スニーカー・コスメ・限定コラボ商品など、Shopify で人気商品の限定販売をすると必ず直面するのがボット転売の問題です。人間より高速に注文を完了するボットが在庫を瞬時に買い占め、正規顧客が買えないまま転売市場に流れるという構造で、ブランドへの不満や CS 工数の増大に直結します。
注意したいのは、Shopify のチェックアウト向けボット保護は Shopify Plus 限定という点です。Plus 以外のプランでは、購入制限・Shopify Flow・ボット対策アプリ・抽選販売を組み合わせて同等の防御を組み立てることになります。本記事では、Shopify ストアで転売 bot・転売目的注文を防ぐ対策を 5 層で整理し、プラン別に「何ができて何ができないか」を明確にします。
ボット転売の手口 — 何を防ぐべきか
ボット転売は、自動化スクリプトや専用ツールが正規顧客を装って大量注文する行為です。代表的な手口を整理します。
1. 通常購入ボット（スピード勝負型）
リリース時刻に合わせてカート投入・決済を秒単位で実行する自動スクリプト。スニーカーリリースや限定コスメで頻発します。
2. プロキシ・IP 分散型ボット
複数の IP アドレス・住所・支払い情報を使い分けて 1 商品あたりの購入数制限を回避するパターン。クレジットカード番号は同一でも、配送先と決済名義だけ変えてくる事例もあります。
3. 再入荷監視型ボット
商品ページや在庫状況を常時監視し、再入荷・販売開始を検知した瞬間に自動購入する手口。告知なしの再入荷やキャンセル分の在庫戻りも拾われるため、発売日だけ警戒していても防げません。
4. アカウント作成ボット
事前に大量のメールアドレスでアカウントを作成しておき、リリース時に並列ログインして注文するパターン。
5. CAPTCHA 突破ボット
CAPTCHA を画像認識・人力代行サービス・AI モデルで突破するツール。基本的な CAPTCHA だけでは止められないため、行動分析と組み合わせる必要があります。
防御の難易度は手口によって異なり、すべてを単一対策で防ぐことは不可能です。だからこそ多層防御の設計が必要になります。
Shopify 標準のボット対策機能
Shopify が標準で用意しているボット対策は、プランによって大きく異なります（2026年9月29日時点の Shopify 公式ヘルプ記載）。
チェックアウトのボット保護（Shopify Plus 限定）
Shopify 公式ヘルプによると、チェックアウトのボット保護機能は Shopify Plus プラン限定です。既知のボットをチェックアウトからブロックし、ボットの動きを遅らせることで、フラッシュセール中に人間の顧客が購入できる機会を確保する「公平性のための制御」と位置づけられています。
- 有効化: Shopify Plus サポートへの依頼が必要。有効化後に管理画面から設定できる
- チャレンジ方式: Google の reCAPTCHA か hCaptcha を選択（hCaptcha は画像選択・独自の質問なども設定可）
- 対象: 最大 500 商品、またはストア全商品（コレクション単位は不可）
- イベント: 同時に予約できるのは 1 件、1 回の最大時間は 60 分。開始後は編集できず停止のみ
- チャネル: オンラインストアのみ
公式ヘルプは「自動チェックアウトボットの効果を抑えるための機能で、ボットに関連する不正全般と戦うものではない」と明記しています。不正決済や転売目的の人力購入は別の層で防ぐ前提です。
ストアフロントの CAPTCHA（全プラン）
ログイン・会員登録・パスワード再設定・問い合わせ・ニュースレター登録などのフォームには、Shopify 側で CAPTCHA（hCaptcha）が組み込まれています（Shopify の開発者向け changelog で reCAPTCHA v3 からの移行を告知）。アカウント大量作成ボットへの一定の抑止にはなりますが、チェックアウト自体を守る機能ではありません。
不正分析（リスクレベル表示）
Shopify は注文ごとに不正リスクを評価し、管理画面の注文詳細に「リスクレベル」を表示します。リスクが高い注文を出荷前に確認・キャンセルする運用が基本です。
限定販売時のリスク — 標準機能だけでは足りない理由
