Shopifyでbotを止める方法を調べると、同じ機能に見えてまったく違う2つが出てきます。

1つはチェックアウトの設定にある bot protection。もう1つは、いまこの瞬間あなたのストアで有効になっている hCaptcha です。この2つを混同しているマーチャントは非常に多く、その混同には代償があります。前者はShopify Plusでしか使えず、後者はチェックアウトにまったく関与しないからです。

この記事では、まず両者が何をするのかをShopify公式ドキュメントだけで確定させ、そのうえでUS App Storeの実在アプリ6本を見ます。うち1本はShopify製ですが、ほとんどのマーチャントが存在を知りません。そして最後に、この話の成否を決める1つの論点に決着をつけます。ブロックするコードは、いったいどこで動いているのか。

調査日は2026年9月2日。料金はすべてUS（英語）App Store表示のUSDです。

結論から

• bot protectionはShopify Plus限定 で、Plusであっても既定では無効、Plus Supportに連絡して有効化する必要があります。対象は最大 500商品、スケジュールできるイベントは 同時に1つ、1イベントの上限は 60分。常時稼働のシールドではなく、ドロップ当日の公平性を担保するバルブです。
• hCaptchaはすべてのストアで既定オン ですが、守るのはお問い合わせ・コメント・ニュースレターのフォームと、レガシー顧客アカウントのログイン・アカウント作成・パスワード再設定です。チェックアウトではありません。しかもShopifyは、サードパーティのCAPTCHAアプリと競合する と明記しています。
• どのストアもすでにCloudflareの背後にあります。Shopifyは「all requests that come to your online store on Shopify must first pass through Cloudflare」とし、WAFとDDoS対策が常時有効だとしています。
• チェックアウトの制限は 二択ではありません。Shopify Functionsで作られた公開アプリはBasic以上でサーバー側で動きます。Plus限定なのは、情報・配送・支払いページのCheckout UI extensionsです。
• 多くのブロッカーアプリは テーマのApp embed、つまり訪問者のブラウザ上のJavaScriptとして動きます。Blockifyのサポートは文章でこう書いています。「no third-party app (including Blockify) can fully prevent visitors or bots from entering checkout or creating abandoned checkouts」。
• Shopifyのストアフロントの前段にCloudflareを置くことはできません。 ShopifyはCloudflareプロキシがSSL発行を壊し、「reduces the effectiveness of bot detection」と明記しています。
• 国単位ブロックには実際の巻き添え被害が記録されています。あるマーチャントではブロックページがGooglebotに配信され、商品ページの代わりにインデックスされました。
• 最も有用な無料の選択肢は、サーバー側でブロックするShopify製の Fraud Control です。評価は2.2です。
• これらのアプリの多くは、訪問者のブロックがテーマのApp extensionの有効化に依存することを、自社ドキュメントに書いています。

bot protectionとは実際に何なのか

bot protectionのページはプラン要件から始まります。「The bot protection feature is available only for merchants on a Shopify Plus plan」。機能としては「acts as a fairness control by blocking known bots from your checkout, and slowing down bot activity」。

そして制約が続きます。名前から受ける印象よりずっと限定的です。

• 既定では無効。「Bot protection is available in your Shopify admin only after it's been activated. To activate bot protection for your online store, contact Shopify Plus Support」
• 守備範囲も設計上限定されています。「This feature is meant only to limit the effectiveness of auto-checkout bots and isn't meant to combat forms of fraud that are related to bot activity」
• Online Storeセールスチャネルのみ
• 最大 500商品、または公開中の全商品。コレクション単位では指定できません
• スケジュールできるイベントは同時に1つ
• 1イベントの最大時間は60分
• 有効化後は編集できず、無効化のみ

チャレンジ自体はGoogleの reCAPTCHA かIntuition Machinesの hCaptcha のどちらか。hCaptchaを選ぶと画像選択や範囲指定に加えて、自分で書いたカスタム設問を追加できます。

つまり、この機能を持つPlusマーチャントですら、常設のbotシールドを運用しているわけではありません。ドロップの前後に1時間のチェックポイントを予約しているだけです。

