情報確認日：2026年11月4日
アプリを増やしたけれど、注文や顧客情報への権限まで把握できているだろうか。制作会社の担当者が変わったあとも、管理画面へのアクセスが残っていないだろうか。Shopifyを使っていれば、購入画面はすべて任せてよいのだろうか。
こんな不安があれば、まず自分のストアの画面を一緒に見てみましょう。スタッフ、アプリ、テーマ、決済の表示から、今のまま使うものと、設定や用途を確かめるものを分けられます。外部の診断には費用と日程がかかりますが、自分たちで確かめられることもあります。
ここで行うのは、管理画面の設定と通常の購入操作の点検です。画面で問題が見えなくても、隠れた脆弱性や情報漏えいがないと証明できるわけではありません。専門的な検査やカード会社への申告が必要な場合の進め方は、点検のあとで説明します。
1. いま管理画面に入れる人を確かめる
まず［設定］＞［ユーザー］で、スタッフとコラボレーターを見ます。コラボレーターは、制作会社など外部の人に与えるストアへのアクセスです。名前を見て「現在の担当者か」「何の作業のためにアクセスしているか」を確かめ、ユーザーごとに割り当てられた役割も開いてください。役割が複数あれば、使える権限は合わさります。
たとえば商品登録を頼んでいる人が顧客情報をエクスポートできるなら、その作業でCSV出力が必要か、依頼した担当者に聞きます。必要性を説明できればそのまま、理由が分からなければ作業内容を確かめて権限を見直してください。退職者や契約が終わった委託先のアクセスが残っていれば、ストアの責任者に連絡し、アクセスを外します。身に覚えのないユーザーや役割の変更は、後述の活動ログと照らしてすぐに責任者へ伝えてください。
Shopifyのユーザー管理案内でも、既存ユーザーと割り当て済みの役割を確認できます。顧客情報を見る権限と出力する権限は別です。新しい役割を作る必要はなく、まず実際に割り当てられた権限を見てください。
2. スタッフ本人のサインイン方法を確かめる
管理画面に入れる人が分かったら、次は各スタッフが自分のアカウントで安全なサインイン方法を設定しているかを確かめます。スタッフ本人がアカウントのセキュリティ設定を開き、パスキーや二段階認証の設定状況と、端末を失ったときの復旧手段を確認してください。パスキーは端末の認証を使ってサインインする方法、二段階認証はパスワードに加えて別の確認を求める方法です。Shopifyの安全なサインイン方法の案内に設定方法があります。
管理者のユーザー画面に安全なサインイン方法が「必須」と表示されていても、それは要求する設定です。本人がどの方法を登録したかは、スタッフ本人に確かめます。他の人の認証を代わりに設定することはできません。共用アカウントで誰が操作したか分からない状態なら、個人ごとのアクセスへ改める相談を優先してください。見覚えのないログインがあれば、本人の端末や操作と照らし、心当たりがなければ責任者とShopifyサポートへ早めに相談します。
3. アプリの用途と、許しているデータを比べる
［設定］＞［アプリ］でインストール済みのアプリを一覧にします。各アプリを開き、［アクティビティと許可］で注文・顧客・商品など、どの領域を閲覧または変更できるか、最近いつ使われたかを見てください。［プライバシー］にはアクセス可能な個人データが表示されます。画面上の権限と活動日を、日々の用途や担当者の作業と比べます。
たとえば商品レビューを表示するアプリが顧客情報にもアクセスできる場合、レビュー依頼の送信に必要なのかもしれません。担当者が用途を説明できなければ、アプリ提供元に「どの機能で、どのデータを使うのか」「権限を減らせるか」を尋ねます。画面に権限があることは、提供元が実際にデータを外部へ保存した証拠ではありません。保存先・保存期間・削除方法はプライバシーポリシーや提供元の回答で確かめてください。
外部アプリでは、過去30日間に使われなかった権限が［未使用のアクセス］に表示されます。これは権限の見直しを始める手がかりです。特定の時期だけ動く機能もあるため、30日間使われていないだけでアプリ全体を不要または安全と決められません。Shopify製アプリは現在、この活動追跡の対象外です。見直しの際はShopifyのアプリ管理案内も参照できます。
