Lista de permisiuni IP Shopify acum obligatorie pentru aplicațiile publice: termene și ce trebuie făcut
De Eoin Villarin, 2026-11-07
Shopify necesită acum o listă de IP-uri permise pentru fiecare aplicație publică care apelează API-ul Admin, cu termene limită pe 12 și 20 noiembrie 2026. Iată ce se schimbă, ce se sparge dacă ratați și cum să vă pregătiți.
Când este necesară lista de permisiuni IP Shopify?
Shopify necesită o listă de permisiuni IP pentru fiecare aplicație publică care utilizează API-ul Admin până la 20 noiembrie 2026, ora 23:59 ET. Aplicațiile care utilizează operațiuni de volum trebuie să adauge una până la 12 noiembrie 2026. Aplicațiile fără listă de permisiuni sunt delistate din App Store pe 20 noiembrie, iar cererile API Admin eșuează începând cu 1 aprilie 2027.
Principalele concluzii
- Orice aplicație publică care apelează Shopify Admin API are nevoie de o listă de permisiuni IP până la 20 noiembrie 2026.
- Aplicațiile care utilizează operațiuni de volum au o dată limită anterioară de 12 noiembrie 2026, după care interogările și mutațiile de volum sunt blocate.
- Pierderea termenului limită înseamnă eliminarea din App Store, avertismente pentru comercianți începând cu 15 ianuarie 2027 și solicitări eșuate ale API-ului Admin începând cu 1 aprilie 2027.
- Aplicațiile de găzduire serverless pot permite o rețea întreagă prin ASN în loc de adrese IP individuale.
- În mod separat, aplicațiile trebuie să treacă la jetoane de acces offline care expiră înainte de 1 ianuarie 2027.
Shopify necesită acum o listă de IP-uri permise pentru fiecare aplicație publică care apelează API-ul Admin. Termenul limită principal este 20 noiembrie 2026, iar aplicațiile care utilizează operațiuni în bloc au timp până la 12 noiembrie. Dacă construiți sau rulați o aplicație Shopify, sau magazinul dvs. depinde de una, iată ce se schimbă, ce se sparge dacă ratați și cum să vă pregătiți la timp.
Ce este o listă de permisiuni IP Shopify?
O listă de permisiuni IP este o listă de adrese IP sau rețele pe care le utilizează serverele aplicației dvs. Odată ce este activată, jetoanele de acces ale aplicației dvs. funcționează numai atunci când solicitarea provine de la una dintre acele adrese. În cuvintele Shopify, o listă de permisiuni IP înseamnă "un jeton scurs nu poate fi utilizat nicăieri, ci numai pe serverele dvs.". Deci, dacă un jeton de acces se scurge vreodată printr-un fișier jurnal, o eroare sau o breșă, un atacator nu poate utiliza acest lucru de pe mașina proprie.
Ce aplicații au nevoie de o listă de permisiuni IP?
Anunțul Shopify se aplică tuturor aplicațiilor publice care apelează API-ul Admin. Shopify oferă motivul în mod clar: săptămânile cele mai aglomerate ale comercianților din anul sunt aproape aici și vrea ca jetoanele scurse să fie inutile înainte de agitația sărbătorilor.
Anunțul nu spune dacă aplicațiile personalizate construite pentru un singur magazin sunt incluse. Dacă rulați o aplicație personalizată, verificați setările aplicației dvs. în Panoul de control al dezvoltatorului și documentația Shopify, deoarece adăugarea unei liste de permisiuni este o idee bună oricum.
Termene limită pentru lista de IP-uri permise Shopify
| Data (23:59 ET) | Ce se întâmplă |
|---|---|
| 12 noiembrie 2026 | Interogările și mutațiile de volum de la aplicații publice fără o listă de permisiuni IP sunt blocate. |
| 20 noiembrie 2026 | Aplicațiile publice fără o listă de IP-uri permise sunt eliminate din App Store, deci fără noi instalări și marcate în Setările > Aplicații ale comercianților. |
| 15 ianuarie 2027 | Comercianții văd o avertizare în adminul Shopify. |
| 1 aprilie 2027 | Cererile API Admin de la aplicații fără o listă de permisiuni IP eșuează. |
Instalările existente continuă să funcționeze până la 1 aprilie 2027, dar o aplicație eliminată cu o avertizare în admin este o ofertă dificilă pentru comercianți, deci datele din noiembrie sunt cele care contează.
Cum să pregătiți aplicația dvs.
- Hărtiți fiecare loc care apelează API-ul Admin. Includeți serverul principal, lucrătorii de fundal, lucrările cron, cozile, gestionarii webhook și orice scripturi care rulează în CI.
- Găsiți adresele IP de ieșire. Furnizorul dvs. de găzduire vă poate spune ce adrese folosesc serverele dvs. pentru a face solicitări de ieșire. Dacă se schimbă frecvent, configurați IP-uri de ieșire statice.
