Wymagana lista dozwolonych adresów IP Shopify dla publicznych aplikacji: terminy i co robić
Przez Eoin Villarin, 2026-11-07
Shopify wymaga teraz listy dozwolonych adresów IP dla każdej publicznej aplikacji, która wywołuje API administratora, z terminami 12 i 20 listopada 2026. Oto co się zmienia, co się psuje, jeśli przegapisz i jak się przygotować.
Kiedy wymagana jest lista dozwolonych adresów IP Shopify?
Shopify wymaga listy dozwolonych adresów IP dla każdej publicznej aplikacji, która wywołuje API Admin do 20 listopada 2026 r., godz. 23:59 ET. Aplikacje korzystające z operacji masowych muszą dodać jedną do 12 listopada 2026 r. Aplikacje bez niej są usunięte z App Store 20 listopada, a ich żądania API Admin nieudane od 1 kwietnia 2027 r.
Kluczowe wnioski
- Każda publiczna aplikacja, która wywołuje Shopify Admin API, potrzebuje listy zezwoleń IP do 20 listopada 2026.
- Aplikacje korzystające z operacji masowych mają wcześniejszy termin - 12 listopada 2026, po którym zapytania i mutacje masowe są zablokowane.
- Przegapienie terminu oznacza usunięcie aplikacji ze sklepu App Store, ostrzeżenia dla handlowców od 15 stycznia 2027 i nieudane żądania API administratora od 1 kwietnia 2027.
- Aplikacje na hostingu serwerless mogą zezwolić na całą sieć według ASN zamiast pojedynczych adresów IP.
- Osobno, aplikacje muszą przejść na wygasające tokeny dostępu offline przed 1 stycznia 2027.
Shopify wymaga teraz listy dozwolonych adresów IP dla każdej publicznej aplikacji, która wywołuje API administratora. Główny termin to 20 listopada 2026, a aplikacje korzystające z operacji zbiorczych mają czas tylko do 12 listopada. Jeśli tworzysz lub uruchamiasz aplikację Shopify lub Twój sklep zależy od niej, oto co się zmienia, co się psuje, jeśli przegapisz i jak się przygotować na czas.
Co to jest lista zezwolonych adresów IP Shopify?
Lista zezwolonych adresów IP to lista adresów IP lub sieci, których używają serwery Twojej aplikacji. Po jej włączeniu tokeny dostępu Twojej aplikacji działają tylko wtedy, gdy żądanie pochodzi z jednego z tych adresów. Innymi słowy, lista zezwolonych adresów IP w Shopify oznacza, że "przecieknięty token nie może być użyty nigdzie poza Twoimi własnymi serwerami." Jeśli więc token dostępu kiedykolwiek przecieknie przez plik dziennika, błąd lub naruszenie, osoba atakująca nie może go użyć ze swojej własnej maszyny.
Które aplikacje wymagają listy zezwolonych adresów IP?
Ogłoszenie Shopify dotyczy wszystkich publicznych aplikacji, które wywołują API administratora. Shopify podaje powód wyraźnie: najbusywniejsze tygodnie roku handlowców są już blisko, a firma chce, aby tokeny, które wyciekły, były bezużyteczne przed świątecznym szaleństwem.
Ogłoszenie nie mówi, czy niestandardowe aplikacje zbudowane dla jednego sklepu są uwzględnione. Jeśli uruchamiasz niestandardową aplikację, sprawdź ustawienia swojej aplikacji w pulpicie deweloperskim i dokumentacji Shopify, ponieważ dodanie listy dozwolonych jest dobrym pomysłem w każdym przypadku.
Terminy wygasania listy dozwolonych adresów IP Shopify
| Data (23:59 ET) | Co się dzieje |
|---|---|
| 12 listopada 2026 | Zapytania i mutacje masowe z publicznych aplikacji bez listy zezwoleń IP są zablokowane. |
| 20 listopada 2026 | Aplikacje publiczne bez listy dozwolonych adresów IP są usuwane ze sklepu App Store, więc nie ma nowych instalacji i są oznaczone w ustawieniach handlowców > Aplikacje. |
| 15 stycznia 2027 | Handlowcy widzą ostrzeżenie w swoim panelu administracyjnym Shopify. |
| 1 kwietnia 2027 | Żądania Admin API z aplikacji bez listy zezwoleń IP nieudane. |
Istniejące instalacje będą działać do 1 kwietnia 2027, ale delisted aplikacja z ostrzeżeniem w panelu administracyjnym jest trudna do sprzedania sprzedawcom, więc daty listopadowe są tymi, które mają znaczenie.
Jak przygotować swoją aplikację
- Zmapuj każde miejsce, które wywołuje API administratora. Włącz swój główny serwer, pracownicy tła, zadania cron, kolejki, obsługę webhooków i wszystkie skrypty, które działają w CI.
- Znajdź adresy IP wychodzące. Twój dostawca hostingu może powiedzieć Ci, których adresów używają Twoje serwery do wysyłania żądań wychodzących. Jeśli często się zmieniają, skonfiguruj statyczne adresy IP wychodzące.
