Shopify、アプリの脆弱性を検査する「security check」提供

何が発表されたか

• shopify app security check が新設された。Shopify AI ToolkitおよびShopify CLIから実行でき、ローカルで動作して出荷前にアプリの一般的な脆弱性を走査する。
• 検査対象はアプリのコードベース、各拡張ポイントにまたがる設定、依存関係の3つ。検出結果ごとに、該当ファイルと行番号、深刻度と影響、修正例、関連ドキュメントへのリンクが示される。
• 検出範囲は「Shopifyアプリで最も多い脆弱性パターン」。テストに参加したパートナーからは、認証の不備と、ストアをまたぐマーチャントデータの分離の甘さが見つかったと報告されている。
• コーディングエージェント経由で動くため特定フレームワークに縛られず、公開アプリ・カスタムアプリの両方、React Router、Rails、Django、Laravel、独自認証に対応する。
• Shopifyは「AIは開発を加速させるが、攻撃者も同じ道具でセキュリティの穴を探せる」と位置づけている。ツールはオープンソース。

実務への影響

• 実行方法は2通り。Shopify AI Toolkit導入済みなら、コーディングエージェントに /shopify Check my app for common security vulnerabilities と頼めばCLIコマンドが走る。直接 shopify app security check を叩いてもよい。
• 推奨される運用は、critical／highから着手し、修正・変更レビュー・再実行を回すこと。アプリ申請前と毎リリース時に実行するよう案内されている。CIに組み込む価値がある。
• マーチャントデータのストア間分離は、カスタムアプリを複数店舗へ横展開するときに踏みやすい落とし穴。既存の納品済みアプリにも一度かけておきたい。
• 「クリーンなレポートは安全の保証ではない」と明記されている。保守契約で「脆弱性診断」を謳う場合、このツールだけを根拠にしないよう説明責任の線引きを決めておくこと。

利用条件

検出する脆弱性クラスの完全な一覧は公開されていない。フィードバックはShopifyコミュニティフォーラムまたはGitHubリポジトリ経由。