通常販売であれば Shopify 標準機能で足りますが、スニーカーリリースや限定コラボなど人気商品の販売では標準機能だけでは止められないケースが多発します。
理由は次の通りです。
- 同時アクセス数が桁違いに増える: 通常時の100倍以上のトラフィックでレートリミットがあてにならない
- プロキシ分散の規模が大きい: 数千 IP からの並列アクセスでブロック網をすり抜ける
- 正規顧客との見分けが難しい: 限定販売は正規顧客も早押し競争に参加するため、行動パターンだけで判別困難
これらに対処するため、注文制限・サードパーティアプリ・監視ツールを組み合わせた多層防御が必要になります。
プラン別にできる転売bot対策 — Plus と非Plus の違い
転売 bot 対策で最初に確認すべきは、自社のプランで使える手段です。以下は2026年9月29日時点の Shopify 公式ヘルプ・Shopify App Store の記載にもとづく整理です。
| 対策 | Basic / Grow / Advanced | Plus |
|---|---|---|
| チェックアウトのボット保護（reCAPTCHA / hCaptcha） | 使えない | 使える（Plus サポートに依頼して有効化） |
| Shopify Flow（注文へのタグ付け・通知などの自動化） | 使える（無料アプリ） | 使える |
| ストアフロントのフォーム CAPTCHA | 標準で組み込み | 標準で組み込み |
| 購入数制限 | アプリで実装 | アプリで実装 |
| ボット対策アプリ・抽選販売アプリ | 使える | 使える |
Shopify Flow は「Plus 限定」と紹介されることがありますが、公式ヘルプでは Basic・Grow・Advanced・Plus の各プランで使える無料アプリとされています（HTTP リクエスト送信アクションは Grow 以上、カスタムパートナーアプリのタスクは Plus のみ）。
非 Plus のストアは、購入制限アプリ＋ボット対策アプリ＋Flow による注文チェック＋抽選販売でチェックアウト保護の不在を補うのが現実的な構成です。Plus のストアは、これにチェックアウトのボット保護を発売イベントに合わせて重ねます。
対策①: チェックアウトのボット保護を有効化（Plus）
Shopify Plus 利用者は、まず Plus サポートにボット保護の有効化を依頼します。有効化後は管理画面でボット保護イベントを予約できるようになります。
設定のポイント
- 発売時刻に合わせてイベントを予約する（最大 60 分・同時 1 件のため、販売開始直後の最も集中する時間帯に当てる）
- 対象商品を絞る（最大 500 商品。限定品だけに適用すれば通常商品の購入体験は変わらない）
- チャレンジ方式を選ぶ（hCaptcha は独自の質問を追加できる。難しくするほど正規顧客の離脱も増える）
CAPTCHA はユーザー体験を損なうため、常時かける運用は向きません。販売イベント単位でかけるのがこの機能の前提です。
非 Plus のストアはこの層が使えないため、対策②③の比重を上げます。
対策②: 注文制限機能で物理的に絞る
Shopify には注文単位での制限機能があり、ボットによる買い占めを構造的に防げます。
数量制限
商品単位または注文単位での最大購入数を設定できます。
- 商品単位: 1 ASIN/SKU あたり 1〜2 個など
- 注文単位: 1 注文あたりの合計数を制限
一般消費者向けの購入数上限は Shopify 標準の商品設定では細かく制御しにくいため、購入制限アプリで実装するのが一般的です。アプリの比較はShopifyストアの転売対策まとめで整理しています。ボットに対しても最も費用対効果が高い基本対策です。
住所・電話番号の重複拒否
同一住所・同一電話番号からの注文を 1 回までに制限することで、配送先を変えただけのボット注文を排除できます。Shopify Functions または専用アプリで実装します。
支払い方法の制限
ギフトカード・プリペイドカード経由の支払いを拒否することで、ボットが使う匿名性の高い支払い経路を遮断できます。
アカウント要件
新規アカウントによる注文を制限し、事前登録 + 抽選販売に切り替えるアプローチも有効です。完全なボット排除にはなりませんが、購入競争のスピード勝負を回避できます。
