Shopify IP-toegangslijst nu vereist voor openbare apps: deadlines en wat te doen
Door Eoin Villarin, 2026-11-07
Shopify vereist nu een IP-allowlist voor elke publieke app die de Admin API aanroept, met deadlines op 12 en 20 november 2026. Hier is wat verandert, wat breekt als je het mist en hoe je je voorbereidt.
Wanneer is de Shopify IP-toegangslijst vereist?
Shopify vereist een IP-toegangslijst voor elke openbare app die de Admin API aanroept tegen 20 november 2026, 23:59 ET. Apps die bulkbewerkingen gebruiken, moeten er een toevoegen tegen 12 november 2026. Apps zonder toegangslijst worden verwijderd uit de App Store op 20 november en hun Admin API-aanvragen mislukken vanaf 1 april 2027.
Belangrijkste punten
- Elke openbare app die de Shopify Admin API aanroept, heeft tegen 20 november 2026 een IP-toestemmingslijst nodig.
- Apps die bulkbewerkingen gebruiken, hebben een eerdere deadline van 12 november 2026, waarna bulk queries en mutaties worden geblokkeerd.
- Het missen van de deadline betekent verwijdering uit de App Store, waarschuwingen voor merchants vanaf 15 januari 2027 en mislukte Admin API-aanvragen vanaf 1 april 2027.
- Apps op serverloze hosting kunnen een heel netwerk toestaan door ASN in plaats van afzonderlijke IP-adressen.
- Afzonderlijk moeten apps overschakelen naar expiring offline-toegangstokens vóór 1 januari 2027.
Shopify vereist nu een IP-allowlist voor elke publieke app die de Admin API aanroept. De belangrijkste deadline is 20 november 2026, en apps die bulkbewerkingen gebruiken hebben tot 12 november. Als je een Shopify-app bouwt of runt, of als je winkel afhankelijk is van één, dan is dit wat verandert, wat breekt als je het mist en hoe je je op tijd voorbereidt.
Wat is een Shopify IP allowlist?
Een IP-toestemmingslijst is een lijst van de IP-adressen of netwerken die uw app's servers gebruiken. Zodra het aanstaat, werken uw app's toegangs tokens alleen als het verzoek afkomstig is van één van die adressen. In Shopify's woorden betekent een IP-toestemmingslijst "een gelekt token kan nergens anders dan op uw eigen servers worden gebruikt." Dus als een toegangs token ooit lekt door een logbestand, een bug of een inbreuk, kan een aanvaller het niet gebruiken vanaf zijn eigen machine.
Welke apps hebben een IP allowlist nodig?
Shopify's aankondiging is van toepassing op alle publieke apps die de Admin API aanroepen. Shopify geeft de reden duidelijk weer: de drukste weken van het jaar voor merchants zijn bijna hier, en het wil dat gelekte tokens nutteloos zijn vóór de kerstdrukte.
De aankondiging zegt niet of maatwerks apps gebouwd voor één winkel zijn inbegrepen. Als je een maatwerks app runt, controleer dan de instellingen van je app in het Dev Dashboard en Shopify's documentatie, want het toevoegen van een allowlist is een goed idee in beide gevallen.
Shopify IP-allowlistdeadlines
| Datum (23:59 ET) | Wat gebeurt |
|---|---|
| 12 november 2026 | Bulk queries en mutaties van openbare apps zonder een IP-toestemmingslijst worden geblokkeerd. |
| 20 november 2026 | Publieke apps zonder een IP-allowlist worden verwijderd uit de App Store, dus geen nieuwe installs, en gemarkeerd in de instellingen van merchants > Apps. |
| 15 januari 2027 | Merchants zien een waarschuwing in hun Shopify-admin. |
| 1 april 2027 | Admin API-verzoeken van apps zonder een IP-toestemmingslijst mislukken. |
Bestaande installaties blijven werken tot 1 april 2027, maar een verwijderde app met een waarschuwing in de admin is een harde verkoop aan handelaren, dus de novemberdatums zijn degene die ertoe doen.
Hoe je app voor te bereiden
- Kaart elke plaats die de Admin API aanroept. Neem je hoofdserver, achtergrondwerkers, cron jobs, wachtrijen, webhook handlers en alle scripts die worden uitgevoerd in CI op.
- Zoek de uitgaande IP-adressen. Je hostingprovider kan je vertellen welke adressen je servers gebruiken om uitgaande verzoeken te doen. Als ze vaak veranderen, zet dan statische uitgaande IPs op.