- Utilizați lista de permisiuni ASN pentru găzduire serverless. Aplicațiile de pe platforme serverless sau IP-uri dinamice pot permite o rețea întreagă prin ASN în loc de adrese individuale. Shopify a adăugat suport ASN pentru exact acest caz.
- Adăugați lista de permisiuni în panoul de control al dezvoltatorului. Panoul de control al dezvoltatorului Shopify vă permite să restricționați accesul API-ului Admin cu o listă de IP-uri permise.
- Efectuați mai întâi operațiuni de volum. Dacă aplicația dvs. rulează interogări sau mutații de volum, se aplică termenul limită anterior de 12 noiembrie.
- Testați pe un magazin de dezvoltare. Testarea accesului la rețea a Shopify în previzualizările magazinului de dezvoltare marchează site-urile și serverele cu care aplicația dvs. vorbește și pe care nu le-ați declarat.
- Urmăriți jurnalele API după modificare. O adresă lipsă apare ca solicitări eșuate, deci verificați jurnalele înainte și după fiecare implementare.
O notă din experiență: permiterea unei rețele întregi de furnizor de cloud prin ASN este mai bună decât nimic, dar oricine închiriază un server de la același furnizor împarte acea rețea. Pentru securitate mai strictă, trimiteți apeluri Admin API printr-un mic proxy cu o adresă IP fixă și permiteți doar acea adresă.
Celălalt termen limită: jetoane de acces offline care expiră
Shopify mută și aplicațiile la jetoane de acces offline care expiră, cu o cronologie separată. Aplicațiile care încă utilizează jetoane offline care nu expiră sunt eliminate și marcate în setările comercianților la 1 ianuarie 2027, comercianții văd o avertizare începând cu 15 ianuarie 2027, iar solicitările eșuează începând cu 1 aprilie 2027. Puteți găsi jetoane care nu expiră filtrând jurnalele API ale Dev Dashboard după tipul de jeton. Shopify a mai spus că interogările și mutațiile în bloc vor necesita în curând propria lor sferă de acces. Aplicațiile care au rulat o operațiune în bloc în ultimele 180 de zile vor primi aceste sfere automat, dar ar trebui să le adăugați la configurația aplicației dvs. înainte de următorul dvs. deploy, odată ce acestea sunt live.
Ce ar trebui să facă proprietarii de magazine
- După 20 noiembrie, deschideți Setări > Aplicații în adminul Shopify și căutați aplicații marcate.
- Întrebați dezvoltatorii oricărei aplicații marcate când vor adăuga o listă de permisiuni IP, în special pentru aplicații care gestionează comenzi, clienți sau stocuri.
- Dacă aveți o aplicație personalizată construită de un freelancer sau o agenție, cereți-le să adauge o listă de permisiuni și să verifice schimbarea tokenului.
Dacă aveți nevoie de ajutor pentru securizarea unei aplicații personalizate Shopify sau a unei integrări înainte de termenele limită, aruncați o privire la Dezvoltare Shopify servicii sau contactați-mă.
Întrebări frecvente
Când este necesară lista de permisiuni IP Shopify?
Până la 20 noiembrie 2026, la ora 23:59 ET pentru fiecare aplicație publică care utilizează API-ul Admin și până la 12 noiembrie 2026 pentru aplicațiile care utilizează operațiuni de volum.
Ce se întâmplă dacă aplicația mea ratează termenul limită din 20 noiembrie?
Aplicația este delistată din Shopify App Store, deci nu primește noi instalații și este marcată în Setările comercianților > Aplicații. Comercianții văd o avertizare începând cu 15 ianuarie 2027, iar cererile API Admin eșuează începând cu 1 aprilie 2027.
Pierd comercianții aplicația imediat?
Nu. Instalațiile existente continuă să funcționeze până la 1 aprilie 2027, cu excepția cazului în care aplicația utilizează operațiuni de volum, care sunt blocate după 12 noiembrie 2026.
Se aplică cerința și aplicațiilor personalizate?
Anunțul Shopify acoperă aplicațiile publice care utilizează API-ul Admin și nu specifică dacă aplicațiile personalizate sunt incluse. Adăugarea unei liste de permisiuni la o aplicație personalizată este încă un pas de securitate bun.
Aplicația mea rulează pe găzduire serverless. Cum adaug o listă de permisiuni?
Shopify suportă listarea de permisiuni prin ASN, care acoperă întreaga rețea de găzduire în loc de adrese IP individuale. Pentru un control mai strict, direcționați cererile API Admin printr-un proxy cu o adresă IP fixă.
Cum raportez un token scurs sau activitate suspectă a aplicației?
Shopify solicită dezvoltatorilor să raporteze activități suspecte la [email protected]. Dezvoltatorii de aplicații sunt responsabili pentru remedierea problemelor și notificarea comercianților afectați.