Shopify IP-tilladelsesliste nu påkrævet for offentlige apps: Frister og hvad du skal gøre
Af Eoin Villarin, 2026-11-07
Shopify kræver nu en IP-tilladelsesliste for hver offentlig app, der kalder Admin API'en, med deadlines den 12. og 20. november 2026. Her er, hvad der ændres, hvad der bryder, hvis du går glip af det, og hvordan du forbereder dig.
Hvornår er Shopify IP-tilladelsesliste påkrævet?
Shopify kræver en IP-tilladelsesliste for hver offentlig app, der kalder Admin API senest 20. november 2026, kl. 23.59 ET. Apps, der bruger bulk-operationer, skal tilføje en liste senest 12. november 2026. Apps uden liste fjernes fra App Store den 20. november, og deres Admin API-anmodninger mislykkes fra 1. april 2027.
Vigtigste punkter
- Enhver offentlig app, der kalder Shopify Admin API, har brug for en IP-tilladelsesliste inden den 20. november 2026.
- Apps, der bruger bulkoperationer, har en tidligere frist på den 12. november 2026, hvorefter bulkforespørgsler og mutationer blokeres.
- Missede deadlines betyder fjernelse fra App Store, advarsler til handlende fra 15. januar 2027 og mislykkede Admin API-anmodninger fra 1. april 2027.
- Apps på serverløs hosting kan tillade en hel netværk efter ASN i stedet for enkelte IP-adresser.
- Separat skal apps flytte til udløbende offline-adgangstokens før 1. januar 2027.
Shopify kræver nu en IP-tilladelsesliste for hver offentlig app, der kalder Admin API'en. Den vigtigste deadline er 20. november 2026, og apps, der bruger bulkoperationer, har kun indtil 12. november. Hvis du bygger eller kører en Shopify-app, eller din butik afhænger af en, er dette, hvad der ændres, hvad der bryder, hvis du går glip af det, og hvordan du bliver klar i tide.
Hvad er en Shopify IP tilladelsesliste?
En IP-tilladelsesliste er en liste over IP-adresser eller netværk, som din apps servere bruger. Når den er aktiveret, fungerer dine apps adgangstokens kun, når anmodningen kommer fra en af disse adresser. I Shopifys ord betyder en IP-tilladelsesliste "en lækket token kan kun bruges på dine egne servere". Så hvis en adgangstoken nogensinde lækker gennem en logfil, en fejl eller en sikkerhedsbrist, kan en angriber ikke bruge den fra deres egen maskine.
Hvilke apps har brug for en IP tilladelsesliste?
Shopifys meddelelse gælder alle offentlige apps, der kalder Admin API'en. Shopify giver årsagen klart: handlenes travleste uger på året er næsten her, og det vil have utætte tokens til at være ubrugelige før julen.
Meddelelsen siger ikke, om brugerdefinerede apps bygget til en enkelt butik er inkluderet. Hvis du kører en brugerdefineret app, skal du tjekke din apps indstillinger i Dev Dashboard og Shopifys dokumentation, fordi tilføjelse af en tilladelsesliste er en god ide enten måde.
Shopify IP-tilladelsesliste deadlines
| Dato (23:59 ET) | What sker |
|---|---|
| 12. november 2026 | Bulkforespørgsler og mutationer fra offentlige apps uden en IP-tilladelsesliste blokeres. |
| 20. november 2026 | Offentlige apps uden en IP-tilladelsesliste fjernes fra App Store, så ingen nye installationer, og flagges i handlenes Indstillinger > Apps. |
| 15. januar 2027 | Handlere ser en advarsel i deres Shopify-administration. |
| 1. april 2027 | Admin API-anmodninger fra apps uden en IP-tilladelsesliste mislykkes. |
Eksisterende installationer fortsætter med at fungere indtil den 1. april 2027, men en fjernet app med en advarsel i admin er en hård salg til handlende, så de 20. november-datoer er de, der betyder noget.
Hvordan du forbereder din app
- Kortlæg hver eneste placering, der kalder Admin API'en. Inkluder din hovedserver, baggrundsarbejdere, cron-jobber, køer, webhook-håndterere og eventuelle scripts, der kører i CI.
- Find de udgående IP-adresser. Din hostingudbyder kan fortælle dig, hvilke adresser dine servere bruger til at foretage udgående anmodninger. Hvis de ændrer sig ofte, skal du opsætte statiske udgående IPs.
