Shopify IPアドレス制限リストがパブリックアプリに必須に：期限と対応策

による Eoin Villarin, 2026-11-07

Shopifyは現在、Admin APIを呼び出すすべてのパブリックアプリに対してIP許可リストを要求している。期限は2026年11月12日と20日である。

Shopifyは現在、Admin APIを呼び出すすべてのパブリックアプリに対してIP許可リストを要求している。主な期限は2026年11月20日で、バルク操作を使用するアプリは11月12日までである。Shopifyアプリを構築または実行している場合、またはストアがアプリに依存している場合、何が変わるのか、期限を逃すとどうなるのか、そして時間内に準備する方法はこちら。

ShopifyのIP許可リストとは何ですか。

IP 許可リストは、アプリのサーバーが使用する IP アドレスまたはネットワークのリストです。一度有効にすると、アプリのアクセス トークンは、リクエストがこれらのアドレスのいずれかから送信された場合にのみ機能します。Shopify の言葉では、IP 許可リストは、「漏洩したトークンは、独自のサーバー以外では使用できない」を意味します。したがって、ログ ファイル、バグ、または侵害によってアクセス トークンが漏洩した場合、攻撃者は独自のマシンからそれを使用できません。

どのアプリにIP許可リストが必要ですか。

Shopifyのアナウンスは、Admin APIを呼び出すすべてのパブリックアプリに適用される。Shopifyは、理由を明確に述べている：今年の最も忙しい週が近づいており、ホリデーラッシュ前に漏洩したトークンを役に立たなくしたいと考えている。

アナウンスでは、カスタムアプリが単一のストア用に構築されたかどうかは明示されていない。カスタムアプリを実行している場合は、Dev DashboardとShopifyのドキュメントでアプリの設定を確認し、許可リストを追加するのが良い。

Shopify IP許可リストの期限

既存のインストールは、2027 年 4 月 1 日まで機能しますが、管理画面に警告が表示されたアプリは売り上げが落ちるため、11 月の期限が重要になります。

アプリを準備する方法

1. Admin APIを呼び出すすべての場所をマッピングする。 メイン サーバー、バックグラウンド ワーカー、cron ジョブ、キュー、Webhook ハンドラー、および CI で実行されるスクリプトを含めてください。
2. 送信元の IP アドレスを見つけてください。 あなたのホスティングプロバイダーは、サーバーが外部へのリクエストに使用するアドレスを教えてくれます。もし頻繁に変更される場合は、静的なアウトバウンドIPを設定してください。
3. サーバーレスホスティングにはASN許可リストを使用する。 サーバーレス プラットフォームまたは動的 IP のアプリは、単一のアドレスではなく、ASN によるネットワーク全体を許可リストに追加できます。Shopify は、この場合のために ASN サポートを追加しました。
4. Dev ダッシュボードで許可リストを追加してください。 ShopifyのDev Dashboardを使用すると、IP許可リストでAdmin APIアクセスを制限できる。
5. バルク操作を最初に実行してください。 アプリがバルク クエリまたはミューテーションを実行する場合、11 月 12 日の期限が早くなります。
6. 開発ストアでテストする。 Shopifyのネットワークアクセステストは、開発ストアのプレビューで、アプリが話すサイトとサーバーをフラグ表示する。
7. 変更後にAPIログを監視する。 アドレスが欠落している場合は、失敗したリクエストとして表示されるため、各デプロイの前後でログを確認してください。

経験からのメモ: クラウド プロバイダーのネットワーク全体を ASN で許可リストに追加することは、何もしないよりはましですが、同じプロバイダーからサーバーをレンタルしている人はそのネットワークを共有します。より厳格なセキュリティのために、固定 IP アドレスを持つ小さなプロキシを介して管理 API リクエストを送信し、そのアドレスだけを許可リストに追加してください。

もう1つの期限：期限切れのオフラインアクセストークン

Shopifyは、アプリを期限切れのオフラインアクセストークンに移行させている。期限切れのオフライントークンを使用するアプリは、2027年1月1日に削除され、設定でフラグが立てられ、2027年1月15日から警告が表示され、2027年4月1日からリクエストが失敗する。トークンの種類でDev Dashboard APIログをフィルタリングすることで、期限切れのトークンを見つけることができる。Shopifyはまた、バルククエリとミューテーションはそれぞれ独自のアクセススコープが必要になると述べている。過去180日間にバルク操作を実行したアプリは、これらのスコープを自動的に受け取るが、ライブになったら、次のデプロイ前にアプリの設定に追加する必要がある。

ストアオーナーが取るべき対策

• 11 月 20 日以降、Shopify 管理画面の [設定] > [アプリ] を開き、フラグが立っているアプリを探してください。
• フラグが立っているアプリの開発者に、IP 許可リストを追加する時期を尋ねてください。特に、注文、顧客、在庫を処理するアプリの場合です。
• フリーランサーまたはエージェンシーによって構築されたカスタム アプリをお持ちの場合は、許可リストを追加し、トークンの変更も確認するように依頼してください。

期限前に Shopify カスタム アプリまたは統合をセキュリティ保護するサポートが必要な場合は、私の Shopify開発 サービスまたは お問い合わせ.

よくある質問

ShopifyのIPアドレス制限リストはいつから必須になりますか？

2026年11月20日までに午後11時59分（ET）までに、Admin APIを呼び出すすべてのパブリックアプリはIPアドレス制限リストを追加する必要があります。

私のアプリが11月20日の期限を逃した場合どうなりますか？

アプリはShopify App Storeから削除されるため、新しいインストールは受けられず、Settings > Appsでフラグが立てられます。マーチャントは、2027年1月15日から警告メッセージを表示し、2027年4月1日からAdmin APIリクエストが失敗します。

既存のマーチャントはすぐにアプリを失いますか？

いいえ。既存のインストールは、2027年4月1日まで動作し続けますが、バルクオペレーションを使用するアプリは、2026年11月12日以降ブロックされます。

カスタムアプリにも要件は適用されますか？

Shopifyのアナウンスは、Admin APIを呼び出すパブリックアプリを対象としており、カスタムアプリが含まれるかどうかは明示されていません。カスタムアプリに制限リストを追加することは、セキュリティ対策として有効です。

私のアプリはサーバーレスホスティングで実行されています。どのようにして許可リストを追加すればよいですか？

Shopifyは、ASNによる制限リストをサポートしており、単一のIPアドレスではなく、ホスティングネットワーク全体をカバーします。より厳密な制御を行うには、固定IPアドレスを持つプロキシを経由してAdmin API呼び出しを行います。

トークンの漏洩やアプリの不審なアクティビティを報告するにはどうすればよいですか？

Shopifyは、開発者に不審なアクティビティを[email protected]に報告するよう求めています。アプリ開発者は、問題を修正し、影響を受けるマーチャントに通知する責任があります。

出典

• Shopify：アプリのセキュリティ更新、IP許可リストが必須
• Shopify開発者ログ