ה-access token מועבר בכל קריאת API בכותרת `X-Shopify-Access-Token` (ל-Admin REST API) או כ-Bearer token ב-GraphQL. הוא מזהה גם את האפליקציה (לאיזה היקפי הרשאה מותר לה) וגם את החנות (על איזו חנות מותר לקרוא). אסור לחשוף אותו בקוד צד-לקוח — הוא תמיד שמור בשרת.
Storefront API משתמש ב-public access token שמיועד דווקא לרוץ בדפדפן, והוא מוגבל מאוד לפעולות שלקוח קצה יכול לעשות (קריאת מוצרים פעילים, יצירת checkout). אפילו את הטוקן הציבורי כדאי לא לחשוף יותר מהנדרש — Shopify מאפשרת ליצור כמה טוקנים נפרדים כדי לאזרח גישה לפי כל ערוץ.