2026年10月、Shopifyは他社のアプリが乗っ取られ、お客様が偽の決済画面に送られた事件を受けて、すべてのアプリ開発者にセキュリティの点検と対応を求めました。RYXが開発・運用しているShopifyアプリで行った対応をお知らせします。
アプリを導入しているストアで、対応していただくことはありません。
対象のアプリ
- RYX Wishlist
- RYX Gate
- RYX Review
- RYX Points
- RYX Subscriptions
- RYX Reserve
行った対応
Shopifyのセキュリティチェックによる点検と修正（2026年10月21日） Shopifyが提供するセキュリティチェックを6つのアプリすべてで実行し、指摘を一つずつ確かめました。見直しが必要だった点は同日中に修正し、本番に反映したうえで動作を確認しています。あわせて、使っていない権限をアプリから外しました。
期限付きのアクセストークンへの切り替え アプリがストアのデータを読み書きするための鍵を、一定時間で切れる期限付きのものに切り替えています。Shopifyが2027年1月1日までに求めている対応で、6つのアプリすべてで対応済みです。
スクリプトタグを使っていません 2027年3月1日にストアで動かなくなる「スクリプトタグ」という古い仕組みは、6つのアプリのいずれも使っていません。ストアの画面に出す部品は、Shopifyが推奨するテーマアプリ拡張で作っています。
通信先の申告（2026年10月29日） App Storeで公開中のRYX Wishlist・RYX Gate・RYX Reviewについて、アプリが通信する先がRYXのサーバーだけであることを、Shopifyが10月27日に用意した仕組みで申告しました。Shopifyが、申告されていない不審な通信を見つけやすくなります。
日々の確認 現在、アプリの通信の記録を毎朝確かめているほか、開発用のストアで、購入手続きのボタンを押したときにShopifyの正しい決済画面に進むことを毎朝確かめています。
関連する記事
今回の一連の対応の内容と、ストアの運営者が気をつけることは、次の記事にまとめています。
→ Shopifyが全アプリ開発者に「今週中」のセキュリティ対応を要請｜8つの対応と、これから変わること【2026年10月】
→ Shopifyのアプリ経由で偽の決済画面に飛ばされる攻撃｜自分のストアを確かめる手順【2026年10月】
PHPの脆弱性（2026年10月21日公表）による影響が無いことは、こちらのお知らせでお伝えしています。