A Shopify IP Allowlist mostantól kötelező a nyilvános alkalmazásokhoz: határidők és teendők
Által Eoin Villarin, 2026-11-07
A Shopify mostantól IP-engedélyezőlistát követel meg minden olyan nyilvános alkalmazás számára, amely hívja az Admin API-t, határidőkkel 2026. november 12-én és 2026. november 20-án. Itt van, mi változik, mi törik, ha elmulasztja, és hogyan készüljön fel.
Mikor szükséges a Shopify IP engedélylista?
A Shopify megköveteli az IP allowlistet minden nyilvános alkalmazáshoz, amely hívja az Admin API-t 2026. november 20-án, 23:59 ET-ig. Az alkalmazások, amelyek tömeges műveleteket használnak, hozzá kell adniuk egyet 2026. november 12-ig. Az alkalmazások, amelyeknek nincs ilyenük, törölve lesznek az App Store-ból 2026. november 20-án, és az Admin API kéréseik meghiúsulnak 2027. április 1-jétől.
Főbb megállapítások
- Minden olyan nyilvános alkalmazás, amely hívja a Shopify Admin API-t, IP-cím engedélyezőlistával kell rendelkeznie november 20-ig, 2026.
- A nagy mennyiségű műveletet használó alkalmazások korábban, november 12, 2026-ra járnak le, amely után a nagy mennyiségű lekérdezések és módosítások blokkolva vannak.
- A határidő elmulasztása az App Store törlését jelenti, kereskedői figyelmeztetéseket 2027. január 15-től és sikertelen Admin API kéréseket április 1-től, 2027-től.
- A szerver nélküli hosztingon lévő alkalmazások engedélyezhetik egy egész hálózatot ASN szerint egyetlen IP-cím helyett.
- Külön, az alkalmazásoknak át kell térniük a lejáró offline hozzáférési tokenekre 2027. január 1-je előtt.
A Shopify mostantól IP-engedélyezőlistát követel meg minden olyan nyilvános alkalmazás számára, amely hívja az Admin API-t. A fő határidő 2026. november 20., és azok az alkalmazások, amelyek nagykereskedelmi műveleteket használnak, csak 2026. november 12-ig rendelkeznek. Ha Shopify alkalmazást épít vagy futtat, vagy az Ön boltja függ egy ilyen alkalmazástól, akkor itt van, mi változik, mi törik, ha elmulasztja, és hogyan készüljön fel időben.
Mi az a Shopify IP fehérlista?
Az IP-cím engedélyezőlista olyan IP-címek vagy hálózatok listája, amelyeket az alkalmazás szerverei használnak. Miután engedélyezve van, az alkalmazás hozzáférési tokenjei csak akkor működnek, ha a kérés ezen címek valamelyikéről érkezik. A Shopify szavaival élve, az IP-cím engedélyezőlista azt jelenti, hogy "a szivárgott token csak a saját szerverein használható." Tehát ha egy hozzáférési token valaha is szivárgott egy naplófájlon, egy hibán vagy egy törésen keresztül, akkor egy támadó nem használhatja azt a saját gépéről.
Mely alkalmazások igényelnek IP fehérlistát?
A Shopify bejelentése minden olyan nyilvános alkalmazásra vonatkozik, amely hívja az Admin API-t. A Shopify egyszerűen megadja az okot: a kereskedők legforgalmasabb hetük szinte itt van, és azt akarja, hogy a szivárgott tokenek hasznavehetetlenek legyenek az ünnepi rohanás előtt.
A bejelentés nem mondja, hogy a egyetlen boltra épített egyedi alkalmazások is beleértendők-e. Ha egyedi alkalmazást futtat, ellenőrizze az alkalmazás beállításait a Fejlesztői irányítópulton és a Shopify dokumentációjában, mert a fehérlista hozzáadása jó ötlet akárhogy is.
Shopify IP-engedélyezőlista határidők
| Dátum (11:59 PM ET) | Mi történik |
|---|---|
| 2026. november 12. | A nagy mennyiségű lekérdezések és módosítások a nyilvános alkalmazásokból IP-cím engedélyezőlista nélkül blokkolva vannak. |
| 2026. november 20. | A nyilvános alkalmazások IP-engedélyezőlistával való korlátozása nélkül törlésre kerülnek az App Store-ból, így nincs új telepítés, és a kereskedők Beállítások > Alkalmazások alatt megjelölve. |
| 2027. január 15. | A kereskedők figyelmeztetést látnak a Shopify adminisztrátorban. |
| 2027. április 1. | Az Admin API kérései az alkalmazásokból IP-cím engedélyezőlista nélkül meghiúsulnak. |
A meglévő telepítések működnek továbbá április 1-ig, 2027, de egy törölt alkalmazás figyelmeztetéssel az adminisztrátorban nehéz eladni a kereskedőknek, ezért a novemberi dátumok azok, amelyek számítanak.
Hogyan készüljön fel az alkalmazás
- Térképezz fel minden helyet, amely hívja az Admin API-t. Foglald bele a fő szerveredet, háttérmunkásokat, cron jobokat, sorokat, webhook kezelőket és bármilyen szkriptet, amely fut a CI-ben.
- Keresse meg a kimenő IP-címeket. A hosztoló szolgáltatója meg tudja mondani, hogy mely címeket használják szerverei a kimenő kéréseknél. Ha gyakran változnak, állítson be statikus kimenő IP-ket.
