【解説】Merchant Centerにパスキー必須
URL変更や権限付与の前に設定を
Googleは、ネットショップが商品データを登録する「Google Merchant Center」で、重要な操作の本人確認にパスキーを求める仕組みを導入しました。公式ヘルプでは、対象は「ウェブサイト/URLの変更」と「管理者・ユーザー管理」の2つで、全ユーザーに段階的に展開すると案内しています。自分のアカウントが対象になると、メールと Merchant Center 内の通知で知らされます。
何が変わる？
- パスキーが必要になる操作：ショップのURL（ウェブサイト）の変更と、ユーザーの追加・権限変更などのアカウント管理です。ふだんのログインや商品データの更新が対象として挙げられているわけではありません。
- パスキーとは：パスワードの代わりに、パソコンやスマートフォンの画面ロック（顔認証・指紋・PIN）で本人確認する方式です。他人に教えたり、偽サイトに入力させられたりすることがないため、フィッシング対策として広がっています。
- 設定の場所：Merchant Center に紐づく Google アカウントの「パスキーとセキュリティキー」から作成します。FIDO2 対応のハードウェアのセキュリティキーも使えます。
- 使える端末の条件：Windows 10 以降、macOS Ventura 以降、Android 9.0 以降、iOS 16 以降などで、画面ロックの設定が必要です。シークレットモードでは作成できない場合があり、共有パソコンでは作らないよう注意されています。
- スマホで本人確認する場合：パソコンに表示されるQRコードをスマートフォンで読み取って承認できます。このとき両方の端末で Bluetooth をオンにし、近くに置く必要があります。
Google広告でも、ユーザー追加や請求情報の変更などにパスキーを求める仕組みがすでに案内されており、Google の広告・ショッピング関連の管理画面全体で本人確認を強める流れといえます。
EC事業者への影響
Merchant Center は、Google ショッピングの無料リスティングや広告に商品を出すための管理画面です。今回の変更で、乗っ取られたアカウントから勝手にURLを書き換えられたり、知らないユーザーを追加されたりするリスクは下がります。一方で、準備をしていないと「必要なときに操作できない」ことが起こりえます。
- ドメインの変更やカートの移行を予定している店舗：移行作業ではショップのURL変更が発生します。作業当日に担当者のパスキーが未設定だと、そこで手が止まります。
- 制作会社・広告代理店に運用を任せている店舗：外部の担当者を追加したり、退職者を外したりする操作が対象です。誰がどのアカウントで管理者権限を持っているかを把握しておく必要があります。
- 共有アカウントで運用している店舗：1つの Google アカウントを複数人で使い回している場合、パスキーをどの端末に置くかが問題になります。担当者ごとにアカウントを分け、必要な権限だけを付ける形に改める機会です。
- カートのアプリ経由で連携している店舗：Shopify などから連携していても、Merchant Center の画面で直接URLやユーザーを変更する場面では今回の本人確認が求められます。
今やるべきこと
- Merchant Center の管理者になっている Google アカウントで、パスキー（またはセキュリティキー）を作成しておく
- ふだん使うパソコンとスマートフォンの両方にパスキーを用意し、どちらかが使えないときの手段を確保する
- Merchant Center のユーザー一覧を開き、退職者や契約が終わった外部業者のアカウントが残っていないか確認する
- 共有アカウントで運用している場合は、担当者ごとのアカウントに切り替える計画を立てる
- Google からの通知メールが届くアドレスを確認し、見落とさないようにする
