Το Shopify IP Allowlist απαιτείται πλέον για δημόσιες εφαρμογές: Προθεσμίες και Τι πρέπει να κάνετε

Με Eoin Villarin, 2026-11-07

Το Shopify απαιτεί τώρα μια λίστα επιτρεπόμενων IP για κάθε δημόσια εφαρμογή που καλεί το Admin API, με προθεσμίες στις 12 και 20 Νοεμβρίου 2026. Αυτό είναι τι αλλάζει, τι σπάει αν το χάσετε και πώς να προετοιμαστείτε.

Το Shopify απαιτεί τώρα μια λίστα επιτρεπόμενων IP για κάθε δημόσια εφαρμογή που καλεί το Admin API. Η κύρια προθεσμία είναι η 20η Νοεμβρίου 2026 και οι εφαρμογές που χρησιμοποιούν μαζικές λειτουργίες έχουν μόνο έως τις 12 Νοεμβρίου. Εάν δημιουργείτε ή εκτελείτε μια εφαρμογή Shopify ή το κατάστημά σας εξαρτάται από μία, αυτό είναι τι αλλάζει, τι σπάει αν το χάσετε και πώς να προετοιμαστείτε εγκαίρως.

Τι είναι μια λίστα επιτρεπόμενων IP του Shopify;

Μια επιτρεπόμενη λίστα IP είναι μια λίστα με τις διευθύνσεις IP ή τα δίκτυα που χρησιμοποιούν οι διακομιστές της εφαρμογής σας. Μόλις ενεργοποιηθεί, τα διακριτικά πρόσβασης της εφαρμογής σας λειτουργούν μόνο όταν το αίτημα προέρχεται από μία από αυτές τις διευθύνσεις. Με άλλα λόγια του Shopify, μια επιτρεπόμενη λίστα IP σημαίνει "ένα διαρρεύσει διακριτικό δεν μπορεί να χρησιμοποιηθεί πουθενά αλλά στους δικούς σας διακομιστές." Οπότε εάν ένα διακριτικό πρόσβασης διαρρεύσει ποτέ μέσω ενός αρχείου καταγραφής, ενός σφάλματος ή μιας παραβίασης, ένας εισβολέας δεν μπορεί να το χρησιμοποιήσει από το δικό του μηχάνημα.

Ποιες εφαρμογές χρειάζονται λίστα επιτρεπόμενων IP;

Η ανακοίνωση του Shopify ισχύει για όλες τις δημόσιες εφαρμογές που καλούν το Admin API. Το Shopify δίνει τον λόγο απλά: οι πιο πολυάσχολες εβδομάδες του έτους των εμπόρων είναι σχεδόν εδώ και θέλει τα διαρρηγμένα διακριτικά να είναι άχρηστα πριν από το κύμα των γιορτών.

Η ανακοίνωση δεν αναφέρει εάν περιλαμβάνονται προσαρμοσμένες εφαρμογές που δημιουργούνται για ένα μόνο κατάστημα. Εάν εκτελείτε μια προσαρμοσμένη εφαρμογή, ελέγξτε τις ρυθμίσεις της εφαρμογής σας στο Dev Dashboard και την τεκμηρίωση του Shopify, επειδή η προσθήκη μιας λίστας επιτρεπόμενων είναι καλή ιδέα είτε έτσι είτε αλλιώς.

Προθεσμίες λίστας επιτρεπόμενων IP του Shopify

Οι υπάρχουσες εγκαταστάσεις συνεχίζουν να λειτουργούν μέχρι την 1η Απριλίου 2027, αλλά μια εφαρμογή που έχει αφαιρεθεί από τη λίστα με μια προειδοποίηση στο διαχειριστικό πίνακα είναι μια δύσκολη πώληση για τους εμπόρους, επομένως οι ημερομηνίες του Νοεμβρίου είναι αυτές που έχουν σημασία.