- Gebruik ASN-allowlisting voor serverless hosting. Apps op serverloze platforms of dynamische IPs kunnen een heel netwerk toestaan door zijn ASN in plaats van afzonderlijke adressen. Shopify voegde ASN-ondersteuning toe voor precies dit geval.
- Voeg de toestemmingslijst toe in het Dev Dashboard. Het Shopify Dev Dashboard laat je Admin API-toegang beperken met een IP-allowlist.
- Doe eerst bulkbewerkingen. Als je app bulk queries of mutaties uitvoert, geldt de eerdere deadline van 12 november.
- Testen op een dev store. Shopify's netwerktoegangstest in dev store previews markeert sites en servers waarmee je app communiceert die je niet hebt gedeclareerd.
- Bewaak je API-logboeken na de wijziging. Een gemiste adres wordt weergegeven als mislukte verzoeken, dus controleer de logs voor en na elke implementatie.
Een nota vanuit ervaring: het toestaan van een hele cloudprovider's netwerk door ASN is beter dan niets, maar iedereen die een server huurt van dezelfde provider deelt dat netwerk. Voor strengere beveiliging stuurt u Admin API-aanvragen door één kleine proxy met een vast IP-adres en alleen dat adres toestaan.
De andere deadline: expiring offline-toegangstokens
Shopify gaat ook apps verplaatsen naar expiring offline-toegangstokens, met een aparte tijdlijn. Apps die nog gebruikmaken van niet-expiring offline-tokens worden verwijderd en gemarkeerd in de instellingen van merchants op 1 januari 2027, merchants zien een waarschuwing vanaf 15 januari 2027, en aanvragen mislukken vanaf 1 april 2027. Je kunt niet-expiring tokens vinden door je Dev Dashboard API-logboeken te filteren op token type. Shopify heeft ook gezegd dat bulk queries en mutaties elk hun eigen toegangsscope nodig hebben binnenkort. Apps die een bulkbewerking hebben uitgevoerd in de laatste 180 dagen, ontvangen die scopes automatisch, maar je moet ze toevoegen aan je app-config voordat je ze implementeert zodra ze live zijn.
Wat moeten winkelbezitters doen
- Na 20 november opent u Instellingen > Apps in uw Shopify-admin en zoekt u naar gemarkeerde apps.
- Vraag de ontwikkelaars van elke gemarkeerde app wanneer ze een IP-toestemmingslijst toevoegen, vooral voor apps die orders, klanten of voorraad behandelen.
- Als je een aangepaste app hebt gebouwd door een freelancer of bureau, vraag hen dan om een toestemmingslijst toe te voegen en de tokenwijziging te controleren.
Als je hulp nodig hebt bij het beveiligen van een aangepaste Shopify-app of integratie voor de deadlines, bekijk dan mijn Shopify-ontwikkeling diensten of neem contact met me op.
Veelgestelde vragen
Wanneer is de Shopify IP-toegangslijst vereist?
Tegen 20 november 2026, 23:59 ET voor elke openbare app die de Admin API aanroept, en tegen 12 november 2026 voor apps die bulkbewerkingen gebruiken.
Wat gebeurt er als mijn app de deadline van 20 november mist?
De app wordt verwijderd uit de Shopify App Store, dus krijgt geen nieuwe installaties en wordt gemarkeerd in de instellingen van handelaren > Apps. Handelaren zien een waarschuwing vanaf 15 januari 2027 en Admin API-aanvragen mislukken vanaf 1 april 2027.
Verliezen bestaande handelaren de app meteen?
Nee. Bestaande installaties blijven werken tot 1 april 2027, tenzij de app bulkbewerkingen gebruikt, die na 12 november 2026 worden geblokkeerd.
Is de eis van toepassing op aangepaste apps?
Het aankondiging van Shopify dekt openbare apps die de Admin API aanroepen en zegt niet of aangepaste apps zijn inbegrepen. Het toevoegen van een toegangslijst aan een aangepaste app is nog steeds een goede beveiligingsmaatregel.
Mijn app draait op serverloze hosting. Hoe voeg ik een toegangslijst toe?
Shopify ondersteunt toegangslijst door ASN, die een heel hostingnetwerk dekt in plaats van afzonderlijke IP-adressen. Voor een strengere controle kun je Admin API-aanvragen door een proxy met een vast IP-adres leiden.
Hoe meld ik een gelekt token of verdachte app-activiteit?
Shopify vraagt ontwikkelaars om verdachte activiteit te melden aan [email protected]. App-ontwikkelaars zijn verantwoordelijk voor het oplossen van problemen en het informeren van getroffen handelaren.