対策③: サードパーティアプリの導入
Shopify App Store には、ボット対策・転売対策に特化したアプリが多数あります。代表的なカテゴリを整理します。
ボット検知特化アプリ
不審なアクセスを検出し、IP・国単位のブロックや CAPTCHA 表示を行うアプリです。非 Plus のストアではチェックアウトのボット保護が使えないため、この層が主力になります。
以下は2026年9月29日時点の Shopify App Store の公式記載です（順位付けではありません）。
| アプリ | 提供元 | 料金（App Store 記載） | 主な機能（App Store 記載） | 評価 |
|---|---|---|---|---|
| Blockify Fraud Filter, Blocker | Blockify | インストール無料・無料トライアルあり | IP・国・ボットのブロック／リダイレクト | 4.9（1,734件） |
| Armex: Block Checkout Bots | BORA APP | 月額 $9.99〜・無料トライアルあり | 訪問前のボットブロック、国・IP ブロック、チェックアウト保護 | 4.8（53件） |
どちらも正規顧客を巻き込むリスク（海外からの正規アクセスや、共有 IP の会社・学校からのアクセス）があります。発売前に自分や社内のアクセスで誤ブロックが起きないか試しておくのが安全です。
Cloudflare を前段に置く（上級）
Cloudflare 公式ドキュメントには、Shopify ストアの前段に Cloudflare のプロキシを置く手順（Orange-to-Orange 構成）が掲載されています。前段に置けば Cloudflare のボット対策（Pro 以上の Super Bot Fight Mode、Enterprise の Bot Management）を使えますが、SSL 証明書更新を妨げない設定が必要で、チェックアウトのパスでは Workers などが無効になるといった制約もあります。DNS と Cloudflare の運用に慣れたチーム向けの選択肢です。
抽選販売アプリ
事前登録 + ランダム抽選で当選者だけが購入できる仕組みを提供するアプリ。スピード勝負そのものを無効化する根本対策として、スニーカー・コラボ商品で広く採用されています。
Queue（行列）アプリ
販売開始時に仮想的な行列を作り、入店順を制御するアプリ。サーバー負荷の平準化とボット排除を同時に実現できます。
不正注文監視アプリ
注文後のリスク評価・手動レビュー支援アプリ。Shopify 標準の Fraud Analysis を強化します。
アプリ導入時は月額コスト・処理速度への影響・既存アプリとの相性を事前に評価する必要があります。
対策④: 監視ツールで転売追跡
ボット対策を行ってもすり抜けた注文や、転売目的の通常注文（ボットを使わない買い占め屋）は残ります。販売後の市場流通を監視し、転売状況を可視化することで、次回販売時の対策強化に活かせます。
監視のポイントは次の通りです。
- 自社商品が Amazon・楽天・Yahoo!・メルカリ等で正規価格を超える価格で出品されていないか
- どの転売販路に最も流れているか
- 新規 SKU が出品されたタイミング
これらをマルチモール対応の監視ツールで横断的に追跡することで、次回販売時に対策を強化できます。
Amazon・楽天・Yahoo! ショッピングまでの転売流通を Sentrio で横断監視できれば、次回販売時の対策強化や、ブランド毀損リスクの早期発見に活用できます。
Amazon と Shopify の二本立てで転売を捉える考え方についてはEC の転売対策は「出品側」と「注文側」の 2 本立て、転売監視ツール全般の比較はEC モール相乗り・転売監視ツール比較も参照してください。
対策⑤: 注文後の手動チェック運用
技術的な対策に加え、注文後の手動チェック運用も重要です。
チェックポイント
- 同一住所・電話番号への複数注文の有無
- ギフトカード・プリペイドカードでの高額注文
- IP アドレス・配送先国の不一致
- アカウント登録から注文までの極端に短い時間
Shopify の管理画面でリスクレベル「高」の注文をリストアップし、CS チームでレビュー・必要に応じてキャンセルする運用を限定販売の翌日に集中実施します。
