Shopify IP Allowlist ora obbligatoria per le app pubbliche: scadenze e cosa fare
Di Eoin Villarin, 2026-11-07
Shopify ora richiede una whitelist IP per ogni app pubblica che chiama l'Admin API, con scadenze il 12 e il 20 novembre 2026. Ecco cosa cambia, cosa rompe se la perdi e come prepararsi.
Quando è richiesta la Shopify IP allowlist?
Shopify richiede una lista di indirizzi IP consentiti per ogni app pubblica che chiama l'API Admin entro il 20 novembre 2026, alle 23:59 ET. Le app che utilizzano operazioni di massa devono aggiungerne una entro il 12 novembre 2026. Le app senza di essa vengono rimosse dal Shopify App Store il 20 novembre e le loro richieste API Admin falliscono dal 1 aprile 2027.
Punti chiave
- Ogni app pubblica che chiama l'API Admin di Shopify necessita di un elenco di controllo degli indirizzi IP entro il 20 novembre 2026.
- Le app che utilizzano operazioni di massa hanno una scadenza anticipata del 12 novembre 2026, dopo la quale le query e le mutazioni di massa sono bloccate.
- Perdere la scadenza comporta la rimozione dall'App Store, avvisi per i commercianti dal 15 gennaio 2027 e richieste all'Admin API fallite dal 1 aprile 2027.
- Le app su hosting serverless possono consentire l'accesso a tutta la rete tramite ASN invece di singoli indirizzi IP.
- Separatamente, le app devono passare a token di accesso offline in scadenza entro il 1 gennaio 2027.
Shopify ora richiede una whitelist IP per ogni app pubblica che chiama l'Admin API. La scadenza principale è il 20 novembre 2026, e le app che usano operazioni bulk hanno solo fino al 12 novembre. Se sviluppi o gestisci un'app Shopify, o il tuo negozio dipende da una, questo è ciò che cambia, cosa si rompe se la perdi e come prepararsi in tempo.
Cos'è un elenco di indirizzi IP consentiti di Shopify?
Un elenco di controllo degli indirizzi IP è un elenco degli indirizzi IP o delle reti che utilizzano i server della tua app. Una volta attivato, i token di accesso della tua app funzionano solo quando la richiesta proviene da uno di quegli indirizzi. Secondo Shopify, un elenco di controllo degli indirizzi IP significa "un token trapelato non può essere utilizzato da nessuna parte tranne che sui tuoi server". Quindi, se un token di accesso mai trapelasse tramite un file di registro, un bug o una violazione, un attaccante non può utilizzarlo dalla propria macchina.
Quali app necessitano di un elenco di indirizzi IP consentiti?
L'annuncio di Shopify si applica a tutte le app pubbliche che chiamano l'Admin API. Shopify espone chiaramente il motivo: le settimane più intense per i commercianti sono quasi arrivate, e vuole che i token trapelati siano inutili prima del periodo natalizio.
L'annuncio non specifica se le app personalizzate create per un singolo negozio siano incluse. Se utilizzi un'app personalizzata, controlla le impostazioni dell'app nel Dev Dashboard e nella documentazione di Shopify, perché aggiungere una whitelist è sempre una buona idea.
Scadenze whitelist IP di Shopify
| Data (23:59 ET) | Cosa succede |
|---|---|
| November 12, 2026 | Le query e le mutazioni di massa dalle app pubbliche senza un elenco di controllo degli indirizzi IP sono bloccate. |
| November 20, 2026 | Le app pubbliche senza una whitelist IP vengono rimosse dall'App Store, quindi nessuna nuova installazione, e contrassegnate nelle Impostazioni > App dei commercianti. |
| January 15, 2027 | I commercianti vedono un avviso nel loro admin di Shopify. |
| 1 aprile 2027 | Le richieste API Admin dalle app senza un elenco di controllo degli indirizzi IP non riescono. |
Le installazioni esistenti continuano a funzionare fino al 1 aprile 2027, ma un'app eliminata con un avviso nell'amministrazione è una vendita difficile per i commercianti, quindi le date di novembre sono quelle che contano.
Come preparare la tua app
- Mappa ogni luogo che chiama l'Admin API. Includi il tuo server principale, i lavoratori in background, i lavori cron, le code, i gestori di webhook e qualsiasi script che venga eseguito in CI.
- Trova gli indirizzi IP in uscita. Il tuo fornitore di hosting può dirti quali indirizzi utilizzano i tuoi server per effettuare richieste in uscita. Se cambiano spesso, configura indirizzi IP di uscita statici.
