Shopifyのセキュリティが強い理由とストアオーナーがやる保守

こんにちは。

先日、PHPの重大な脆弱性が見つかり、WordPressのサイトを持っている人はサーバーの更新に追われました。

このブログは7月にWordPressからShopifyのヘッドレス構成に移していたので、何もしなくて済みました。一方で、同じ10月にはShopifyのアプリを入口にした被害も起きています。Shopifyは安全だと言い切るだけでは足りないので、強いところと、ストアオーナーに残るところを分けて整理しました。

この記事では、Shopifyがセキュリティに強い理由と、それでもストアオーナーがやる保守を紹介したいと思います。

こんな人におすすめです

• Shopifyを使っていて、自分のお店の安全性を確かめたい
• Shopifyへの移行を考えていて、安全面の根拠を知りたい
• Shopifyなら保守は要らないと思っている
• アプリをたくさん入れていて、見直したことがない

Shopifyがセキュリティに強い理由は4つある

サーバーの更新に加えて、カード決済の基準・外部の監査・報奨金の仕組みの4つがそろっています。

1. サーバーの更新はShopifyの仕事

Shopifyでは、ストアオーナーがサーバーの中身を更新する場面がありません。PHPのバージョンを調べたり、サーバー会社の案内を追いかけたりしなくても、お店は動き続けます。

2. PCI DSSレベル1に準拠している

PCI DSSは、クレジットカードを扱う事業者向けの基準です。Shopifyはレベル1の準拠の認証を受けています。

3. SOC 2 Type IIとSOC 3のレポートがある

外部の監査人がセキュリティと可用性を評価するレポートを、Shopifyは発行しています。

4. バグバウンティで脆弱性を探してもらっている

バグバウンティは、脆弱性を見つけた人に報奨金を払う仕組みです。累計の支払いは約1,021万ドル、解決した報告は2,531件、1件の上限は20万ドルです（2026年11月4日時点）。

どれも公式ページで確認できます。「強い」という感想ではなく、誰かが確かめた結果を見て判断できるのが、Shopifyの良いところです。

出典：Shopifyのセキュリティ／Shopify Bug Bounty

PHPの脆弱性でもストアオーナーの作業はなかった

今回の脆弱性は、PHPを動かしていないサイトには関係がありませんでした。

2026年10月21日、WordPressの公式サイトがPHPの2件の重大な脆弱性について案内を出しました。WordPressだけの問題ではなく、PHPのアプリケーションを動かしているサーバーすべてが対象で、WordPressを更新しても直らず、PHPの更新が対策になります。

このブログの記事データはShopifyの中にあり、表の画面はHydrogenというShopifyの仕組みで作って、ShopifyのOxygenという場所で動かしています。どちらもPHPを使わないので、更新の対象になるものがありませんでした。

もともと移行の理由はセキュリティではなく、ふだんShopifyをさわっているのに、ブログだけWordPressの中で作業が必要だったことでした。

出典：PHP の重大なセキュリティリリース（WordPress.org 日本語）

それでも2026年10月にアプリ経由の被害が出た

Shopifyのお店でも、入れているアプリが入口になることがあります。

同じ2026年10月、Shopifyの一部のアプリが不正に書き換えられ、購入の途中でお客さんが偽の決済ページへ飛ばされる被害が出ました。開発元が認めたものとして、Selleasy・Hulk Product Options・Swym Wishlist Plusが報じられています。確認できた範囲では、Shopify本体の侵入ではなく、アプリの開発元が入口でした。

Shopifyの規約でも、外部のアプリの利用はストアオーナーの判断と責任になっています。つまり、アプリを入れることは、お店の画面に他社のコードを載せることです。

出典：iTnews（2026年10月）／Roman Zipp氏の調査／Shopify利用規約

ストアオーナーがやる保守は5つある

サーバーを見る仕事はなくなりますが、お店の中を見る仕事は残ります。

1. 使っていないアプリを消す

アプリの数だけ、お店の画面に載る他社のコードが増えます。試しに入れたまま使っていないアプリは、消すだけで確かめる相手が減ります。

2. 開発元のお知らせを確かめる

今回の被害のように、問題はアプリの開発元で起きることがあります。入れているアプリの名前を控えておくと、ニュースが出たときにすぐ照らし合わせられます。

3. 二段階認証を有効にする

Shopifyペイメントを使うなら、二段階認証は必須です。使っていない場合でも、管理画面に入るアカウントを守る基本になります。

4. スタッフごとにアカウントを分けて権限を絞る

1つのアカウントを共有すると、誰が何をしたのか追えなくなります。担当ごとに分けて、必要な権限だけを渡します。

5. ときどき自分で購入画面まで進む

商品をカートに入れて、本物の決済画面に着くかを自分の目で確かめます。アプリの不正な書き換えは、管理画面を見ているだけでは気づきにくいからです。

出典：Shopifyヘルプ

古いサイトが残っていないかも確かめる

移行したあとの古いサイトも、消すまでは保守の対象です。

今回調べてみると、契約を続けていたレンタルサーバーには、以前作ったWordPressのサイトが9つ残っていました。表のドメインはすでにShopifyに向いていたので、ふだんは目に入らない場所です。

片づけようとしたところ、そのレンタルサーバーはPHPの対応で緊急メンテナンスに入っていて、管理画面に入れませんでした。入れるようになってから、記事や画像の控えを取り、9つをすべて削除して、サーバーのPHPも8.3.36に上げました。最後の作業だけで1時間56分かかり、見積もりの45分を大きく超えました。

Shopifyに移したあとは、古いサーバーの中身まで片づけて、はじめて更新の対象から外れます。

まとめ

おさらいします。

• Shopifyはサーバーの更新を担当し、PCI DSSレベル1やSOCのレポートで守りを確かめられる
• バグバウンティで、外の人にも脆弱性を探してもらっている
• 今回のPHPの脆弱性では、PHPを動かしていないサイトに更新の作業はなかった
• 2026年10月のアプリ経由の被害のように、入れているアプリは入口になりうる
• アプリの見直し、二段階認証、権限の管理、購入画面の確認はストアオーナーの仕事として残る

Shopifyはセキュリティに強いサービスですが、保守が要らなくなるわけではありません。まずは、今のお店に入っているアプリの数と、使っていないものがないかを確かめてみてください。

Shopifyのお店の保守や、WordPressからの移行で迷っている方は、Shopify Select Partnerのよーすけに相談できます。

→ 問い合わせフォームから相談する

近々、Shopifyのセミナーかワークショップをやります。案内はメルマガでお送りします。

→ メルマガに登録する

この記事が、お店のセキュリティと保守を考える参考になれば嬉しいです。