Liste d'autorisation IP Shopify requise pour les applications publiques : dates limites et te que faire

Par Eoin Villarin, 2026-11-07

Shopify exige désormais une liste d'autorisation IP pour chaque application publique qui appelle l'API Admin, avec des dates limites les 12 et 20 novembre 2026. Voici ce qui change, ce qui casse si vous le manquez et comment vous préparer.

Shopify exige désormais une liste d'autorisation IP pour chaque application publique qui appelle l'API Admin. La principale date limite est le 20 novembre 2026, et les applications qui utilisent des opérations en bloc n'ont que jusqu'au 12 novembre. Si vous créez ou exécutez une application Shopify, ou si votre magasin dépend de celle-ci, voici ce qui change, ce qui casse si vous le manquez et comment vous préparer à temps.

Qu'est-ce qu'une liste d'adresses IP autorisées Shopify ?

Une liste d'autorisation IP est une liste des adresses IP ou des réseaux utilisés par les serveurs de votre application. Une fois qu'elle est activée, les jetons d'accès de votre application ne fonctionnent que lorsque la demande provient de l'une de ces adresses. En d'autres termes, Shopify, une liste d'autorisation IP signifie "un jeton divulgué ne peut être utilisé nulle part mais sur vos propres serveurs". Ainsi, si un jeton d'accès fuit un jour par un fichier journal, un bogue ou une faille, un attaquant ne peut pas l'utiliser depuis sa propre machine.

Quelles applications ont besoin d'une liste d'adresses IP autorisées ?

L'annonce de Shopify s'applique à toutes les applications publiques qui appellent l'API Admin. Shopify donne la raison clairement : les semaines les plus chargées de l'année des commerçants approchent, et il veut que les jetons divulgués soient inutiles avant la ruée des vacances.

L'annonce ne dit pas si les applications personnalisées créées pour un seul magasin sont incluses. Si vous exécutez une application personnalisée, vérifiez les paramètres de votre application dans le tableau de bord de développement et la documentation de Shopify, car l'ajout d'une liste d'autorisation est une bonne idée dans les deux cas.

Dates limites de la liste d'autorisation IP Shopify

Les installations existantes continuent de fonctionner jusqu'au 1er avril 2027, mais une application désinscrit avec un avertissement dans l'administration est une vente difficile pour les commerçants, donc les dates de novembre sont celles qui comptent.

Comment préparer votre application

1. Cartographiez chaque endroit qui appelle l'API Admin. Incluez votre serveur principal, les travailleurs en arrière-plan, les travaux cron, les files d'attente, les gestionnaires de webhook et tous les scripts qui s'exécutent en CI.
2. Recherchez les adresses IP sortantes. Votre fournisseur d'hébergement peut vous indiquer quelles adresses vos serveurs utilisent pour effectuer des demandes sortantes. S'ils changent souvent, configurez des adresses IP sortantes statiques.
3. Utilisez la liste d'autorisation ASN pour l'hébergement sans serveur. Les applications sur des plates-formes sans serveur ou avec des adresses IP dynamiques peuvent autoriser l'accès à tout un réseau par son ASN au lieu d'adresses uniques. Shopify a ajouté le support ASN pour exactement ce cas.
4. Ajoutez la liste d'autorisation dans le tableau de bord Dev. Le tableau de bord de développement de Shopify vous permet de restreindre l'accès à l'API Admin avec une liste d'autorisation IP.
5. Effectuez d'abord les opérations en bloc. Si votre application exécute des requêtes ou des mutations en bloc, la date limite du 12 novembre s'applique.
6. Testez sur un magasin de développement. Les tests d'accès réseau de Shopify dans les aperçus de magasin de développement signalent les sites et les serveurs avec lesquels votre application parle que vous n'avez pas déclarés.
7. Surveillez vos journaux API après le changement. Une adresse manquante apparaît sous forme de demandes échouées, vérifiez donc les journaux avant et après chaque déploiement.