- Használjon ASN fehérlistázást a szerver nélküli hosztoláshoz. A szerver nélküli platformokon vagy dinamikus IP-címeken lévő alkalmazások engedélyezhetik egy egész hálózatot ASN szerint egyetlen cím helyett. A Shopify hozzáadott ASN támogatást pontosan erre az esetre.
- Hozzáadni az engedélyezőlistát a Dev Dashboardban. A Shopify Dev Dashboard lehetővé teszi az Admin API hozzáférés korlátozását IP-engedélyezőlistával.
- Először végezz tömeges műveleteket. Ha az alkalmazásod tömeges lekérdezéseket vagy módosításokat futtat, a korábbi november 12-i határidő vonatkozik rá.
- Tesztelje egy fejlesztői boltban. A Shopify hálózati hozzáférési tesztelése a fejlesztői bolt előnézeteiben megjelöli azokat a webhelyeket és szervereket, amelyekkel az Ön alkalmazása beszél, és amelyeket nem jelentett be.
- Nézze meg az API naplókat a változás után. Az elveszett cím sikertelen kérésekként jelenik meg, ezért ellenőrizze a naplókat minden egyes telepítés előtt és után.
Tapasztalati megjegyzés: egy egész felhőszolgáltató hálózatának engedélyezése ASN szerint jobb, mint semmi, de bárki, aki szervereket bérel ugyanattól a szolgáltatótól, megosztja ezt a hálózatot. Szigorúbb biztonság érdekében küldje az Admin API hívásokat egy kis proxyn keresztül, fix IP-címmel és csak azt a címet engedélyezze.
A másik határidő: a lejáró offline hozzáférési tokenek
A Shopify szintén mozgatja az alkalmazásokat a lejáró offline hozzáférési tokenek felé, külön idővonallal. Azok az alkalmazások, amelyek továbbra is nem lejáró offline tokeneket használnak, törlésre kerülnek, és a kereskedői beállításokban megjelölve 2027. január 1-jén, a kereskedők figyelmeztetést látnak 2027. január 15-től, és a kérések meghiúsulnak 2027. április 1-jétől. A nem lejáró tokeneket megtalálhatja a Dev Dashboard API naplók token típus szerinti szűrésével. A Shopify azt is jelezte, hogy a nagykereskedelmi lekérdezésekhez és módosításokhoz hamarosan saját hozzáférési körükre lesz szükség. Azok az alkalmazások, amelyek az elmúlt 180 napban nagykereskedelmi műveletet futtattak, automatikusan megkapják ezeket a köröket, de hozzá kell adniuk őket az alkalmazás konfigurációjához a következő telepítés előtt, amint azok élővé válnak.
Mit kell tennie a bolt tulajdonosoknak
- A november 20. után nyissa meg a Beállítások > Alkalmazások lehetőséget a Shopify adminisztrátorban, és keresse meg a jelölt alkalmazásokat.
- Kérdezze meg a jelölt alkalmazások fejlesztőit, hogy mikor adják hozzá az IP-cím engedélyezőlistát, különösen azokhoz az alkalmazásokhoz, amelyek rendeléseket, ügyfeleket vagy készletet kezelnek.
- Ha van egy egyedi alkalmazásod, amelyet egy szabadúszó vagy ügynökség épített, kérdezd meg őket, hogy adjanak hozzá egy engedélyezőlistát és ellenőrizzék a token változást is.
Ha segítségre van szükséged egy egyedi Shopify alkalmazás vagy integráció biztosításához a határidők előtt, nézz meg Shopify fejlesztés szolgáltatások vagy Vegye fel velem a kapcsolatot.
Gyakran ismételt kérdések
Mikor szükséges a Shopify IP engedélylista?
2026. november 20-ig, 23:59 ET-kor minden olyan nyilvános alkalmazás esetében, amely hívja az Admin API-t, és 2026. november 12-ig azoknak az alkalmazásoknak, amelyek tömeges műveleteket használnak.
Mi történik, ha az alkalmazásom lemarad a november 20-i határidőről?
Az alkalmazás törölve van a Shopify App Store-ból, így nem kap új telepítéseket, és a kereskedők Beállítások > Alkalmazások alatt jelölve van. A kereskedők figyelmeztetést látnak 2027. január 15-től, és az Admin API kéréseik meghiúsulnak 2027. április 1-jétől.
A meglévő kereskedők azonnal elveszítik az alkalmazást?
Nem. A meglévő telepítések továbbra is működnek 2027. április 1-ig, kivéve, ha az alkalmazás tömeges műveleteket használ, amelyek 2026. november 12. után blokkolva vannak.
Kötelező-e a követelmény az egyedi alkalmazásokra?
A Shopify bejelentése nyilvános alkalmazásokra vonatkozik, amelyek hívják az Admin API-t, és nem mondja, hogy a egyedi alkalmazások beleértendők-e. Az allowlist hozzáadása egy egyedi alkalmazáshoz továbbra is jó biztonsági lépés.
Az alkalmazásom szerver nélküli hosztoláson fut. Hogyan adhatok hozzá engedélyezési listát?
A Shopify támogatja az ASN alapú allowlistet, amely lefedi az egész hoszting hálózatot ahelyett, hogy egyetlen IP-címet használna. A szigorúbb vezérlés érdekében az Admin API hívásokat egy fix IP-című proxy-n keresztül kell irányítani.
Hogyan jelentsem a kiszivárgott tokent vagy gyanús alkalmazás tevékenységet?
A Shopify fejlesztőket kér arra, hogy jelentse a gyanús tevékenységet a [email protected] címre. Az alkalmazásfejlesztők felelősek a problémák megoldásáért és az érintett kereskedők értesítéséért.