Shopify IP‑tillatelsesliste nå påkrevd for offentlige apper: Frister og hva du skal gjøre
Av Eoin Villarin, 2026-11-07
Shopify krever nå en IP-tillatelsesliste for hver offentlig app som kaller Admin API, med frister på 12. og 20. november 2026. Her er hva som endres, hva som bryter hvis du går glipp av det og hvordan du forbereder deg.
Når er Shopify IP‑tillatelseslisten påkrevd?
Shopify krever en IP‑tillatelsesliste for alle offentlige apper som kaller Admin API innen 20. november 2026, kl. 23:59 ET. Apper som bruker bulk‑operasjoner må legge til en innen 12. november 2026. Apper uten liste blir fjernet fra App Store 20. november, og deres Admin API‑forespørsler feiler fra 1. april 2027.
Viktige hovedpunkter
- Enhver offentlig app som ringer Shopify Admin API må ha en IP-tillatelsesliste innen november 20, 2026.
- Apper som bruker bulkoperasjoner har en tidligere frist på november 12, 2026, etter hvilken bulkforespørsler og mutasjoner er blokkert.
- Å gå glipp av fristen betyr fjernelse fra App Store, butikkadvarsler fra 15. januar 2027 og mislykkede Admin API-forespørsler fra 1. april 2027.
- Apper på serverløs hosting kan tillate et helt nettverk etter ASN i stedet for enkelte IP-adresser.
- Separat må apper gå over til utløpende offline-tilgangstokener før 1. januar 2027.
Shopify krever nå en IP-tillatelsesliste for hver offentlig app som kaller Admin API. Hovedfristen er 20. november 2026, og apper som bruker bulkoperasjoner har bare tid frem til 12. november. Hvis du bygger eller kjører en Shopify-app, eller din butikk avhenger av en, er dette hva som endres, hva som bryter hvis du går glipp av det og hvordan du får være klar i tide.
What er en Shopify IP tillatelsesliste?
En IP-tillatelsesliste er en liste over IP-adressene eller nettverkene dine app-servere bruker. Når den er på, fungerer dine apps tilgangstokener bare når forespørselen kommer fra en av disse adressene. I Shopify sin ordlyd, betyr en IP-tillatelsesliste "en lekket token kan ikke brukes hvor som helst, men på dine egne servere." Så hvis en tilgangstoken noen gang lekker gjennom en loggfil, en feil eller et brudd, kan en angriper ikke bruke den fra sin egen maskin.
Hvilke apper trenger en IP tillatelsesliste?
Shopifys kunngjøring gjelder alle offentlige apper som kaller Admin API. Shopify gir grunnen tydelig: butikkens travleste uker i året er nesten her, og det ønsker at lekkede tokener skal være ubrukelige før julen.
Kunngjøringen sier ikke om egendefinerte apper bygget for en enkelt butikk er inkludert. Hvis du kjører en egendefinert app, sjekk din apps innstillinger i Dev Dashboard og Shopifys dokumentasjon, fordi å legge til en tillatelsesliste er en god idé enten det.
Shopify IP-tillatelsesliste frister
| Date (11:59 PM ET) | What skjer |
|---|---|
| 12. november 2026 | Bulkforespørsler og mutasjoner fra offentlige apper uten en IP-tillatelsesliste er blokkert. |
| 20. november 2026 | Offentlige apper uten en IP-tillatelsesliste fjernes fra App Store, så ingen nye installasjoner, og flagges i butikkinnstillinger > Apper. |
| 15. januar 2027 | Butikker ser en advarsel i sin Shopify-administrasjon. |
| april 1, 2027 | Admin API-forespørsler fra apper uten en IP-tillatelsesliste mislykkes. |
Eksisterende installasjoner fungerer frem til april 1, 2027, men en fjernet app med en advarsel i admin er en vanskelig salg til forhandlere, så november-datoene er de som betyr noe.
Hvordan forberede din app
- Kartlegg hver eneste plass som kaller Admin API. Inkluder din hovedserver, bakgrunnsarbeidere, cron-jobber, køer, webhook-håndtere og eventuelle skript som kjører i CI.
- Finne de utgående IP-adressene. Din vertsleverandør kan fortelle deg hvilke adresser serverne dine bruker til å gjøre utgående forespørsler. Hvis de endrer seg ofte, opprett statiske utgående IP-adresser.
