Shopify vyžaduje IP povolený seznam pro aplikace: klíčové lhůty
Od Eoin Villarin, 2026-11-07
Shopify nyní vyžaduje povolený seznam IP adres pro každou veřejnou aplikaci, která volá Admin API, s lhůtami 12. a 20. listopadu 2026. Zde je to, co se změní, co se zlomí, pokud to chybíte, a jak se připravit.
Kdy je vyžadován Shopify IP povolený seznam?
Shopify vyžaduje IP povolený seznam pro každou veřejnou aplikaci, která volá Admin API do 20. listopadu 2026, 23:59 ET. Aplikace, které používají hromadné operace, musí přidat jeden do 12. listopadu 2026. Aplikace bez něj jsou odstraněny z obchodu s aplikacemi 20. listopadu a jejich požadavky Admin API selžou od 1. dubna 2027.
Ključni zaključci
- Každá veřejná aplikace, která volá Shopify Admin API, potřebuje seznam povolených IP adres do 20. listopadu 2026.
- Aplikace, které používají hromadné operace, mají dřívější lhůtu 12. listopadu 2026, po které jsou hromadné dotazy a mutace blokovány.
- Zmeškaní lhůty znamená odstranění aplikace z App Store, varování obchodníků od 15. ledna 2027 a selhání požadavků Admin API od 1. dubna 2027.
- Aplikace na serverless hostingu mohou povolit seznam povolených celé sítě podle ASN místo jednotlivých IP adres.
- Samostatně musí aplikace přejít na vypršující offline přístupové tokeny před 1. lednem 2027.
Shopify nyní vyžaduje povolený seznam IP adres pro každou veřejnou aplikaci, která volá Admin API. Hlavní lhůta je 20. listopadu 2026 a aplikace, které používají hromadné operace, mají pouze do 12. listopadu. Pokud vytváříte nebo provozujete aplikaci Shopify, nebo pokud váš obchod závisí na jedné, zde je to, co se změní, co se zlomí, pokud to chybíte, a jak se připravit včas.
Co je seznam povolených IP adres Shopify?
Seznam povolených IP adres je seznam IP adres nebo sítí, které používají servery vaší aplikace. Jakmile je povolen, přístupové tokeny vaší aplikace fungují pouze tehdy, když požadavek pochází z jedné z těchto adres. Podle slov Shopify, seznam povolených IP adres znamená "uniklý token nemůže být použit nikde jinde než na vašich vlastních serverech." Pokud tedy přístupový token někdy unikne přes soubor protokolu, chybu nebo porušení, útočník nemůže použít token ze své vlastní машины.
Které aplikace potřebují seznam povolených IP adres?
Shopify oznámení se vztahuje na všechny veřejné aplikace, které volají Admin API. Shopify uvádí důvod jasně: nejrušnější týdny roku obchodníků jsou téměř zde, a chce, aby uniklé tokeny byly před svátečním náporem bezcenné.
Oznámení neuvedlo, zda jsou zahrnuty vlastní aplikace vytvořené pro jeden obchod. Pokud provozujete vlastní aplikaci, zkontrolujte nastavení své aplikace v Dev Dashboard a dokumentaci Shopify, protože přidání povoleného seznamu je dobrý nápad tak či onak.
Lhůty pro povolený seznam IP adres Shopify
| Datum (11:59 PM ET) | Co se stane |
|---|---|
| 12. listopadu 2026 | Hromadné dotazy a mutace z veřejných aplikací bez seznamu povolených IP adres jsou blokovány. |
| 20. listopadu 2026 | Veřejné aplikace bez povoleného seznamu IP adres jsou odstraněny z App Store, takže nejsou možné nové instalace, a jsou označeny v nastavení obchodníků > Aplikace. |
| 15. ledna 2027 | Obchodníci vidí varování ve svém administračním rozhraní Shopify. |
| 1. dubna 2027 | Požadavky Admin API z aplikací bez seznamu povolených IP adres selžou. |
Existující instalace budou fungovat až do 1. dubna 2027, ale aplikace, která byla odstraněna ze seznamu s varováním v adminu, je těžko prodáma obchodníkům, takže listopadové termíny jsou ty, které se počítají.
Jak připravit svou aplikaci
- Zmapujte každé místo, které volá Admin API. Zahrňte svůj hlavní server, pracovníky na pozadí, úlohy cron, fronty, obsluhující webhooky a všechny skripty, které běží v CI.
- Najděte výstupní IP adresy. Váš poskytovatel hostingu vám může říct, které adresy vaše servery používají k odchozím požadavkům. Pokud se často mění, nastavte statické výchozí IP adresy.
