Shopify IP Allowlist krävs nu för offentliga appar: Deadlines och vad du ska göra
Av Eoin Villarin, 2026-11-07
Shopify kräver nu en IP-lista för varje offentlig app som anropar Admin API, med deadline den 12 och 20 november 2026. Här är vad som ändras, vad som går sönder om du missar det och hur du förbereder dig.
När krävs Shopify IP allowlist?
Shopify kräver en IP allowlist för varje offentlig app som anropar Admin API senast den 20 november 2026, kl. 23.59 ET. Appar som använder bulkoperationer måste lägga till en senast den 12 november 2026. Appar utan en tas bort från App Store den 20 november, och deras Admin API-anrop misslyckas från den 1 april 2027.
Viktiga takeaways
- Varje offentlig app som anropar Shopify Admin API behöver en IP-tillåtelselista senast den 20 november 2026.
- Appar som använder bulkoperationer har en tidigare deadline den 12 november 2026, varefter bulkfrågor och mutationer blockeras.
- Att missa deadline innebär att appen tas bort från App Store, varningar till handlare från 15 januari 2027 och misslyckade Admin API-anrop från 1 april 2027.
- Appar på serverlös hosting kan tillåta en hel nätverk genom ASN istället för enskilda IP-adresser.
- Separat måste appar flytta till utgångna offlineåtkomsttokens innan 1 januari 2027.
Shopify kräver nu en IP-lista för varje offentlig app som anropar Admin API. Huvudddeadlinen är 20 november 2026 och appar som använder bulkoperationer har bara tid fram till 12 november. Om du bygger eller kör en Shopify-app, eller om din butik är beroende av en, är här vad som ändras, vad som går sönder om du missar det och hur du förbereder dig i tid.
Vad är en Shopify IP allowlist?
En IP-tillåtelselista är en lista över IP-adresser eller nätverk som din apps servrar använder. När den är aktiverad fungerar dina apps åtkomsttokens endast när begäran kommer från en av dessa adresser. I Shopifys ord betyder en IP-tillåtelselista "en läckt token kan inte användas någon annanstans än på dina egna servrar." Så om en åtkomsttoken någonsin läcker ut genom en loggfil, en bugg eller ett brott, kan en angripare inte använda den från sin egen maskin.
Vilka appar behöver en IP allowlist?
Shopifys tillkännagivande gäller alla offentliga appar som anropar Admin API. Shopify ger orsaken tydligt: handlarens upptagenaste veckor under året är nästan här och det vill att läckta tokens ska vara värdelösa före julrushen.
Tillkännagivandet säger inte om anpassade appar byggda för en enda butik är inkluderade. Om du kör en anpassad app, kontrollera din apps inställningar i Dev Dashboard och Shopifys dokumentation, eftersom det är en bra idé att lägga till en lista ändå.
Shopify IP-lista deadline
| Datum (23:59 ET) | What händer |
|---|---|
| 12 november 2026 | Bulkfrågor och mutationer från offentliga appar utan IP-tillåtelselista blockeras. |
| 20 november 2026 | Publika appar utan en IP-lista tas bort från App Store, så inga nya installationer, och flaggas i handlarens Inställningar > Appar. |
| 15 januari 2027 | Handlare ser en varning i sin Shopify-administration. |
| 1 april 2027 | Admin API-begäranden från appar utan IP-tillåtelselista misslyckas. |
Existensinstallationer fortsätter att fungera fram till den 1 april 2027, men en avlistad app med en varning i admin är en hård försäljning till handlare, så de novemberdatum är de som betyder något.
Hur du förbereder din app
- Kartlägg varje plats som anropar Admin API. Täck in din huvudsakliga server, bakgrundsarbetare, cron-jobb, köer, webhook-hanterare och alla skript som körs i CI.
- Hitta de utgående IP-adresserna. Din webbhotell-leverantör kan berätta vilka adresser dina servrar använder för att göra utgående begäranden. Om de ändras ofta, ställ in statiska utgående IPs.
