Shopify IP Zulassungsliste jetzt erforderlich für öffentliche Apps: Fristen und was zu tun ist
Von Eoin Villarin, 2026-11-07
Shopify benötigt jetzt eine IP-Allowlist für jede öffentliche App, die die Admin-API aufruft, mit Fristen am 12. und 20. November 2026. Hier ist, was sich ändert, was bricht, wenn Sie es verpassen und wie Sie sich vorbereiten.
Wann ist die Shopify IP Zulassungsliste erforderlich?
Shopify erfordert eine IP-Zulassungsliste für jede öffentliche App, die die Admin-API bis zum 20. November 2026, 23:59 Uhr ET aufruft. Apps, die Massenoperationen verwenden, müssen eine bis zum 12. November 2026 hinzufügen. Apps ohne eine werden ab dem 20. November vom App Store gelöscht und ihre Admin API-Anfragen ab dem 1. April 2027 fehlschlagen.
Zentrale Erkenntnisse
- Jede öffentliche App, die die Shopify Admin API aufruft, benötigt bis zum 20. November 2026 eine IP-Zulassungsliste.
- Apps, die Bulk-Operationen verwenden, haben eine frühere Frist vom 12. November 2026, nach der Bulk-Abfragen und -Mutationen blockiert werden.
- Das Verpassen der Frist bedeutet, dass die App aus dem App Store entfernt wird, Händlerwarnungen ab dem 15. Januar 2027 und fehlgeschlagene Admin-API-Anfragen ab dem 1. April 2027.
- Apps auf serverloser Hosting können eine ganze Netzwerk durch ASN zulassen, anstatt einzelne IP-Adressen.
- Separately müssen Apps vor dem 1. Januar 2027 auf ablaufende Offline-Zugriffstoken umsteigen.
Shopify benötigt jetzt eine IP-Allowlist für jede öffentliche App, die die Admin-API aufruft. Die Hauptfrist ist der 20. November 2026, und Apps, die Bulk-Operationen verwenden, haben nur bis zum 12. November Zeit. Wenn Sie eine Shopify-App erstellen oder betreiben oder Ihr Geschäft von einer abhängt, ist dies, was sich ändert, was bricht, wenn Sie es verpassen und wie Sie sich rechtzeitig vorbereiten können.
Was ist eine Shopify-IP-Whitelist?
Eine IP-Zulassungsliste ist eine Liste der IP-Adressen oder Netzwerke, die Ihre App-Server verwenden. Sobald sie aktiviert ist, funktionieren die Zugriffstoken Ihrer App nur, wenn die Anfrage von einer dieser Adressen kommt. In Shopify-Worten bedeutet eine IP-Zulassungsliste, dass "ein geleakter Token nirgendwo anders als auf Ihren eigenen Servern verwendet werden kann". Wenn also ein Zugriffstoken jemals durch eine Protokolldatei, einen Fehler oder einen Bruch geleakt wird, kann ein Angreifer es nicht von seinem eigenen Computer aus verwenden.
Welche Apps benötigen eine IP-Whitelist?
Shopifys Ankündigung gilt für alle öffentlichen Apps, die die Admin-API aufrufen. Shopify nennt den Grund ausdrücklich: Die geschäftigsten Wochen des Jahres stehen bevor, und es möchte, dass geleakte Token vor dem Weihnachtsgeschäft unbrauchbar sind.
Die Ankündigung sagt nicht, ob benutzerdefinierte Apps, die für einen einzelnen Shop erstellt wurden, eingeschlossen sind. Wenn Sie eine benutzerdefinierte App betreiben, überprüfen Sie die Einstellungen Ihrer App im Dev-Dashboard und in der Shopify-Dokumentation, da das Hinzufügen einer Allowlist eine gute Idee ist.
Shopify-IP-Allowlist-Fristen
| Datum (23:59 Uhr ET) | Was passiert |
|---|---|
| 12. November 2026 | Bulk-Abfragen und -Mutationen von öffentlichen Apps ohne IP-Zulassungsliste werden blockiert. |
| 20. November 2026 | Öffentliche Apps ohne IP-Allowlist werden aus dem App Store entfernt, sodass keine neuen Installationen möglich sind, und in den Einstellungen > Apps der Händler gekennzeichnet. |
| 15. Januar 2027 | Händler sehen eine Warnung in ihrem Shopify-Admin-Bereich. |
| 1. April 2027 | Admin-API-Anfragen von Apps ohne IP-Zulassungsliste schlagen fehl. |
Vorhandene Installationen funktionieren bis zum 1. April 2027 weiter, aber eine gelöschte App mit einer Warnung im Admin-Bereich ist ein harter Verkauf für Händler, daher sind die November-Termine die wichtigsten.
So bereiten Sie Ihre App vor
- Ordnen Sie jeden Ort zu, der die Admin-API aufruft. Beinhalten Sie Ihren Hauptserver, Hintergrundarbeiter, Cron-Jobs, Warteschlangen, Webhook-Handler und alle Skripte, die in CI ausgeführt werden.
- Finden Sie die ausgehenden IP-Adressen. Ihr Hosting-Anbieter kann Ihnen sagen, welche Adressen Ihre Server für ausgehende Anfragen verwenden. Wenn diese häufig ändern, richten Sie statische ausgehende IPs ein.
