Shopify IP -sallittujen luettelo vaaditaan julkisille sovelluksille: määräajat ja mitä tehdä

Kirjoittanut Eoin Villarin | Eoin Villarin, 2026-11-07

Shopify vaatii nyt IP-sallitun luettelon jokaiselle julkiselle sovellukselle, joka soittaa Admin API:lle, ja aikataulu on 12. ja 20. marraskuuta 2026. Tässä on mitä muuttuu, mitä rikkoutuu, jos jätät sen väliin, ja miten valmistautua.

Shopify vaatii nyt IP-sallitun luettelon jokaiselle julkiselle sovellukselle, joka soittaa Admin API:lle. Pääaikataulu on 20. marraskuuta 2026, ja sovellukset, jotka käyttävät joukkotoimintoja, ovat vain 12. marraskuuta asti. Jos rakennat tai käytät Shopify-sovellusta, tai jos myymäläsi riippuu yhdestä, tämä on mitä muuttuu, mitä rikkoutuu, jos jätät sen väliin, ja miten valmistautua ajoissa.

Mikä on Shopify IP allowlist?

IP-sallittujen luetteloiden on luettelo IP-osoitteista tai verkoista, joita sovelluksen palvelimet käyttävät. Kun se on käytössä, sovelluksen pääsytokenit toimivat vain, kun pyyntö tulee yhdestä niistä osoitteista. Shopify sanoo, että IP-sallittujen luetteloiden tarkoittaa "vuotanut token ei voi käyttää missään, paitsi omissa palvelimissa". Joten jos pääsytoken vuotaa koskaan läpi kirjautumistiedoston, bugi tai tietoturvaloukkauksen kautta, hyökkääjä ei voi käyttää sitä omasta koneestaan.

Mitkä sovellukset tarvitsevat IP allowlistin?

Shopifyn ilmoitus koskee kaikkia julkisia sovelluksia, jotka soittaa Admin API:lle. Shopify antaa syyn selvästi: kauppiaiden kiireisimmät viikot vuodessa ovat lähes täällä, ja se haluaa, että vuotaneet tokenit ovat hyödyttömiä ennen lomaruuhkaa.

Ilmoitus ei sano, ovatko mukautetut sovellukset, jotka on rakennettu yhdelle myymälälle, sisällytetty. Jos käytät mukautettua sovellusta, tarkista sovelluksesi asetukset Dev Dashboardissa ja Shopifyn dokumentaatiossa, koska sallitun luettelon lisääminen on hyvä idea joka tapauksessa.

Shopifyn IP-sallitun luettelon aikataulu

Olemassaolevat asennukset toimivat edelleen 1. huhtikuuta 2027 asti, mutta varoitetulla sovelluksella, jolla on varoitus hallinnassa, on vaikea myydä kauppiaille, joten marraskuun päivämäärät ovat ne, jotka ovat tärkeitä.

Miten valmistaa sovelluksesi

1. Kartoita jokainen paikka, joka soittaa Admin API:lle. Sisällytä pääpalvelin, taustatyöntekijät, cron-työt, jonot, webhook-käsittelijät ja kaikki skriptit, jotka suoritetaan CI:ssä.
2. Etsi lähtevät IP-osoitteet. Palveluntarjoajasi voi kertoa, mitä osoitteita palvelimesi käyttävät lähtevissä pyynnöissä. Jos ne muuttuvat usein, määritä staattiset lähtevät IP-osoitteet.
3. Käytä ASN-sallitusta palvelimeton hostingiin. Sovellukset, jotka käyttävät palvelimetonta alustaa tai dynaamisia IP-osoitteita, voivat sallia koko verkon sen ASN:llä yksittäisten osoitteiden sijaan. Shopify lisäsi ASN-tuen juuri tätä tapausta varten.
4. Lisää sallittujen luetteloiden Dev Dashboardissa. Shopifyn Dev Dashboard antaa sinun rajoittaa Admin API -pääsyä IP-sallitulla luettelolla.
5. Tee joukkotoiminnot ensin. Jos sovelluksesi suorittaa joukkokyselyitä tai -muutoksia, aikaisempi 12. marraskuun määräaika on voimassa.
6. Testaa kehittäjän myymälässä. Shopifyn verkon pääsyn testaus kehittäjän myymälän esikatselussa merkitsee sivustoja ja palvelimia, joihin sovelluksesi puhuu, joita et ole ilmoittanut.
7. Seuraa API-lokeja muutoksen jälkeen. Väärän osoitteen näkee epäonnistuneina pyyntöinä, joten tarkista kirjautumiset ennen ja jälkeen jokaisen käyttöönoton.