すべてのストアがすでに持っているもの

2つあります。どちらもお金を使う前に理解しておく価値があります。

Cloudflare。 Shopifyのbotに関するガイダンスには「Shopify uses Cloudflare services to protect your store from bots. All requests that come to your online store on Shopify must first pass through Cloudflare」とあり、「Cloudflare is always active on your store and requires no action from you」と続きます。同じページには、不審なトラフィックやVPN経由の訪問者が「might receive a Cloudflare verification challenge when navigating your Shopify store」という記述もあります。表示は「Your connection needs to be verified before you can proceed」。これはストアフロント閲覧時のチャレンジであって、チェックアウトのものではない点に注意してください。

hCaptcha。 Online Store → Preferences の下にある2つのトグルは、すべてのストアで既定オンです。お問い合わせ・コメントフォーム（ニュースレター登録も含む）へのhCaptchaと、レガシー顧客アカウントのログイン・アカウント作成・パスワード再設定ページへのhCaptcha。

ここで2点、よく間違って伝わっている内容を訂正しておきます。1つ目、ログインやアカウントページで動いているのは Google reCAPTCHAではなくhCaptcha です。reCAPTCHAはPlusのbot protectionのチェックポイント選択肢としてのみ登場します。2つ目、こちらのほうが重大ですが、Shopifyは「hCaptcha isn't compatible with custom code or third-party apps that add CAPTCHA... To ensure hCaptcha works for your customers, remove custom code and deactivate CAPTCHA on third-party apps」と警告しています。ShopifyのうえにCAPTCHAアプリを重ねてもストアは堅くなりません。壊れることがあります。

もう1点。新しい顧客アカウントではhCaptchaはそもそも動きません。「the customer accounts verification process doesn't require hCaptcha」だからです。レガシーアカウントから移行すれば、この摩擦点自体が消えます。

チェックアウトの制限は二択ではなく三層

非Plusストアについて最もよく言われるのは「アプリはチェックアウトに触れない」です。これは正確ではなく、その差が重要です。

Shopifyはプラン別の提供状況表を公開しています。Web pixel、post-purchase extension、サンクスページと注文状況ページのUI extension、Customer account UI extension、そして重要なことに Shopify Functionsで作られた公開アプリ は、いずれもBasic以上で利用できます。Plus限定なのはこう明記されています。「Apps that customize the information, shipping, and payment pages of the checkout, including checkouts from draft orders, are available only to Shopify Plus」。

Shopify Functionsが重要なのは、どこで実行されるかです。shopify.devには「Validation functions run on Shopify's servers and can block checkout progress when business rules aren't met... They provide reliable enforcement of business logic that can't be bypassed by customers」とあります。

つまり実像は三層です。誰でも使えるが回避可能なストアフロントのJavaScript。Basic以上で使え回避できない、公開アプリのFunctionによるサーバー側検証（ただし判定対象はカートの中身とチェックアウトの入力値であって、「この訪問者はbotか」ではありません）。そしてPlus限定の、目に見えるチェックアウトUI。

Plusで、Launchpadが助けになると期待している場合の答えも書いておきます。なりません。Launchpadがスケジュールするのは価格、在庫、公開、テーマ変更、そしてイベント前のパスワードページです。bot対策もキューもレート制限も含まれていません。

6本のアプリ

Blockify Fraud Filter, Blocker

出典: Shopify App Store（Blockify Fraud Filter, Blocker、2026-09-02時点）

Blockify Fraud Filter, BlockerはBuilt for Shopifyバッジを持ち、評価4.9、レビュー1,581件とこのカテゴリー最大の掲載です。公開日は2018年3月13日。

FREE（無料インストール、全ストア）はIP・国のブロックルール4件、リダイレクトルール4件、最初の200訪問者の分析。PREMIUM 月9.99ドル または年95.90ドル（Plus以外）でルール無制限、訪問者分析無制限、VPN・プロキシの自動ブロック、コンテンツ保護、3日間トライアル。ENTERPRISE 月19.99ドル でTORブロック、ISP・リファラーブロック、条件付きチェックアウトブロックを追加。SHOPIFY PLUS 月39.99ドル で全機能に加えて高リスク注文の自動キャンセル。

要求スコープにはテーマとscript tag（クライアント側）に加えて、カート・チェックアウト検証のShopify Functions（サーバー側）が含まれます。このカテゴリーの多くが共有するハイブリッド構成です。