Πώς να προετοιμάσετε την εφαρμογή σας

1. Χαρτογραφήστε κάθε μέρος που καλεί το Admin API. Συμπεριλάβετε τον κύριο διακομιστή σας, τους εργαζόμενους στο παρασκήνιο, τις εργασίες cron, τις ουρές, τους χειριστές webhook και οποιαδήποτε σενάρια εκτελούνται στο CI.
2. Βρείτε τις διεύθυνσεις IP εξερχόμενων. Ο πάροχος φιλοξενίας σας μπορεί να σας πει ποιες διευθύνσεις χρησιμοποιούν οι διακομιστές σας για να κάνουν εξερχόμενες αιτήσεις. Εάν αλλάζουν συχνά, ρυθμίστε στατικές εξερχόμενες διευθύνσεις IP.
3. Χρήση λίστας επιτρεπόμενων ASN για φιλοξενία χωρίς διακομιστή. Οι εφαρμογές σε πλατφόρμες χωρίς διακομιστή ή δυναμικές διευθύνσεις IP μπορούν να επιτρέψουν μια ολόκληρη λίστα δικτύου από το ASN αντί για μεμονωμένες διευθύνσεις. Το Shopify πρόσθεσε υποστήριξη ASN για ακριβώς αυτήν την περίπτωση.
4. Προσθέστε την επιτρεπόμενη λίστα στο Dev Dashboard. Το Dev Dashboard του Shopify σας επιτρέπει να περιορίσετε την πρόσβαση στο Admin API με μια λίστα επιτρεπόμενων IP.
5. Κάντε πρώτα μαζικές λειτουργίες. Εάν η εφαρμογή σας εκτελεί μαζικές ερωτήσεις ή μεταλλάξεις, ισχύει η προθεσμία της 12ης Νοεμβρίου.
6. Δοκιμή σε ένα δοκιμαστικό κατάστημα. Η δοκιμή πρόσβασης δικτύου του Shopify σε προεπισκοπήσεις καταστήματος dev σημαδεύει ιστοσελίδες και διακομιστές με τους οποίους μιλά η εφαρμογή σας και που δεν έχετε δηλώσει.
7. Ελέγξτε τα αρχεία καταγραφής API σας μετά την αλλαγή. Μια χαμένη διεύθυνση εμφανίζεται ως αποτυχημένες αιτήσεις, οπότε ελέγξτε τα αρχεία καταγραφής πριν και μετά από κάθε ανάπτυξη.

Μια σημείωση από την εμπειρία: η επιτρεπόμενη λίστα ενός ολόκληρου δικτύου παρόχου cloud από ASN είναι καλύτερη από το τίποτα, αλλά οποιοσδήποτε νοικιάζει έναν διακομιστή από τον ίδιο πάροχο μοιράζεται αυτό το δίκτυο. Για πιο αυστηρή ασφάλεια, στείλτε αιτήματα Admin API μέσω ενός μικρού διακομιστή με μια σταθερή διεύθυνση IP και επιτρέψτε μόνο αυτήν τη διεύθυνση.

Η άλλη προθεσμία: λήξη των διακριτικών πρόσβασης εκτός διαδικτύου

Το Shopify μετακινεί επίσης εφαρμογές σε λήγοντας διακριτικά offline πρόσβασης, με ξεχωριστό χρονοδιάγραμμα. Οι εφαρμογές που εξακολουθούν να χρησιμοποιούν μη λήγοντα διακριτικά offline διαγράφονται και επισημαίνονται στις ρυθμίσεις εμπόρων την 1η Ιανουαρίου 2027, οι έμποροι βλέπουν μια προειδοποίηση από τις 15 Ιανουαρίου 2027 και τα αιτήματα αποτυγχάνουν από την 1η Απριλίου 2027. Μπορείτε να βρείτε μη λήγοντα διακριτικά φιλτράροντας τα αρχεία καταγραφής API του Dev Dashboard σας κατά τύπο διακριτικού. Το Shopify έχει επίσης δηλώσει ότι οι μαζικές ερωτήσεις και μεταλλάξεις θα απαιτούν κάθε μία το δικό τους εύρος πρόσβασης σύντομα. Οι εφαρμογές που εκτελούσαν μια μαζική λειτουργία τις τελευταίες 180 ημέρες θα λάβουν αυτά τα εύρη αυτόματα, αλλά πρέπει να τα προσθέσετε στη διαμόρφωση της εφαρμογής σας πριν από την επόμενη ανάπτυξη μόλις είναι ζωντανά.