使っていないアプリを見つけても、すぐ削除する前に、購入画面での表示、注文や在庫の自動処理、後で必要なデータを担当者と確認します。Shopifyのアンインストール案内のとおり、テーマにコードが残る場合があります。アプリを外したあとも外部に保存されたデータと請求は別に確認が必要です。
4. テーマに追加した表示とコードをたどる
［オンラインストア］＞［テーマ］で公開中のテーマを確かめ、テーマ編集画面の［アプリの埋め込み］と、商品ページやカートに置かれたアプリブロックを見ます。いつ、何のために追加した表示かが分かれば、制作担当者やアプリ提供元の連絡先もメモしておきましょう。独自に加えたコードがあるなら、更新と修正を誰が担当するか制作担当者に聞きます。
画面に使っていない表示が残っている場合は、アプリを外した時期や影響するページを照らします。表示を消しただけで、アプリのデータ権限までなくなるとは限りません。テーマのコードを見ただけでも安全性は判断できません。購入ボタンやカートに関わるコードの用途を説明できないときは、編集せずに制作担当者へ確認してください。Shopifyのテーマとは別に販売画面を開発している場合は、その画面のコードと更新担当も開発担当者に尋ねます。
5. 商品ページから支払い前まで、自分で購入導線を見る
実際の商品ページで購入ボタンを押し、カートから支払い前の画面まで進みます。カード番号を入力したり、注文を確定したりする必要はありません。アプリを使ったギフト入力や会員向け表示があるなら、その機能がある商品も選んでください。管理画面の［設定］＞［決済］で有効な決済方法と契約先を見て、購入者側で表示される決済方法や移動先と照らします。
外部決済を契約していれば、Shopifyの画面から決済事業者の画面へ移ることがあります。移動先が契約した決済事業者と一致するかが判断の基準です。見覚えのない画面でカード番号の入力を求められたら入力を止め、移動前後のURLと時刻を控えて、ストアの責任者、制作担当者、決済事業者に確認します。見慣れない転送を見ただけで漏えいを断定せず、どの画面から始まったかを残してください。
6. Shopifyの外に残る顧客・注文データを探す
Shopify管理画面だけでは、顧客CSVを出力した後の保存先や、配信サービスへ渡したメールアドレスは分かりません。注文・顧客情報を使う担当者に、共有ドライブ、個人のPC、メール添付、配信サービス、移行前のシステムを使っているか聞きます。保存先ごとに「何の業務で必要か」「誰が開けるか」「いつ消すか」を確かめてください。
たとえば配信が終わったCSVを委託先との共有フォルダに残していたら、そのファイルを今も使うか、配信担当と委託先に確認します。不要なら、契約と社内の保存ルールに従ってアクセス解除・削除を進めます。Shopify内の顧客情報を消す操作だけで、外部サービスのコピーまで消えたとは判断できません。保存期間や削除結果を、各サービスの担当者にも尋ねます。
7. 身に覚えのない変更がないか、記録を照らす
スタッフやアプリを見直していて「この権限は誰が付けたのか」と迷ったら、［設定］＞［ユーザー］＞［セキュリティ］の［ユーザー管理活動ログ］や、［設定］＞［一般設定］の［リソース］にある［ストアのアクティビティログ］を開きます。ユーザーや役割の変更、対象となる管理操作について、日時と操作した人を見られます。ログインに心当たりがない場合は、各ユーザーの最近のアクセスも本人の作業と照らしてください。ログの表示や絞り込みはストアの権限と提供状況で異なり、すべての閲覧や操作が記録されるわけではありません。Shopifyのストア活動ログ案内も確認してください。
予定していた変更と一致すれば、担当者と内容をメモして次へ進めます。心当たりのないユーザー追加やアプリ導入があれば、ログだけで原因や影響範囲を決めず、ストアの責任者へすぐ知らせます。責任者はアクセスやアプリの利用を止める必要があるか判断し、該当スタッフ・提供元・Shopifyサポートと事実を照らします。通知メールも、送信元や管理画面内の表示を確かめてから扱ってください。
