合わせからお気軽にご相談ください。