Kokemuspohjainen huomautus: sallittujen luetteloiden koko pilvipalvelun verkko ASN:llä on parempi kuin mikään, mutta kuka tahansa, joka vuokraa palvelimen samalta palveluntarjoajalta, jakaa kyseisen verkon. Tiukempaa turvallisuutta varten lähettäminen Admin API -pyynnöt pienen välityspalvelimen kautta, jolla on kiinteä IP-osoite ja sallittujen luetteloiden salliminen vain kyseiselle osoitteelle.

Toinen aikataulu: vanhenevat offline-käyttöoikeustokenit

Shopify siirtää myös sovelluksia vanhenevien offline-käyttöoikeustokenien käytölle, erillisellä aikataululla. Sovellukset, jotka käyttävät edelleen ei-vanhenevia offline-tokeneita, poistetaan ja merkitään kauppiaiden asetuksissa 1. tammikuuta 2027, kauppiaat näkevät varoituksen 15. tammikuuta 2027 lähtien, ja pyynnöt epäonnistuvat 1. huhtikuuta 2027 lähtien. Löydät ei-vanhenevat tokenit suodattamalla Dev Dashboard API -lokit token-tyypin mukaan. Shopify on myös sanonut, että joukkokyselyt ja -muutokset tarvitsevat pian omat käyttöoikeusalueensa. Sovellukset, jotka ovat suorittaneet joukkotoiminnon viimeisten 180 päivän aikana, saavat nämä alueet automaattisesti, mutta sinun pitäisi lisätä ne sovelluksesi määrityksiin ennen seuraavaa käyttöönottoa, kun ne ovat käytössä.

Mitä myymälän omistajien tulisi tehdä

• 20. marraskuun jälkeen avaa Asetukset > Sovellukset Shopify-hallinnassa ja etsi merkityt sovellukset.
• Kysy merkittyn sovelluksen kehittäjiltä, milloin he lisäävät IP-sallittujen luetteloiden, erityisesti sovelluksille, jotka käsittelevät tilauksia, asiakkaita tai varastoa.
• Jos sinulla on mukautettu sovellus, jonka on rakentanut freelancer tai virasto, pyydä heitä lisäämään sallittujen luetteloiden ja tarkistamaan tokenin muutoksen.

Jos tarvitset apua turvallisen mukautetun Shopify-sovelluksen tai integraation turvaamiseen ennen määräaikoja, katso Shopify-kehitys palvelut tai ota yhteyttä.

Usein kysytyt kysymykset

Milloin Shopify IP -sallittujen luettelo on vaadittu?

Mennessä 20. marraskuuta 2026, klo 23.59 ET kaikille julkisille sovelluksille, jotka kutsuvat Admin API:ta, ja 12. marraskuuta 2026 sovelluksille, jotka käyttävät joukkotoimintoja.

Mitä tapahtuu, jos sovellukseni jää 20. marraskuun määräajasta jälkeen?

Sovellus poistetaan Shopify App Storesta, joten se ei saa uusia asennuksia, ja se merkitään kauppiaiden Asetukset > Sovellukset -kohtaan. Kauppiaat näkevät varoituksen 15. tammikuuta 2027, ja Admin API -pyynnöt epäonnistuvat 1. huhtikuuta 2027.

Katoavatko olemassaolevat kauppiaat sovelluksen heti?

Ei. Olemassaolevat asennukset toimivat edelleen 1. huhtikuuta 2027 asti, ellei sovellus käytä joukkotoimintoja, jotka estetään 12. marraskuuta 2026 jälkeen.

Soveltuuko vaatimus mukautettuihin sovelluksiin?

Shopifyn ilmoitus kattaa julkiset sovellukset, jotka kutsuvat Admin API:ta, eikä kerro, sisältyvätkö mukautetut sovellukset. Sallittujen luettelon lisääminen mukautettuun sovellukseen on silti hyvä tietoturvatoimi.

Serverless hostingilla toimiva sovellus. Miten lisään sallittujen luettelon?

Shopify tukee sallittujen luetteloiden määrittelyä ASN-tunnuksella, joka kattaa koko hosting-verkon yhden IP-osoitteen sijaan. Tiukempaa valvontaa varten ohjaa Admin API -kutsut välityspalvelimen kautta, jolla on kiinteä IP-osoite.

Miten ilmoitan vuotaneesta tunnisteesta tai epäilyttävästä sovellustoiminnasta?

Shopify pyytää kehittäjiä ilmoittamaan epäilyttävästä toiminnasta osoitteeseen [email protected]. Sovelluksen kehittäjät ovat vastuussa ongelmien korjaamisesta ja vaikutettujen kauppiaiden ilmoittamisesta.

Lähteet

• Shopify: Sovellusten tietoturvapäivitykset, IP-sallittu luettelo on nyt pakollinen
• Shopifyn kehittäjämuutosloki