- Bruk ASN-tillatelsesliste for serverløs hosting. Apper på serverløse plattformer eller dynamiske IP-er kan tillate et helt nettverk etter dets ASN i stedet for enkelte adresser. Shopify la til ASN-støtte for nøyaktig dette tilfellet.
- Legg til tillatelseslisten i Dev Dashboard. Shopifys Dev Dashboard lar deg begrense Admin API-tilgang med en IP-tillatelsesliste.
- Gjør bulkoperasjoner først. Hvis din app kjører bulkforespørsler eller mutasjoner, gjelder den tidligere fristen på november 12.
- Test på en utviklerbutikk. Shopifys nettverksadgangstesting i utviklerbutikkforhåndsvisninger flagger nettsteder og servere din app snakker med som du ikke har erklært.
- Overvåk dine API-logger etter endringen. En feil adresse vises som mislykkede forespørsler, så sjekk loggene før og etter hver distribusjon.
En note fra erfaring: å tillate en hel sky-leverandørs nettverk etter ASN er bedre enn ingenting, men noen som leier en server fra samme leverandør deler det nettverket. For strengere sikkerhet, send Admin API-anrop gjennom en liten proxy med en fast IP-adresse og tillat bare den adressen.
Den andre fristen: utløpende offline-tilgangstokener
Shopify krever også at apper går over til utløpende offline-tilgangstokener, med en egen tidslinje. Apper som fortsatt bruker ikke-utløpende offline-tokener fjernes og flagges i butikkinnstillinger på 1. januar 2027, butikker ser en advarsel fra 15. januar 2027, og forespørsler mislykkes fra 1. april 2027. Du kan finne ikke-utløpende tokener ved å filtrere dine Dev Dashboard API-logger etter token-type. Shopify har også sagt at bulkforespørsler og mutasjoner hver trenger sitt eget tilgangsscope snart. Apper som kjørte en bulkoperasjon i løpet av de siste 180 dagene vil motta disse scopes automatisk, men du bør legge dem til din app-konfigurasjon før din neste distribusjon når de er live.
What bør butikkeiere gjøre
- Etter november 20, åpne Innstillinger > Apper i din Shopify-admin og se etter flaggede apper.
- Spør utviklerne av enhver flaggert app når de vil legge til en IP-tillatelsesliste, spesielt for apper som håndterer bestillinger, kunder eller lager.
- Hvis du har en tilpasset app bygget av en frilans eller byrå, spør dem om å legge til en tillatelsesliste og sjekke token-endringen også.
Hvis du trenger hjelp til å sikre en tilpasset Shopify-app eller en integrasjon før fristene, se på min Shopify-utvikling tjenester eller kontakt meg.
Ofte stilte spørsmål
Når er Shopify IP‑tillatelseslisten påkrevd?
Innen 20. november 2026, kl. 23:59 ET for alle offentlige apper som kaller Admin API, og innen 12. november 2026 for apper som bruker bulk‑operasjoner.
Hva skjer hvis appen min går glipp av fristen 20. november?
Appen fjernes fra Shopify App Store, får ingen nye installasjoner, og den markeres i kjøpmenns Innstillinger > Apper. Kjøpmenn ser en advarsel fra 15. januar 2027, og Admin API‑forespørsler feiler fra 1. april 2027.
Mister eksisterende kjøpmenn appen umiddelbart?
Nei. Eksisterende installasjoner fungerer frem til 1. april 2027, med mindre appen bruker bulk‑operasjoner, som blokkeres etter 12. november 2026.
Gjelder kravet for egendefinerte apper?
Shopifys kunngjøring gjelder offentlige apper som kaller Admin API og sier ikke om egendefinerte apper er inkludert. Å legge til en tillatelsesliste i en egendefinert app er fortsatt et godt sikkerhetstiltak.
Appen min kjører på serverløs hosting. Hvordan legger jeg til en tillatelsesliste?
Shopify støtter tillatelsesliste via ASN, som dekker et helt hosting‑nettverk i stedet for enkelt‑IP‑adresser. For strengere kontroll, kanaliser Admin API‑kall gjennom en proxy med fast IP‑adresse.
Hvordan rapporterer jeg et lekket token eller mistenkelig app‑aktivitet?
Shopify ber utviklere om å rapportere mistenkelig aktivitet til [email protected]. App‑utviklere er ansvarlige for å løse problemer og varsle berørte kjøpmenn.