- Użyj listowania ASN dla hostingu bezserwerowego. Aplikacje na platformach serwerless lub dynamicznych adresach IP mogą zezwolić na całą sieć według jej ASN zamiast pojedynczych adresów. Shopify dodał obsługę ASN dla tego przypadku.
- Dodaj listę zezwoleń w panelu deweloperskim. Panel deweloperski Shopify pozwala ograniczyć dostęp do API administratora za pomocą listy dozwolonych adresów IP.
- Najpierw wykonaj operacje masowe. Jeśli Twoja aplikacja wykonuje zapytania lub mutacje masowe, obowiązuje wcześniejszy termin - 12 listopada.
- Testuj na sklepie deweloperskim. Testowanie dostępu sieciowego Shopify w podglądach sklepu deweloperskiego oznacza strony i serwery, z którymi rozmawia Twoja aplikacja, a które nie zadeklarowałeś.
- Monitoruj dzienniki API po zmianie. Nieudana adresacja pojawia się jako nieudane żądania, więc sprawdź dzienniki przed i po każdym wdrożeniu.
Notatka z doświadczenia: zezwalanie na całą sieć dostawcy chmury według ASN jest lepsze niż nic, ale każdy, kto wynajmuje serwer od tego samego dostawcy, dzieli tę sieć. Dla bardziej rygorystycznego bezpieczeństwa wyślij żądania Admin API przez mały serwer proxy z adresem IP i zezwól tylko na ten adres.
Drugi termin: wygasające tokeny dostępu offline
Shopify również przenosi aplikacje na wygasające tokeny dostępu offline, z oddzielnym harmonogramem. Aplikacje, które nadal używają niewygasających tokenów offline, są usuwane z listy i oznaczone w ustawieniach handlowców z dniem 1 stycznia 2027, handlowcy widzą ostrzeżenie od 15 stycznia 2027, a żądania kończą się niepowodzeniem od 1 kwietnia 2027. Możesz znaleźć niewygasające tokeny, filtrując dzienniki API swojego pulpitu deweloperskiego według typu tokena. Shopify powiedział również, że zapytania i mutacje zbiorcze będą wymagać własnego zakresu dostępu wkrótce. Aplikacje, które przeprowadziły operację zbiorczą w ciągu ostatnich 180 dni, otrzymają te zakresy automatycznie, ale powinny dodać je do konfiguracji swojej aplikacji przed następnym wdrożeniem, gdy będą dostępne.
Co powinni zrobić właściciele sklepów
- Po 20 listopada otwórz Ustawienia > Aplikacje w swoim panelu administracyjnym Shopify i poszukaj flagged aplikacji.
- Zapytaj deweloperów każdej flagged aplikacji, kiedy dodadzą listę zezwoleń IP, zwłaszcza w przypadku aplikacji, które obsługują zamówienia, klientów lub inwentarz.
- Jeśli masz aplikację niestandardową zbudowaną przez freelancera lub agencję, poproś ich o dodanie listy zezwoleń i sprawdzenie zmiany tokena.
Jeśli potrzebujesz pomocy w zabezpieczeniu niestandardowej aplikacji Shopify lub integracji przed terminami, spójrz na moje Rozwój Shopify usługi lub skontaktuj się ze mną.
Często zadawane pytania
Kiedy wymagana jest lista dozwolonych adresów IP Shopify?
Do 20 listopada 2026 r., godz. 23:59 ET dla każdej publicznej aplikacji, która wywołuje API Admin, oraz do 12 listopada 2026 r. dla aplikacji korzystających z operacji masowych.
Co się stanie, jeśli moja aplikacja przegapi termin 20 listopada?
Aplikacja jest usunięta z Shopify App Store, więc nie otrzymuje nowych instalacji i jest oznaczona w ustawieniach handlowców > Aplikacje. Handlowcy widzą ostrzeżenie od 15 stycznia 2027 r., a żądania API Admin nieudane od 1 kwietnia 2027 r.
Czy istniejący handlowcy tracą aplikację od razu?
Nie. Istniejące instalacje działają do 1 kwietnia 2027 r., chyba że aplikacja korzysta z operacji masowych, które są zablokowane po 12 listopada 2026 r.
Czy wymóg dotyczy niestandardowych aplikacji?
Ogłoszenie Shopify dotyczy publicznych aplikacji, które wywołują API Admin i nie mówi, czy niestandardowe aplikacje są uwzględnione. Dodanie listy dozwolonych adresów IP do niestandardowej aplikacji jest nadal dobrym krokiem bezpieczeństwa.
Moja aplikacja działa na hostingu bezserwerowym. Jak dodać listę dozwolonych adresów IP?
Shopify obsługuje listę dozwolonych adresów IP według ASN, która obejmuje całą sieć hostingową zamiast pojedynczych adresów IP. Dla ściślejszej kontroli, przekieruj wywołania API Admin przez proxy z adresem IP.
Jak zgłosić wycieknięty token lub podejrzaną aktywność aplikacji?
Shopify prosi deweloperów o zgłaszanie podejrzanej aktywności do [email protected]. Deweloperzy aplikacji są odpowiedzialni za naprawienie problemów i powiadomienie dotkniętych handlowców.