Τι πρέπει να κάνουν οι ιδιοκτήτες καταστημάτων

• Μετά τις 20 Νοεμβρίου, ανοίξτε τις Ρυθμίσεις > Εφαρμογές στο Shopify admin και αναζητήστε σημασμένες εφαρμογές.
• Ρωτήστε τους προγραμματιστές οποιασδήποτε σημασμένης εφαρμογής πότε θα προσθέσουν μια επιτρεπόμενη λίστα IP, ειδικά για εφαρμογές που χειρίζονται παραγγελίες, πελάτες ή απογραφή.
• Εάν έχετε μια προσαρμοσμένη εφαρμογή που δημιουργήθηκε από έναν freelancer ή μια υπηρεσία, ζητήστε από αυτούς να προσθέσουν μια λίστα επιτρεπόμενων και να ελέγξουν επίσης την αλλαγή του token.

Εάν χρειάζεστε βοήθεια για την ασφάλεια μιας προσαρμοσμένης εφαρμογής Shopify ή μιας ενσωμάτωσης πριν από τις προθεσμίες, δείτε Ανάπτυξη Shopify υπηρεσίες ή Επικοινωνήστε μαζί μου.

Συχνές ερωτήσεις

Πότε απαιτείται η λίστα επιτρεπόμενων IP του Shopify;

Μέχρι τις 20 Νοεμβρίου 2026, στις 11:59 μ.μ. ET για κάθε δημόσια εφαρμογή που καλεί το Admin API, και μέχρι τις 12 Νοεμβρίου 2026, για εφαρμογές που χρησιμοποιούν μαζικές λειτουργίες.

Τι συμβαίνει εάν η εφαρμογή μου χάσει την προθεσμία της 20ης Νοεμβρίου;

Η εφαρμογή αφαιρείται από το Shopify App Store, επομένως δεν λαμβάνει νέες εγκαταστάσεις και επισημαίνεται στις ρυθμίσεις > Εφαρμογές των εμπόρων. Οι έμποροι βλέπουν μια προειδοποίηση από τις 15 Ιανουαρίου 2027 και τα αιτήματα Admin API αποτυγχάνουν από την 1η Απριλίου 2027.

Χάνουν οι υπάρχοντες έμποροι την εφαρμογή αμέσως;

Όχι. Οι υπάρχουσες εγκαταστάσεις συνεχίζουν να λειτουργούν μέχρι την 1η Απριλίου 2027, εκτός εάν η εφαρμογή χρησιμοποιεί λειτουργίες μαζικών εργασιών, οι οποίες είναι αποκλεισμένες μετά την 12η Νοεμβρίου 2026.

Ισχύει η απαίτηση για προσαρμοσμένες εφαρμογές;

Η ανακοίνωση του Shopify καλύπτει δημόσιες εφαρμογές που καλούν το Admin API και δεν αναφέρει εάν περιλαμβάνονται προσαρμοσμένες εφαρμογές. Η προσθήκη λίστας επιτρεπόμενων σε μια προσαρμοσμένη εφαρμογή είναι ακόμα ένα καλό βήμα ασφαλείας.

Η εφαρμογή μου εκτελείται σε διακομιστή χωρίς διακομιστή. Πώς μπορώ να προσθέσω μια λίστα επιτρεπόμενων;

Το Shopify υποστηρίζει τη λίστα επιτρεπόμενων κατά ASN, η οποία καλύπτει ένα ολόκληρο δίκτυο φιλοξενίας αντί για μεμονωμένες διευθύνσεις IP. Για πιο αυστηρό έλεγχο, δρομολογήστε τις κλήσεις Admin API μέσω ενός διακομιστή με καθορισμένη διεύθυνση IP.

Πώς να αναφέρω ένα διαρρεύσαν token ή ύποπτη δραστηριότητα εφαρμογής;

Το Shopify ζητά από τους προγραμματιστές να αναφέρουν ύποπτη δραστηριότητα στο [email protected]. Οι προγραμματιστές εφαρμογών είναι υπεύθυνοι για τη διόρθωση ζητημάτων και την ειδοποίηση των επηρεαζόμενων εμπόρων.

Πηγές

• Shopify: Ενημερώσεις ασφαλείας εφαρμογών, η λίστα επιτρεπόμενων IP απαιτείται πλέον
• Αλλαγολόγιο προγραμματιστή Shopify