認証とアクセストークン
受託先ストアでAdmin APIのトークンを正しい手順で発行し、安全に保管・失効できる
最終確認: 2026-09
解説
受託の現場でなぜ必要か： この回では、受託先のストアでAdmin APIのアクセストークン（管理画面にログインできる鍵そのもの）を正しい手順で発行し、安全に保管・失効できるようになります。
受託では、誰の組織で作り、どこに置き、漏れたらどう失効するかまで決めて、初めて「安全に使える」と言えます。
2026年のトークン取得手順はどうなっているか
トークンは、Dev Dashboard（dev.shopify.com）で作ったアプリから得ます。
手順は、アプリを作成 → スコープ（権限の範囲）を設定 → 配布方法をカスタムにしてストアにインストール、の順です。
その後、client credentials grant（クライアントIDとシークレットで、プログラムからトークンを取る方式）でAdmin APIのアクセストークンを得ます。
この方式はアプリとストアが同じ組織のときだけ使え、トークンには有効期限があるので期限前に取り直します（他組織のストアならOAuthのauthorization code grant）。
管理画面の旧「カスタムアプリ開発」機能からの新規作成は2026-01-01で終了しました（それ以前に作ったlegacyアプリは引き続き動きます）。
スコープはどこまで付けるか
スコープは、必要な分だけ付けます（最小権限）。read_products / write_products / read_ordersのように、読み書きと対象ごとに分かれています。
60日より古い注文を読むには、`read_all_orders`が別途必要です。
足りなければ後から足せるので、最初は少なめで構いません。
トークンはどこに置き、漏れたらどうするか
トークンは、.envかシークレットマネージャ（鍵を安全に預ける仕組み）に置きます。
テーマ・フロントエンド・Gitリポジトリ・チャットには置きません。
漏れて一番困るのはクライアントシークレットで、そこから何度でもトークンを取れてしまいます。
漏洩したら、Dev Dashboardのアプリ設定（Credentials）でシークレットをローテーション（新しいものに入れ替え）します。
悪用されている最中なら、先にrevoke（無効化）します。
発展：誰の組織で作るか、CIでは何を使うか
アプリをクライアントのDev Dashboard組織で作るか、自社組織で作ってインストールするかで、契約終了後の扱いが変わります。
着手前に決めておきます。
自動デプロイやスクリプトには、個人アカウントではなくApp Automation Tokenを使います（2026-05〜。Dev Dashboardで発行、アプリ単位、有効期限付き。CLIはSHOPIFY_APP_AUTOMATION_TOKEN環境変数から読みます）。
※ ShopifyはShopify Inc.の商標です。本サイトは個人が制作した非公式の学習教材であり、同社の承認・提携・後援を受けていません。記載内容は2026-09時点のものです。料金・上限値・管理画面のラベルは変わるため、作業の前に公式ドキュメントで確認してください。