- Brug ASN-tilladelsesliste til serverløs hosting. Apps på serverløse platforme eller dynamiske IP'er kan tillade en hel netværk efter dens ASN i stedet for enkelte adresser. Shopify tilføjede ASN-understøttelse for præcis dette tilfælde.
- Tilføj tilladelseslisten i Dev Dashboard. Shopifys Dev Dashboard lader dig begrænse Admin API-adgang med en IP-tilladelsesliste.
- Gør bulkoperationer først. Hvis din app kører bulkforespørgsler eller mutationer, gælder den tidligere frist på den 12. november.
- Test på en udviklerbutik. Shopifys netværksadgangstestning i udviklerbutikken forhåndsvisning flagger sider og servere, din app snakker med, som du ikke har erklæret.
- Overvåg dine API-logs efter ændringen. En forkert adresse vises som mislykkede anmodninger, så tjek logfilerne før og efter hver udrulning.
En note fra erfaring: tilladelse af en hel cloud-udbyders netværk efter ASN er bedre end ingenting, men enhver, der lejer en server fra samme udbyder, deler det netværk. For strengere sikkerhed skal du sende Admin API-anmodninger gennem en lille proxy med en fast IP-adresse og tillade kun den adresse.
Den anden deadline: udløbende offline-adgangstokens
Shopify kræver også, at apps flytter til udløbende offline-adgangstokens med en separat tidsramme. Apps, der stadig bruger ikke-udløbende offline-tokens, fjernes og flagges i handlenes indstillinger den 1. januar 2027, handlende ser en advarsel fra 15. januar 2027, og anmodninger mislykkes fra 1. april 2027. Du kan finde ikke-udløbende tokens ved at filtrere dine Dev Dashboard API-logs efter token-type. Shopify har også sagt, at bulkforespørgsler og mutationer hver især vil have brug for deres egen adgangsscope snart. Apps, der kørte en bulkoperation inden for de sidste 180 dage, vil modtage disse scopes automatisk, men du bør tilføje dem til din app-konfiguration før din næste udgivelse, når de er live.
Hvad skal butiksindehavere gøre
- Efter den 20. november skal du åbne Indstillinger > Apps i din Shopify-admin og se efter flagede apps.
- Spørg udviklerne af enhver flaget app, hvornår de vil tilføje en IP-tilladelsesliste, især for apps, der håndterer ordrer, kunder eller lager.
- Hvis du har en tilpasset app bygget af en freelancer eller bureau, skal du bede dem om at tilføje en tilladelsesliste og tjekke tokenændringen også.
Hvis du har brug for hjælp til at sikre en tilpasset Shopify-app eller en integration før fristerne, skal du se på min Shopify-udvikling tjenester eller kontakt mig.
Ofte stillede spørgsmål
Hvornår er Shopify IP-tilladelsesliste påkrævet?
Senest 20. november 2026, kl. 23.59 ET for alle offentlige apps, der kalder Admin API, og senest 12. november 2026 for apps, der bruger bulk-operationer.
Hvad sker der, hvis min app savner fristen den 20. november?
Appen fjernes fra Shopify App Store, så den får ingen nye installationer, og den er markeret i handlendes Indstillinger > Apps. Handlende ser en advarsel fra 15. januar 2027, og Admin API-anmodninger mislykkes fra 1. april 2027.
Mister eksisterende handlende appen straks?
Nej. Eksisterende installationer fortsætter med at arbejde indtil 1. april 2027, medmindre appen bruger bulk-operationer, som blokeres efter 12. november 2026.
Gælder kravet også for tilpassede apps?
Shopifys meddelelse dækker offentlige apps, der kalder Admin API og siger ikke, om tilpassede apps er inkluderet. Tilføjelse af en tilladelsesliste til en tilpasset app er stadig et godt sikkerhedssteg.
Min app kører på serverløs hosting. Hvordan tilføjer jeg en tilladelsesliste?
Shopify understøtter tilladelsesliste efter ASN, som dækker et helt hostingnetværk i stedet for enkelte IP-adresser. For strammere kontrol skal du rute Admin API-anmodninger gennem en proxy med en fast IP-adresse.
Hvordan rapporterer jeg en lækket token eller mistænkelig app-aktivitet?
Shopify anmoder udviklere om at rapportere mistænkelig aktivitet til [email protected]. App-udviklere er ansvarlige for at løse problemer og informere berørte handlende.