공개 앱에 대한 Shopify IP 허용 목록이 필요함: 마감일 및 조치 사항

에 의해 Eoin Villarin, 2026-11-07

Shopify는 이제 관리 API를 호출하는 모든 공개 앱에 대해 IP 허용 목록을 요구하며, 2026년 11월 12일과 11월 20일에 기한이 있습니다. 무엇이 변경되고, 무엇을 놓치면 무엇이 중단되며 어떻게 준비해야 하는지 설명합니다.

Shopify는 이제 관리 API를 호출하는 모든 공개 앱에 대해 IP 허용 목록을 요구합니다. 주요 기한은 2026년 11월 20일이며 대량 작업을 사용하는 앱은 11월 12일까지만 가능합니다. Shopify 앱을 구축하거나 실행하거나 매장이 하나에 의존하는 경우 무엇이 변경되고 무엇이 중단되며 어떻게 제시간에 준비할 수 있는지 설명합니다.

Shopify IP 허용 목록이란 무엇입니까?

IP 허용 목록은 앱 서버에서 사용하는 IP 주소 또는 네트워크 목록입니다. 목록에 추가하면 앱의 액세스 토큰은 해당 주소 중 하나에서 요청이 올 때만 작동합니다. Shopify의 말에 따르면 IP 허용 목록은 "유출된 토큰을 자신의 서버가 아닌 다른 곳에서 사용할 수 없습니다." 따라서 액세스 토큰이 로그 파일, 버그 또는 침입으로 인해 유출된 경우 공격자는 자신의 컴퓨터에서 사용할 수 없습니다.

어떤 앱에 IP 허용 목록이 필요합니까?

Shopify의 발표는 관리 API를 호출하는 모든 공개 앱에 적용됩니다. Shopify는 이유를 간단히 설명합니다. 판매자의 가장 바쁜 주간이 거의 다가오고 있으며 휴일 러시 전에 유출된 토큰이 무용지물이 되기를 원합니다.

발표문에는 단일 매장에 대해 구축된 사용자 지정 앱이 포함되는지 여부는 언급되지 않았습니다. 사용자 지정 앱을 실행하는 경우 Dev Dashboard 및 Shopify 문서에서 앱의 설정을 확인하십시오. 허용 목록을 추가하는 것은 좋은 생각입니다.

Shopify IP 허용 목록 기한

기존 설치는 2027년 4월 1일까지 계속 작동하지만 경고가 있는 삭제된 앱은 판매자에게 판매하기 어렵습니다. 따라서 11월 날짜가 중요합니다.

앱 준비 방법

1. 관리 API를 호출하는 모든 위치를 매핑합니다. 주 서버, 배경 작업자, cron 작업, 큐, 웹훅 핸들러 및 CI에서 실행되는 모든 스크립트를 포함하십시오.
2. 아웃바운드 IP 주소를 찾습니다. 호스팅 제공업체에 문의하면 서버가 발신 요청에 사용하는 주소를 알 수 있습니다. 자주 변경되는 경우 정적 발신 IP를 설정하십시오.
3. 서버리스 호스팅에 ASN 허용 목록을 사용합니다. 서버리스 플랫폼 또는 동적 IP의 앱은 단일 주소 대신 ASN으로 전체 네트워크를 허용 목록에 추가할 수 있습니다. Shopify는 바로 이 경우를 위해 ASN 지원을 추가했습니다.
4. 개발자 대시보드에서 허용 목록을 추가하십시오. Shopify의 Dev Dashboard를 사용하면 IP 허용 목록으로 관리 API 액세스를 제한할 수 있습니다.
5. 대량 작업을 먼저 수행하십시오. 앱이 대량 쿼리 또는 변형을 사용하는 경우 11월 12일까지 더 이른 마감일이 적용됩니다.
6. 개발 저장소에서 테스트합니다. Shopify의 네트워크 액세스 테스트는 개발 저장소 미리보기에서 앱이 이야기하는 사이트 및 서버를 플래그로 지정하며 선언하지 않았습니다.
7. 변경 후 API 로그를 확인하십시오. 잘못된 주소는 실패한 요청으로 표시되므로 각 배포 전후에 로그를 확인하십시오.

