はじめに
公開サイトのゲストユーザーが、GraphQL APIにリクエストできる状態になっていないでしょうか。
Winter '27からは、このアクセスを組織単位でオン・オフできます。ただし、2026年3月以降にゲストのGraphQLアクセスがあった組織は、現状維持でオンのままです。
この記事では、リリースノートとGraphQL API開発者ガイドで確認できた範囲で、設定の場所、Metadata APIのSecuritySettingsに追加された項目、オフにしたときのエラーの出方を整理します。
サイトが動かなくなる事故を避けるための、サンドボックスでの確認ポイントも添えました。
今回の変更で、何が決まるのか
まず結論です。ゲストユーザーのGraphQLアクセスは、組織ごとに「オン」か「オフ」を選べます。
初期状態は組織によって違います。公式のリリースノートには、次のように書かれています。
- 新しい組織と、2026年3月以降にゲストユーザーのGraphQLアクセスがなかった組織では、ゲストユーザーアクセスは無効(オフ)です。
- 2026年3月以降にゲストユーザーのGraphQLアクセスがあった既存の組織では、今の動作を変えないために有効(オン)のままです。
つまり、既存の公開サイトを持つ組織ほど「オンのまま」になっている可能性があります。ここが、今回いちばん見落としやすいところです。
図1:ゲストユーザーのGraphQLアクセスの初期状態
オフの場合、ゲストユーザーはGraphQL APIのエンドポイント(リクエストの送り先のURL)にアクセスできず、リクエスト時にエラーを受け取ります。オンの場合は、ゲストユーザーが持っているオブジェクトレベルと項目レベルの権限が、そのままGraphQL APIにも適用されます。
つまり、「オフなら入口が閉じる。オンなら権限の範囲で読める」という理解でOKです!
出典:Salesforceヘルプ「GraphQL API」(リリースノート)
https://help.salesforce.com/s/articleView?id=release-notes.rn_api_graphql.htm&release=264.0.0&type=5&language=ja
ゲストのGraphQLアクセスを確認・変更する手順
設定の場所は、リリースノートに書かれています。ログインしている管理者が、設定画面から操作します。
- [設定]を開きます。
- [クイック検索]ボックスに「API アクセスコントロール」と入力します。
- 表示された[API アクセスコントロール]を選びます。
- ゲストユーザーアクセスに関する項目を探して、現在の状態(オンかオフか)を確認します。
- 必要に応じてオンとオフを切り替えて、ゲストユーザーアクセスを更新します。
図2:設定の場所は1か所
リリースノートには、「ゲストユーザーアクセスを更新する」としか書かれていません。
なお、GraphQL API開発者ガイドでは、この設定はAPIバージョン68.0以降の機能として説明されています。
設定画面を触る代わりに、メタデータで管理する方法もあります。Metadata APIの SecuritySettings に、enableGraphQLApiGuestUserAccess という項目が追加されました。ソースコードで組織の設定を管理しているチームなら、こちらのほうが馴染むかもしれません。
つまり、「設定の場所は1か所で、コードからも変えられる」という理解でOKです!
出典:GraphQL API開発者ガイド(英語)「Query Objects」
https://developer.salesforce.com/docs/platform/graphql/guide/query-record-objects.html
出典:Salesforceヘルプ「リリースノート(Metadata API)」
https://help.salesforce.com/s/articleView?id=release-notes.rn_api_meta.htm&release=264.0.0&type=5&language=ja
オンのままにするなら、見直したい権限
「うちの公開サイトはGraphQLを使っていないから、オフにして終わり」なら話は簡単です。
悩ましいのは、サイトがゲストのAPIアクセスに頼っている場合です。オフにしたらサイトが動かなくなった、という事態は避けたいですよね。まず本番ではなくサンドボックスで試すのが安全です。
オンのままにする場合の考え方は、公式ヘルプに書かれています。Experience Cloudサイトを作ると、サイトごとにゲストユーザープロファイルとゲストユーザーレコードが作られます。公開サイトに来るゲスト訪問者は、そのサイトで1つのゲストユーザーレコードを共有して、同じアクセスレベルを持ちます。
つまり、ゲストのプロファイルを見直すのが、GraphQLのスイッチを見るのと同じくらい大事です。
私も最初は、ゲストのプロファイルを開いて「オブジェクト権限って何を見ればいいんだ」と固まりました。結局、読み取りが付いているオブジェクトを1つずつ確認するのが近道です。
つまり、「GraphQLのスイッチを見るだけでなく、ゲストの権限そのものも点検する」という理解でOKです!