この記事全体で最も有用な一文は、Blockify自身のサポートが2025年12月27日に1つ星レビューへ返信した内容でした。「on Shopify, the checkout page is a protected area, meaning no third-party app (including Blockify) can fully prevent visitors or bots from entering checkout or creating abandoned checkouts. This is a platform-level limitation across the entire Shopify ecosystem, not specific to our app or plan.」

レビューには何がうまくいかないかも記録されています。2025年9月、アラブ首長国連邦のマーチャントはShopifyサポートの説明として、Blockifyが「is treating legitimate search engine crawlers as threats and showing them the blocking screen, which then gets indexed instead of your actual product pages and collections」と引用し、アンインストール後も検索での露出が戻っていないと書いています。2026年7月には米国のマーチャントが Block Countries の画面で「Add Non-US Countries」を選び、自分のストアを止めてしまいました。開発元は非を認め「This is a design and UX problem on our end」と返答しています。

MIDA Fraud Filter, Bot Blocker

出典: Shopify App Store（MIDA Fraud Filter, Bot Blocker、2026-09-02時点）

MIDA Fraud Filter, Bot Blockerは有料プランが一切ない無料アプリで、Built for Shopifyバッジを持ち、評価4.9、レビュー329件。公開日は2025年9月19日なので、まだ1年経っていません。

ドキュメントはこのカテゴリーで最も明快で、しかもクライアント側かどうかの論点に直接決着をつけています。セットアップガイドのStep 1は「Enable Theme App Extension」で、その理由も明確です。「MIDA cannot block or redirect visitors until the Theme App Extension is enabled」。訪問者のブロックはテーマ側のJavaScriptである、と開発元自身が述べています。要求スコープには配送・支払い・カート・チェックアウト検証のShopify Functionsも含まれており、サーバー側の半分はそこにあります。VPN判定は外部依存で、MIDAは「detects VPNs, proxies, and anonymous networks by querying IP intelligence provided by」proxycheck.ioとしています。

ドキュメントには検証済みの正当なbotをホワイトリスト化する仕組みの記載もあり、英国のマーチャントが2026年9月1日に「helped make sure genuine verified bots such as Googlebot were still allowed while suspicious traffic was blocked」と書いています。上のBlockifyの事例を踏まえると、このカテゴリーのどのアプリでも、有効化前に確認すべきはクローラーのホワイトリスト対応です。

Blocky 不正フィルター・IPブロッカー

出典: Shopify App Store（Blocky 不正フィルター・IPブロッカー、2026-09-02時点）

Effective AppsのBlocky 不正フィルター・IPブロッカー（英語ロケールでの表示名はBlocky Fraud Filter IP Blocker）はBuilt for Shopifyバッジを持ち、評価4.7、レビュー331件、公開日は2021年4月7日。

Basic 月9.99ドル または年83.92ドルで国ブロック無制限、ブロックページのカスタマイズ、7日間トライアル。Advanced 月16.99ドル でIPv4/IPv6ブロック無制限、IPホワイトリスト、位置情報リダイレクトを追加。Pro 月19.99ドル でメール・氏名・住所・電話でのブロック、「Bot Killer: TOR, Proxy & VPN Blocker」、訪問者分析ログ無制限を追加。

2点目立ちます。有料プランはすべて「All stores except for Shopify Plus stores」と記載されており、Plusマーチャント向けのプランがありません。そしてマーケティング文面に引用する価値のある告白があります。「that bypass CAPTCHA/reCAPTCHA using TOR, VPN or Proxy」なbotを対象にすると書かれている。これは開発元が、Shopify標準のhCaptchaは日常的に突破されていると言っているのと同じです。

BlockX Country Blocker

出典: Shopify App Store（BlockX Country Blocker、2026-09-02時点）

ZendAppsのBlockX Country Blockerは推奨としてではなく注意喚起として入れています。Built for Shopifyバッジなし、評価3.4、レビュー31件（うち16%が1つ星）、公開日2018年1月2日。無料プランは2か国と2つのIPをブロック、Pro Protection 月5.99ドル または年64.69ドルで無制限ブロック、地域単位ブロック、VPN・bot対策、10日間トライアル。