경험에 대한 참고: ASN으로 전체 클라우드 제공업체 네트워크를 허용 목록에 추가하는 것은 아무 조치도 취하지 않는 것보다 낫지만, 동일한 제공업체에서 서버를 임대하는 사람은 누구나 해당 네트워크를 공유합니다. 더 엄격한 보안을 위해 고정 IP 주소를 가진 작은 프록시를 통해 관리자 API 호출을 전송하고 해당 주소만 허용 목록에 추가하십시오.

다른 기한: 만료되는 오프라인 액세스 토큰

Shopify는 또한 앱을 만료되는 오프라인 액세스 토큰으로 이동시키고 있으며 별도의 타임라인을 가지고 있습니다. 여전히 만료되지 않는 오프라인 토큰을 사용하는 앱은 2027년 1월 1일에 삭제되고 판매자 설정에서 플래그가 지정되며, 2027년 1월 15일부터 판매자에게 경고가 표시되고 2027년 4월 1일부터 요청이 실패합니다. 토큰 유형별로 Dev Dashboard API 로그를 필터링하여 만료되지 않는 토큰을 찾을 수 있습니다. Shopify는 또한 대량 쿼리와 변이에는 각각 고유한 액세스 범위가 필요 soon. 지난 180일 동안 대량 작업을 실행한 앱은 해당 범위를 자동으로 수신하지만 라이브로 전환한 후 다음 배포 전에 앱 구성에 추가해야 합니다.

스토어 소유자가 해야 할 일

• 11월 20일 이후에는 Shopify 관리자에서 설정 > 앱을 열고 플래그가 지정된 앱을 찾습니다.
• 플래그가 지정된 앱의 개발자에게 IP 허용 목록을 추가할 시기를 문의하십시오. 특히 주문, 고객 또는 재고를 처리하는 앱의 경우 더욱 그렇습니다.
• 프리랜서 또는 대행사가 구축한 사용자 지정 앱이 있는 경우 허용 목록을 추가하고 토큰 변경도 확인하도록 요청하십시오.

기한 전에 맞춤형 Shopify 앱 또는 통합을 보호하는 데 도움이 필요하면 제 Shopify 개발 서비스 또는 저에게 연락하십시오.

자주 묻는 질문

Shopify IP 허용 목록은 언제 필요합니까?

2026년 11월 20일까지 동부 표준시 11시 59분까지 모든 공개 앱에 대해 Admin API를 호출하는 경우, 2026년 11월 12일까지 대량 작업을 사용하는 앱의 경우

내 앱이 11월 20일 마감일을 놓친 경우 어떻게 됩니까?

앱이 Shopify 앱 스토어에서 삭제되므로 새 설치를 받을 수 없으며 판매자의 설정 > 앱에서 플래그가 지정됩니다. 판매자는 2027년 1월 15일부터 경고를 보고 2027년 4월 1일부터 Admin API 요청이 실패합니다.

기존 판매자가 즉시 앱을 잃게 됩니까?

아니요. 기존 설치는 2027년 4월 1일까지 계속 작동합니다. 단, 대량 작업을 사용하는 앱은 2026년 11월 12일 이후 차단됩니다.

요구 사항이 맞춤 앱에 적용됩니까?

Shopify의 발표는 Admin API를 호출하는 공개 앱을 다루며 맞춤 앱이 포함되는지 여부에 대해서는 언급하지 않습니다. 맞춤 앱에 허용 목록을 추가하는 것은 여전히 좋은 보안 조치입니다.

내 앱은 서버리스 호스팅에서 실행됩니다. 허용 목록을 어떻게 추가합니까?

Shopify는 ASN을 통한 허용 목록을 지원합니다. 이는 단일 IP 주소 대신 전체 호스팅 네트워크를 포함합니다. 더 엄격한 제어를 위해 고정 IP 주소를 가진 프록시를 통해 Admin API 호출을 라우팅하십시오.

토큰 누출 또는 의심스러운 앱 활동을 어떻게 보고합니까?

Shopify는 개발자에게 suspicious 활동 보고를 [email protected]로 요청합니다. 앱 개발자는 문제를 해결하고 영향을 받는 판매자에게 알릴 책임이 있습니다.

자료 출처

• Shopify: 앱 보안 업데이트, IP 허용 목록이 이제 필요합니다
• Shopify 개발자 변경 로그