点検結果を一枚に残し、次の対応を決める
ここまで見た結果は、長い依頼書にする必要はありません。次のように、画面で見た事実と問い合わせ先を分けて残すと、担当者が変わっても続きから確認できます。次は記入方法の例で、実際のストアで見つかった問題ではありません。
| 項目 | 見た結果の例 | 次の対応と問い合わせ先 |
|---|---|---|
| スタッフ | 契約が終わった制作担当者のアクセスが残っている | ストアの責任者がアクセスを外し、変更日時を記録する |
| アプリ | 注文情報への権限があるが、用途を担当者が説明できない | 利用機能と必要な権限をアプリ提供元へ尋ねる |
| 購入導線 | 支払い前に契約先と異なる画面へ移った | カード入力を止め、URLと時刻を控えて責任者・決済事業者へ連絡する |
説明できる用途と必要な権限が一致し、購入導線も契約した方式どおりなら、今の設定を使い続ける判断ができます。用途や保存先が分からないときは、提供元や社内担当に回答を求めます。身に覚えのないアクセスや、契約先と異なるカード入力画面があれば、該当する操作を止めて責任者へ急いで伝えてください。点検メモには、項目ごとに「確認できた」「確認中」「対応が必要」を付け、次に誰が何をするかまで残します。
自分たちで判断しきれないときは
画面に出ないコードの弱点や、Shopify・アプリ・外部サーバーをまたぐ問題は、設定の点検だけでは分かりません。独自開発した販売画面やアプリがある、購入導線に不明な動きがある、カード会社への提出資料が必要、といった場合は、点検メモを持って相談します。
Popazでは、管理画面の設定や利用中の機能を確認し、運用で見直せることと専門的な脆弱性診断が必要なことを整理する相談を受けています。この記事を試しても判断に迷う場合は、まずPopazへ相談してください。初回相談と概算見積もりは無料です。ストア内部へのアクセスを伴う技術調査や深い要件整理が必要な場合は、必要に応じて秘密保持契約を結び、範囲と費用を別途見積もります。Popazで確認しきれない範囲は、専門のセキュリティ会社による診断を勧めます。
日本のカード加盟店向けクレジットカード・セキュリティガイドライン6.1版では、Webアプリケーションの定期的な脆弱性診断またはペネトレーションテストと、必要な修正が挙げられています。ソフトウェアの更新、独自に開発・改修したコードのレビューと入力項目の確認も、それぞれ別の対策です。カード番号を店舗で保存しない方式でも、対策状況を把握して申告します。今回の画面点検を、それらの対策を実施した記録として扱わないでください。必要な資料、実施しきれない範囲や代替策は、契約するカード会社または決済代行業者（PSP）に相談します。
専門会社へ頼むなら、使っているテーマ、アプリ、ログイン、独自コード、決済方式と、どこまで調べたいかを点検メモから伝えます。診断依頼書のひな型も任意で使えます。Shopify、アプリ提供元、決済事業者が管理するサービスに自動スキャンや攻撃を模した入力を送る検査は、対象と方法の許可を先に確認してください。見積もりには対象外の部分、報告書、修正後の再確認、追加費用を含めて尋ねます。
一般的なWebアプリケーションの単発診断の公開料金を見ると、開始価格には自動診断で30万円（税抜）、ツールと手動を組み合わせる診断で40万円（税抜）、100万円を超えるプラン（税別）と幅があります。これらは対象の数え方と含まれる作業が異なる掲載例で、平均額や自分のShopifyストアの見積額を示すものではありません。対象をリクエスト数（画面表示や入力送信などに伴う通信の数）、画面数、機能数のどれで数えるか、ログイン画面やAPIを含めるかによって金額は変わります。報告会と修正後の再診断も、料金に含むか別料金かを確かめてください。
自分のストアで調べたい機能を示し、診断できる範囲と許可の要否、検査方法、報告書と再診断の条件、追加費用を含む総額と日程を見積もりで確かめてください。
参考資料
- Shopifyヘルプセンター：セキュリティとプライバシー
- クレジットカード・セキュリティガイドライン6.1版（日本クレジット協会、2026年3月）