- Usa la whitelist ASN per l'hosting serverless. Le app su piattaforme serverless o indirizzi IP dinamici possono consentire l'accesso a tutta la rete tramite il suo ASN invece di singoli indirizzi. Shopify ha aggiunto il supporto ASN esattamente per questo caso.
- Aggiungi l'elenco di controllo nella dashboard degli sviluppatori. Il Dev Dashboard di Shopify ti permette di limitare l'accesso all'Admin API con una whitelist IP.
- Esegui le operazioni di massa per prime. Se la tua app esegue query o mutazioni di massa, si applica la scadenza anticipata del 12 novembre.
- Prova su un negozio di sviluppo. Il test di accesso di rete di Shopify nelle anteprime dei negozi di sviluppo segnala i siti e i server con cui la tua app comunica e che non hai dichiarato.
- Controlla i log API dopo la modifica. Un indirizzo mancante appare come richieste non riuscite, quindi controlla i registri prima e dopo ogni distribuzione.
Una nota basata sull'esperienza: consentire l'accesso a tutta la rete di un provider cloud tramite ASN è meglio di niente, ma chiunque affitti un server dallo stesso provider condivide quella rete. Per una sicurezza più rigorosa, invia le chiamate Admin API tramite un piccolo proxy con un indirizzo IP fisso e consenti solo quell'indirizzo.
L'altra scadenza: token di accesso offline in scadenza
Shopify sta anche passando le app a token di accesso offline in scadenza, con una timeline separata. Le app che usano ancora token offline non scadenti vengono rimosse e contrassegnate nelle impostazioni del commerciante il 1 gennaio 2027, i commercianti vedono un avviso dal 15 gennaio 2027 e le richieste falliscono dal 1 aprile 2027. Puoi trovare i token non scadenti filtrando i log API del tuo Dev Dashboard per tipo di token. Shopify ha inoltre comunicato che presto le query e le mutazioni bulk richiederanno ciascuna il proprio ambito di accesso. Le app che hanno eseguito un'operazione bulk negli ultimi 180 giorni riceveranno automaticamente quegli ambiti, ma dovresti aggiungerli alla configurazione dell'app prima del prossimo deploy una volta che saranno attivi.
Cosa dovrebbero fare i proprietari di negozi
- Dopo il 20 novembre, apri Impostazioni > App nella tua amministrazione Shopify e cerca le app segnalate.
- Chiedi agli sviluppatori di qualsiasi app segnalata quando aggiungeranno un elenco di controllo degli indirizzi IP, specialmente per le app che gestiscono ordini, clienti o inventario.
- Se hai un'app personalizzata costruita da un freelance o un'agenzia, chiedi loro di aggiungere un elenco di controllo e verifica anche la modifica del token.
Se hai bisogno di aiuto per proteggere un'app Shopify personalizzata o un'integrazione prima delle scadenze, dai un'occhiata al mio Sviluppo Shopify servizi o contattami.
Domande frequenti
Quando è richiesta la Shopify IP allowlist?
Entro il 20 novembre 2026, alle 23:59 ET per ogni app pubblica che chiama l'API Admin e entro il 12 novembre 2026 per le app che utilizzano operazioni di massa.
Cos'è successo se la mia app manca la scadenza del 20 novembre?
L'app viene rimossa dal Shopify App Store, quindi non ottiene nuove installazioni ed è contrassegnata nelle impostazioni dei commercianti > App. I commercianti vedono un avviso dal 15 gennaio 2027 e le richieste API Admin falliscono dal 1 aprile 2027.
Gli esercenti esistenti perdono subito l'app?
No. Le installazioni esistenti continuano a funzionare fino al 1 aprile 2027, a meno che l'app non utilizzi operazioni di massa, che vengono bloccate dopo il 12 novembre 2026.
Il requisito si applica alle app personalizzate?
L'annuncio di Shopify copre le app pubbliche che chiamano l'API Admin e non dice se le app personalizzate sono incluse. Aggiungere una lista di indirizzi IP consentiti a un'app personalizzata è comunque un buon passo di sicurezza.
La mia app gira su hosting serverless. Come aggiungo una lista di indirizzi IP consentiti?
Shopify supporta la lista di indirizzi IP consentiti per ASN, che copre un'intera rete di hosting invece di singoli indirizzi IP. Per un controllo più stretto, instrada le chiamate API Admin tramite un proxy con un indirizzo IP fisso.
Come segnalo un token trapelato o un'attività sospetta dell'app?
Shopify chiede agli sviluppatori di segnalare attività sospette a [email protected]. Gli sviluppatori di app sono responsabili della correzione dei problemi e della notifica ai commercianti interessati.