- Použít povolený seznam ASN pro serverless hosting. Aplikace na serverless platformách nebo dynamických IP adresách mohou povolit seznam povolených celé sítě podle jejího ASN místo jednotlivých adres. Shopify přidala podporu ASN právě pro tento případ.
- Přidejte seznam povolených v Dev Dashboardu. Shopify Dev Dashboard vám umožňuje omezit přístup Admin API pomocí povoleného seznamu IP adres.
- Nejprve proveďte hromadné operace. Pokud vaše aplikace provádí hromadné dotazy nebo mutace, platí dřívější lhůta 12. listopadu.
- Testovat na dev obchodě. Shopify testování síťového přístupu v náhledech dev obchodu označuje stránky a servery, se kterými vaše aplikace mluví, které jste nedeklarovali.
- Sledujte své protokoly API po změně. Chybějící adresa se zobrazuje jako selhání požadavků, takže zkontrolujte protokoly před a po každém nasazení.
Poznámka ze zkušenosti: povolit seznam povolených celou síť cloudového poskytovatele podle ASN je lepší než nic, ale kdokoli pronajímá server od stejného poskytovatele, sdílí tuto síť. Pro přísnější zabezpečení odešlete požadavky Admin API přes jeden malý proxy s pevnou IP adresou a povolit pouze tu adresu.
Další lhůta: vypršující offline přístupové tokeny
Shopify také přesune aplikace na vypršující offline přístupové tokeny, s odděleným časovým plánem. Aplikace, které stále používají nevypršující offline tokeny, jsou odstraněny a označeny v nastavení obchodníků k 1. lednu 2027, obchodníci vidí varování od 15. ledna 2027 a požadavky selhávají od 1. dubna 2027. Nevypršující tokeny můžete najít filtrováním protokolů API ve svém vývojářském panelu podle typu tokenu. Shopify také uvedl, že hromadné dotazy a mutace budou brzy vyžadovat vlastní rozsah přístupu. Aplikace, které spustily hromadnou operaci v posledních 180 dnech, obdrží tyto rozsahy automaticky, ale měly by je přidat do své konfigurace aplikace před dalším nasazením, jakmile budou aktivní.
Co by měli majitelé obchodů udělat
- Po 20. listopadu otevřete Nastavení > Aplikace ve svém Shopify adminu a hledejte označené aplikace.
- Zeptejte se vývojářů jakékoli označené aplikace, kdy přidají seznam povolených IP adres, zejména pro aplikace, které zpracovávají objednávky, zákazníky nebo inventář.
- Pokud máte vlastní aplikaci vytvořenou freelancerem nebo agenturou, požádejte je, aby přidali seznam povolených a zkontrolovali změnu tokenu také.
Pokud potřebujete pomoc se zabezpečením vlastní aplikace Shopify nebo integrace před termíny, podívejte se na mé Vývoj Shopify služby nebo kontaktujte mě.
Často kladené otázky
Kdy je vyžadován Shopify IP povolený seznam?
Do 20. listopadu 2026, 23:59 ET pro každou veřejnou aplikaci, která volá Admin API, a do 12. listopadu 2026 pro aplikace, které používají hromadné operace.
Co se stane, pokud moje aplikace zmešká lhůtu 20. listopadu?
Aplikace je odstraněna z obchodu Shopify App Store, takže nezískává nové instalace a je označena v nastavení obchodníků > Aplikace. Obchodníci vidí varování od 15. ledna 2027 a požadavky Admin API selžou od 1. dubna 2027.
Ztrácí stávající obchodníci aplikaci okamžitě?
Ne. Stávající instalace budou fungovat až do 1. dubna 2027, pokud aplikace nepoužívá hromadné operace, které jsou blokovány po 12. listopadu 2026.
Platí požadavek na vlastní aplikace?
Oznámení Shopify se týká veřejných aplikací, které volají Admin API a neurčuje, zda jsou zahrnuty vlastní aplikace. Přidání povoleného seznamu do vlastní aplikace je stále dobrým bezpečnostním krokem.
Moje aplikace běží na serverless hostingu. Jak přidám povolený seznam?
Shopify podporuje povolený seznam podle ASN, který pokrývá celou hostingovou síť místo jednotlivých IP adres. Pro těsnější kontrolu směrujte požadavky Admin API přes proxy s pevnou IP adresou.
Jak nahlásím uniklý token nebo podezřelou aktivitu aplikace?
Shopify žádá vývojáře, aby nahlásili podezřelou aktivitu na [email protected]. Vývojáři aplikací jsou odpovědní za opravu problémů a informování postižených obchodníků.