リスティング上の連携先はShopify Adminのみで、上の3本と違いチェックアウト連携がありません。そして2026年6月、4年以上課金し続けていた英国のマーチャントが、VPNブロックがまったく機能していなかったと報告し「how long has this been broken for us, a month, a year?」と書いています。1週間後の開発元の返信は「a server-side VPN validation issue」であったとし、恒久的に解消したと述べています。修正自体は額面どおり受け取ってよいでしょう。残る論点は、有料の保護機能が長期間にわたって静かに失敗しうるということです。ブロックが発火しなかったことを知らせてくれるものは何もありません。

CrowdHandler Waiting Room

出典: Shopify App Store（CrowdHandler Waiting Room、2026-09-02時点）

Shopifyにはどのプランにもキュー機能がありません。CrowdHandler Waiting Roomはまさにその穴を埋めます。Built for Shopifyバッジなし、レビュー1件で5.0、公開日2025年7月28日。

Lite 無料 は待機ルーム1つ、ストア1つ、待機人数の上限100人、毎分10人を通過。Plus 月1,500ドル で5ルーム、2ストア、待機20,000人、毎分300人、サポート応答8時間。Enterprise 月5,600ドル で20ルーム、5ストア、待機100,000人、毎分1,000人。

この段差の意味は正直に受け止めるべきです。同時100人の無料プランはデモです。ドロップに実際のトラフィックが集まるなら、次の段は月1,500ドル。BasicやGrowのマーチャントの大半にとって、キューは手が届きません。より安いものを何か月も探す前に知っておく価値のある事実です。

Fraud Control

出典: Shopify App Store（Fraud Control、2026-09-02時点）

Fraud ControlはShopify製、無料、評価2.2、レビュー21件でうち38%が1つ星。公開日は2023年5月10日。

低評価の裏に本当に有用なものが隠れています。ヘルプページによれば「Fraud Control checkout rules allow you to filter and block potentially-fraudulent orders. Based on a set of rules that you define, the app will block checkouts from becoming orders」で、判定対象はメールアドレス、住所の属性、IPアドレス。そして「is available to all store plans in locations where Shopify Payments is available」。Basicで、無料で、サーバー側でブロックできるということです。

条件は2つ。Shopify Paymentsが必要であること。そして「doesn't guarantee coverage against chargebacks」であること。期待値を調整しておくべき挙動が1つあります。「In the checkout process a blocked checkout will receive an error... Blocked checkouts will show in the abandoned checkouts section of your store」。ブロックしてもカゴ落ちの数字はきれいになりません。

Shopify自身の警告は、この記事のすべてのアプリに当てはまります。「Use caution when setting up rules to ensure that legitimate traffic is not prevented from checking out」。

なおShopifyのレガシーアプリ Fraud Filter は消えました。リスティングは現在「This app is not currently available on the Shopify App Store」を返します。

それぞれ、どこで動いているのか

アプリ	ブロック対象	動作場所	チェックアウトに届くか	エントリー価格
Blockify Fraud Filter, Blocker	IP、国、VPN・プロキシ・TOR、ISP、リファラー、bot	テーマembedとscript tag、加えてFunctions	部分的。開発元はbotのチェックアウト侵入は止められないと明言	無料
MIDA Fraud Filter, Bot Blocker	bot、IP、国、VPN・プロキシ・TOR、挙動	テーマApp extension、加えてFunctions	部分的。支払い・配送のカスタマイズ経由	無料
Blocky 不正フィルター・IPブロッカー	国、IP、TOR・プロキシ・VPN、顧客情報	script tagとテーマ、加えてFunctions	全有料プランでチェックアウト内で動作すると記載	月9.99ドル
BlockX Country Blocker	国、地域、IP、VPN、bot	Shopify Admin連携のみ	届かない	無料
CrowdHandler Waiting Room	全トラフィックをキューイング	リスティングに記載なし	キューはストアフロントの前段	無料、同時100人
Fraud Control	メール、住所、IPによる注文	Shopifyのサーバー	届く。チェックアウトの注文化をブロック	無料
bot protection（標準）	チェックアウトの既知bot	Shopifyのエッジ	届く。最長60分、最大500商品	Plus限定

パターンは一貫しています。訪問者のブロックはクライアント側であり、したがって回避可能です。カートやチェックアウトのURLへ直接POSTするbotは、テーマembedのJavaScriptを一度も実行しません。注文のブロックはサーバー側であり信頼できます。ここに挙げたアプリの多くは両方をやっていて、マーケティング文面はその区別をしていません。