- Verwenden Sie ASN-Allowlisting für serverloses Hosting. Apps auf serverlosen Plattformen oder dynamischen IPs können ein ganzes Netzwerk durch seine ASN zulassen, anstatt einzelne Adressen. Shopify fügte ASN-Unterstützung für genau diesen Fall hinzu.
- Fügen Sie die Zulassungsliste im Dev-Dashboard hinzu. Das Shopify-Dev-Dashboard ermöglicht es Ihnen, den Admin-API-Zugriff mit einer IP-Allowlist zu beschränken.
- Führen Sie Bulk-Operationen zuerst durch. Wenn Ihre App Bulk-Abfragen oder -Mutationen ausführt, gilt die frühere Frist vom 12. November.
- Testen Sie auf einem Dev-Store. Shopifys Netzwerkzugriffstest in Dev-Store-Vorschauen kennzeichnet Websites und Server, mit denen Ihre App spricht, die Sie nicht deklariert haben.
- Überwachen Sie Ihre API-Protokolle nach der Änderung. Eine fehlende Adresse wird als fehlgeschlagene Anfrage angezeigt. Überprüfen Sie daher die Protokolle vor und nach jedem Deployment.
Ein Hinweis aus Erfahrung: Die Zulassung eines gesamten Cloud-Anbieter-Netzwerks durch ASN ist besser als nichts, aber jeder, der einen Server von demselben Anbieter mietet, teilt sich dieses Netzwerk. Für strengere Sicherheit senden Sie Admin-API-Aufrufe durch einen kleinen Proxy mit einer festen IP-Adresse und listen Sie nur diese Adresse zu.
Die andere Frist: ablaufende Offline-Zugriffstoken
Shopify führt auch Apps zu ablaufenden Offline-Zugriffstoken über, mit einem separaten Zeitplan. Apps, die noch nicht ablaufende Offline-Token verwenden, werden am 1. Januar 2027 aus dem App Store entfernt und in den Händler-Einstellungen gekennzeichnet, Händler sehen ab dem 15. Januar 2027 eine Warnung und Anfragen schlagen ab dem 1. April 2027 fehl. Sie können nicht ablaufende Token finden, indem Sie Ihre Dev Dashboard API-Protokolle nach Token-Typ filtern. Shopify hat auch angekündigt, dass Bulk-Abfragen und -Mutationen jeweils einen eigenen Zugriffsbereich benötigen werden. Apps, die in den letzten 180 Tagen eine Bulk-Operation durchgeführt haben, erhalten diese Bereiche automatisch, aber Sie sollten sie zu Ihrer App-Konfiguration hinzufügen, bevor Sie sie zum nächsten Mal deployen, sobald sie live sind.
Was sollten Shop-Besitzer tun
- Nach dem 20. November öffnen Sie Einstellungen > Apps in Ihrem Shopify-Admin-Bereich und suchen Sie nach gekennzeichneten Apps.
- Fragen Sie die Entwickler einer gekennzeichneten App, wann sie eine IP-Zulassungsliste hinzufügen, insbesondere für Apps, die Bestellungen, Kunden oder Inventar verarbeiten.
- Wenn Sie eine benutzerdefinierte App haben, die von einem Freelancer oder einer Agentur erstellt wurde, bitten Sie sie, eine Zulassungsliste hinzuzufügen und den Token-Wechsel zu überprüfen.
Wenn Sie Hilfe bei der Sicherung einer benutzerdefinierten Shopify-App oder einer Integration vor den Terminen benötigen, sehen Sie sich meine an Shopify-Entwicklung Dienste oder kontaktieren Sie mich.
Häufig gestellte Fragen
Wann ist die Shopify IP Zulassungsliste erforderlich?
Bis zum 20. November 2026, 23:59 Uhr ET für jede öffentliche App, die die Admin-API aufruft, und bis zum 12. November 2026 für Apps, die Massenoperationen verwenden.
Was passiert, wenn meine App die Frist vom 20. November verpasst?
Die App wird aus dem Shopify App Store gelöscht, sodass sie keine neuen Installationen erhält und in den Einstellungen der Händler > Apps gekennzeichnet wird. Händler sehen eine Warnung ab dem 15. Januar 2027 und Admin API-Anfragen schlagen ab dem 1. April 2027 fehl.
Verlieren bestehende Händler die App sofort?
Nein. Bestehende Installationen funktionieren bis zum 1. April 2027 weiter, es sei denn, die App verwendet Massenoperationen, die nach dem 12. November 2026 blockiert sind.
Gilt die Anforderung auch für benutzerdefinierte Apps?
Shopifys Ankündigung betrifft öffentliche Apps, die die Admin-API aufrufen, und sagt nicht, ob benutzerdefinierte Apps eingeschlossen sind. Das Hinzufügen einer Zulassungsliste zu einer benutzerdefinierten App ist immer noch ein guter Sicherheitsschritt.
Meine App läuft auf serverlosem Hosting. Wie füge ich eine Zulassungsliste hinzu?
Shopify unterstützt die Zulassungsliste nach ASN, die ein ganzes Hosting-Netzwerk anstelle von einzelnen IP-Adressen abdeckt. Für eine strengere Kontrolle können Sie Admin API-Aufrufe über einen Proxy mit einer festen IP-Adresse leiten.
Wie melde ich ein geleaktes Token oder verdächtige App-Aktivitäten?
Shopify fordert Entwickler auf, verdächtige Aktivitäten an [email protected] zu melden. App-Entwickler sind für die Behebung von Problemen und die Benachrichtigung betroffener Händler verantwortlich.