Une note d'expérience : autoriser l'accès à tout le réseau d'un fournisseur de cloud par ASN est mieux que rien, mais quiconque loue un serveur auprès du même fournisseur partage ce réseau. Pour une sécurité plus stricte, envoyez les appels Admin API via un petit proxy avec une adresse IP fixe et autorisez uniquement cette adresse.

L'autre date limite : jetons d'accès hors ligne expirants

Shopify passe également les applications à des jetons d'accès hors ligne expirants, avec une chronologie distincte. Les applications qui utilisent encore des jetons non expirants sont supprimées et signalées dans les paramètres des commerçants le 1er janvier 2027, les commerçants voient un avertissement à partir du 15 janvier 2027, et les requêtes échouent à partir du 1er avril 2027. Vous pouvez trouver des jetons non expirants en filtrant vos journaux API du tableau de bord de développement par type de jeton. Shopify a également indiqué que les requêtes et les mutations en bloc nécessiteront bientôt leur propre portée d'accès. Les applications qui ont exécuté une opération en bloc au cours des 180 derniers jours recevront ces portées automatiquement, mais vous devriez les ajouter à votre configuration d'application avant votre prochain déploiement une fois qu'elles sont en ligne.

Ce que les propriétaires de magasins doivent faire

• Après le 20 novembre, ouvrez Paramètres > Applications dans votre administration Shopify et recherchez les applications signalées.
• Demandez aux développeurs de toute application signalée quand ils ajouteront une liste d'autorisation IP, en particulier pour les applications qui gèrent les commandes, les clients ou l'inventaire.
• Si vous avez une application personnalisée construite par un freelancer ou une agence, demandez-leur d'ajouter une liste d'autorisation et de vérifier également le changement de jeton.

Si vous avez besoin d'aide pour sécuriser une application Shopify personnalisée ou une intégration avant les dates limites, jetez un œil à mon Développement Shopify services ou me contacter.

Foire aux questions

Quand la liste d'autorisation IP Shopify est-elle requise ?

D'ici le 20 novembre 2026, 23h59 HE pour chaque application publique qui appelle l'API Admin, et d'ici le 12 novembre 2026, pour les applications qui utilisent des opérations de masse.

Que se passe-t-il si mon application manque la date limite du 20 novembre ?

L'application est désinscrite de l'App Store Shopify, elle n'obtient pas de nouvelles installations, et elle est signalée dans les paramètres des commerçants > Applications. Les commerçants voient un avertissement à partir du 15 janvier 2027, et les demandes API Admin échouent à partir du 1er avril 2027.

Les commerçants existants perdent-ils l'application immédiatement ?

Non. Les installations existantes continuent de fonctionner jusqu'au 1er avril 2027, sauf si l'application utilise des opérations de masse, qui sont bloquées après le 12 novembre 2026.

L'exigence s'applique-t-elle aux applications personnalisées ?

L'annonce de Shopify couvre les applications publiques qui appellent l'API Admin et ne dit pas si les applications personnalisées sont incluses. Ajouter une liste d'autorisation à une application personnalisée est toujours une bonne mesure de sécurité.

Mon application fonctionne sur un hébergement sans serveur. Comment ajouter une liste d'autorisation ?

Shopify prend en charge la liste d'autorisation par ASN, qui couvre tout un réseau d'hébergement au lieu d'adresses IP uniques. Pour un contrôle plus serré, acheminer les appels API Admin via un proxy avec une adresse IP fixe.

Comment signaler un jeton divulgué ou une activité d'application suspecte ?

Shopify demande aux développeurs de signaler les activités suspectes à [email protected]. Les développeurs d'applications sont responsables de résoudre les problèmes et d'informer les commerçants concernés.

Sources

• Shopify : mises à jour de sécurité des applications, la liste d'autorisation IP est maintenant requise
• Journal des modifications des développeurs Shopify