事態を悪化させる回避策

マーチャントのフォーラムでよく出回る助言が「ストアの前段にCloudflareを置く」です。Shopifyは、それができないと明確に書いています。

ドメインのトラブルシューティングページには管理画面の通知文「Your domain is using a Cloudflare Proxy, which Shopify does not support」が記載され、4つの結果が挙げられています。SSL証明書の発行失敗。回復力の低下で「makes your store more vulnerable to outages」。非サポート構成であり「could break at any time... outside the scope of Shopify Support」。そしてもう1つ。

「Reduced bot detection accuracy: Shopify's bot detection relies on seeing the original request from the visitor. When traffic passes through a Cloudflare proxy, request attributes are altered before reaching Shopify, which reduces the effectiveness of bot detection and can increase unwanted bot traffic to your store.」

Shopifyのサポート前チェックリストには文字どおり「No Cloudflare Proxy is present」が入っています。この回避策は効かないだけでなく、すでに効いている保護を弱めます。

どう選ぶか

「分析データがbotトラフィックで汚れている」。 このカテゴリーで最も多い実際の問題であり、最も解決しやすい問題です。MIDA（無料）またはBlocky Pro（19.99ドル）で訪問者の属性が分かり、クローラーを守ったままブロックできます。何かを有効化する前にGooglebotのホワイトリストを確認してください。得られるのはきれいなデータであって、売上ではありません。

「不正注文・カード試行が来ている」。 これはbotトラフィックではなく決済不正です。Shopify Paymentsを使っているなら、まず無料・Shopify製・サーバー側のFraud Controlから。TORやISPの条件が必要な場合にだけBlockify Enterpriseの19.99ドルを重ねます。ブロックしてもカゴ落ちとして残る点は受け入れてください。

「転売業者にドロップを取られている」。 Basic・Grow・Advancedではどのアプリも解決しません。開発元自身がそう言っています。現実的な選択肢は、CrowdHandler（同時100人までは無料、それ以上は月1,500ドル）、標準のbot protectionのためにPlusへ上げる、あるいは仕組みを変えることです。抽選、事前登録期間、アカウント必須化、Functionsベースの検証アプリで1人あたり購入数を制限する。3つ目が最も安く、多くの場合最も効きます。

「スクレイパーにコンテンツを取られている」。 ShopifyはすでにすべてのストアでCloudflareのWAFとDDoS対策を動かしており、自前のレイヤーを足すと検知が悪化します。帯域のコストを負担しているのはShopifyであってあなたではありません。特定できたスクレイパーのIPを事後にブロックして、先へ進んでください。

「特定の国をまるごと遮断したい」。 標準機能にはなく、これらのアプリが本当にやってくれる唯一の仕事です。ただし上のBlockifyのレビューを先に読んでください。クローラーのホワイトリストと、許可した国の実IPからの同一セッションでのテストなしに有効化しないこと。

何かを買う前に、無料でできる5つを済ませてください。hCaptchaの2つのトグルが有効か確認する。新しい顧客アカウントへ移行する（検証方式がhCaptchaの問題を回避します）。Shopify Paymentsを使っているならFraud Controlを入れてIPとメールのルールを書く。Shopify Flowで高リスク注文を自動キャンセルする。そしてサードパーティのCAPTCHAアプリを外す。ShopifyがそれはhCaptchaと競合すると明記しているからです。

確認できなかったこと

Shopifyは「ストアフロントの国単位ブロックはない」「マーチャントが制御できるレート制限はない」「キューはない」と明示的に書いてはいません。この3点はドキュメント全体を通した完全な不在から推論したもので、根拠としては強いものの否定文そのものではありません。CrowdHandlerのブロックがエッジ側かクライアント側かは、リスティングに記載がありません。またレガシーのFraud Filterアプリの終了日として広く引用されている2025年1月31日は二次情報であり、Shopifyのリスティングから確認できるのはアプリが消えていることだけです。

参考・出典

• Bot protection — Shopify Help Center
• Dealing with bots — Shopify Help Center
• Bot types and intents — Shopify Help Center
• Online store preferences — Shopify Help Center
• Checkout apps availability — Shopify Help Center
• Cart and checkout validation — shopify.dev
• Launchpad — Shopify Help Center
• Fraud Control app — Shopify Help Center
• Troubleshoot issues with domains — Shopify Help Center
• MIDA Fraud Filter documentation