出典:Salesforceヘルプ「ゲストユーザープロファイルを使用して認証されていないユーザーに安全なアクセスを提供」
https://help.salesforce.com/s/articleView?id=platform.networks_public_access.htm&release=264.0.0&type=5&language=ja
ここは注意!つまずきポイント
1. 既存の組織は「オン」のままかもしれません
前述のとおり、2026年3月以降にゲストのGraphQLアクセスがあった組織は、オンのままです。リリース後に自動で閉まるわけではないので、公開サイトがある組織は、一度設定画面で現状を見ておいたほうが良さそうです。
2. オフにすると、ゲストのリクエストはエラーになります
オフの組織では、ゲストユーザーがGraphQL APIにリクエストすると、エラーが返ります。ゲスト向けの画面がGraphQLでデータを取っている場合、表示が崩れる可能性があります。変更の前に、サンドボックスでサイトの動きを確認してくださいね。
3. 対象エディションと追加費用は、確認できていません
[API アクセスコントロール]ページの対象エディションや、追加費用の有無は、公式の情報では確認できませんでした。ゲストユーザープロファイルの解説ページには、Enterprise Edition、Performance Edition、Unlimited Edition、Developer Editionで使える、と書かれています。ただし、これはゲストユーザープロファイルの説明です。GraphQLの設定項目そのものの条件ではありません。実機とご契約内容で確認してください。
4. 名前の似た別の機能があります
ヘルプには、同じような名前で、接続アプリケーションを許可リストで制限する別の機能も載っています。こちらは、Salesforceサポートに依頼して有効にする機能だと書かれています。今回のゲスト向けGraphQLの切り替えとは、別の話です。混ざらないように注意してください。
5. Salesforce公式ブログでも、ゲスト設定の見直しが呼びかけられています
2026年3月のSalesforce公式ブログは、公開Experience Cloudサイトの、ゲストユーザー設定が緩い組織を狙った動きに注意を促しています。プラットフォームそのものの脆弱性ではなく、お客様側の設定の問題だと説明されているようです。これは仕様の説明ではなく背景情報として読んでください。具体的な推奨内容は、公式ブログ本文でご確認ください。
出典:Salesforce公式ブログ(英語)「Protecting Your Data」
https://www.salesforce.com/blog/protecting-your-data-essential-actions-to-secure-experience-cloud-guest-user-access/
まとめ
- Winter '27で、ゲストユーザーによるGraphQL APIへのアクセスを、管理者が設定画面から切り替えられるようになりました。
- 新しい組織はオフ、2026年3月以降にゲストのGraphQLアクセスがあった組織は、現状維持のオンです。
- 設定は[設定]の[クイック検索]で「API アクセスコントロール」を探します。項目のラベルは日本語版で確認できなかったので、実機で見てください。
- オンのままにするなら、ゲストユーザープロファイルのオブジェクト権限と項目レベルの権限もあわせて点検しましょう。
公開サイトの設定は、ひとつ見直すと次の気になる点が見えてきます。一緒に少しずつ慣れていきましょう!
ゲストユーザーまわりのセキュリティ設定や、Winter '27で変わった管理者向けの設定を、実務目線でほぼ毎日まとめています。見逃したくない方はフォローしておいてもらえると嬉しいです!