自動キャンセルポリシーの事前告知
「ボット利用・転売目的と判断した注文は自動キャンセルする」というポリシーを利用規約に明記しておくことで、キャンセル時のクレーム対応を簡素化できます。
Shopify ストアの基礎を整える — そもそも構築段階で対策可能
Shopify ストア構築の段階で、以下の選択を意識するとボット対策が後から楽になります。
- Shopify Plus を検討する: チェックアウトのボット保護は Plus 限定。限定販売が事業の柱なら機能差が大きい
- 抽選販売を前提とした商品設計: スピード勝負を避ける販売モデル
- アカウント必須にする: ゲスト購入を許可しないことでボット作成コストを上げる
- 支払い方法を選別する: 高リスク支払い手段を排除
これから Shopify ストアを立ち上げる場合は、ボット対策を後付けで足すのではなく、構築時の前提として組み込む設計が長期的に有利です。
まとめ — 5 層防御で限定販売を守る
Shopify でのボット対策・転売目的注文ブロックの 5 層を整理します。
| 層 | 内容 | 対象手口 |
|---|---|---|
| ① チェックアウトのボット保護（Plus） | reCAPTCHA / hCaptcha を発売イベントに合わせて適用 | スピード勝負型 |
| ② 注文制限 | 数量・住所・支払い方法・アカウント | プロキシ分散型・アカウント作成型 |
| ③ サードパーティアプリ | 抽選販売・Queue・ボット対策アプリ | スピード勝負型・再入荷監視型 |
| ④ 監視ツール | マルチモール転売追跡 | 販売後の市場流通把握 |
| ⑤ 注文後の手動チェック | リスク注文レビュー・自動キャンセル | すり抜けた怪しい注文 |
ボット転売は単一対策では防げません。Shopify 標準 + 注文制限 + アプリ + 監視ツール + 手動チェックの組み合わせで、それぞれの抜け道を補完する設計が必要です。
特に限定販売をリリースする場合は、Plus なら「チェックアウトのボット保護＋抽選販売アプリ＋数量制限＋マルチモール監視」、非 Plus なら「ボット対策アプリ＋抽選販売アプリ＋数量制限＋マルチモール監視」の 4 点セットがコスト効率と防御力のバランスが良い構成です。販売イベント前に対策レベルを引き上げ、終了後に通常運用に戻す動的運用で、ユーザー体験への影響を抑えつつ転売リスクを最小化できます。
よくある質問
Q. Shopify Plus でなくても転売 bot 対策はできますか？
できます。チェックアウトのボット保護は Plus 限定ですが、購入制限アプリ・ボット対策アプリ・抽選販売アプリ・Shopify Flow（Basic 以上で利用可）は Plus 以外でも使えます。限定販売の規模が大きく、毎回ボットに買い占められる状態が続くなら、Plus のボット保護を検討する価値があります。
Q. CAPTCHA を入れればボットは防げますか？
CAPTCHA だけでは防げません。画像認識や人力代行サービスで突破するボットがあるためです。Shopify 公式ヘルプも、チェックアウトのボット保護は「自動チェックアウトボットの効果を抑える機能」と位置づけています。数量制限・抽選販売・注文後のチェックと組み合わせて使います。
Q. ボットによる注文かどうかはどう見分けますか？
同じ住所・電話番号への複数注文、アカウント登録から注文までの時間が極端に短い、配送先と IP の国が一致しない、といった兆候が目安です。Shopify Flow で条件に合う注文にタグを付けて通知し、出荷前に確認する運用にすると見落としを減らせます。
Q. 抽選販売にすればボット対策は不要ですか？
スピード勝負はなくなりますが、ボットで大量のアカウントや応募を作る手口は残ります。応募時の会員登録必須化、同一住所・同一電話番号の重複当選の排除など、応募段階の制限と組み合わせるのが前提です。
Q. 転売目的の注文をキャンセルしても問題ありませんか？
事前に利用規約や販売ページで「転売目的と判断した注文はキャンセルする」と告知しておけば、キャンセル時のトラブルを減らせます。告知なしのキャンセルは顧客とのトラブルになりやすいため、限定販売の前に規約を整えておきましょう。