- Använd ASN-lista för serverlös hosting. Appar på serverlösa plattformar eller dynamiska IP-adresser kan tillåta en hel nätverk genom dess ASN istället för enskilda adresser. Shopify lade till ASN-stöd för exakt detta fall.
- Lägg till tillåtelselistan i Dev Dashboard. Shopifys Dev Dashboard låter dig begränsa Admin API-åtkomst med en IP-lista.
- Gör bulkoperationer först. Om din app kör bulkfrågor eller mutationer, gäller den tidigare deadline den 12 november.
- Testa på en dev-butik. Shopifys nätverksåtkomsttestning i förhandsgranskning av dev-butik flaggar webbplatser och servrar som din app kommunicerar med som du inte har deklarerat.
- Övervakaa dina API-loggposter efter ändringen. Ett missat adress visas som misslyckade begäranden, så kontrollera loggarna före och efter varje distribution.
En anteckning från erfarenhet: att tillåta en hel molntjänstleverantörs nätverk genom ASN är bättre än ingenting, men vem som helst som hyr en server från samma leverantör delar det nätverket. För striktare säkerhet, skicka Admin API-anrop genom en liten proxy med en fast IP-adress och tillåt endast den adressen.
Den andra deadlinen: utgångna offlineåtkomsttokens
Shopify flyttar också appar till utgångna offlineåtkomsttokens, med en separat tidslinje. Appar som fortfarande använder icke-utgångna offline-tokens tas bort och flaggas i handlarens inställningar den 1 januari 2027, handlare ser en varning från 15 januari 2027 och anrop misslyckas från 1 april 2027. Du kan hitta icke-utgångna tokens genom att filtrera dina Dev Dashboard API-loggposter efter token typ. Shopify har också sagt att bulkfrågor och mutationer kommer att kräva egna åtkomstsidor snart. Appar som körde en bulkoperation under de senaste 180 dagarna kommer att få dessa sidor automatiskt, men du bör lägga till dem i din app-konfiguration innan din nästa distribution när de är live.
Vad butiksägare bör göra
- Efter den 20 november, öppna Inställningar > Appar i din Shopify-admin och leta efter flaggade appar.
- Fråga utvecklare av eventuella flaggade appar när de kommer att lägga till en IP-tillåtelselista, särskilt för appar som hanterar beställningar, kunder eller lager.
- Om du har en anpassad app byggd av en frilansare eller byrå, fråga dem att lägga till en tillåtelselista och kontrollera tokenbytet också.
Om du behöver hjälp med att säkra en anpassad Shopify-app eller en integration innan deadline, titta på min Shopify-utveckling tjänster eller kontakta mig.
Vanliga frågor
När krävs Shopify IP allowlist?
Senast den 20 november 2026, kl. 23.59 ET för varje offentligt app som anropar Admin API, och senast den 12 november 2026, för appar som använder bulkoperationer.
Vad händer om min app missar den 20 november deadline?
Appen tas bort från Shopify App Store, så den får inga nya installationer, och den markeras i handlarens Inställningar > Appar. Handlare ser en varning från den 15 januari 2027, och Admin API-anrop misslyckas från den 1 april 2027.
Förlorar befintliga handlare appen omedelbart?
Nej. Befintliga installationer fortsätter att fungera fram till den 1 april 2027, om inte appen använder bulkoperationer, som blockeras efter den 12 november 2026.
Gäller kravet anpassade appar?
Shopifys tillkännagivande omfattar offentliga appar som anropar Admin API och säger inte om anpassade appar är inkluderade. Att lägga till en allowlist till en anpassad app är fortfarande ett bra säkerhetssteg.
Min app körs på serverlös hosting. Hur lägger jag till en allowlist?
Shopify stöder allowlisting efter ASN, som täcker ett hela hostingnätverk istället för enskilda IP-adresser. För tätare kontroll, dirigera Admin API-anrop genom en proxy med en fast IP-adress.
Hur rapporterar jag en läckt token eller misstänkt appaktivitet?
Shopify ber utvecklare att rapportera misstänkt aktivitet till [email protected]. App-utvecklare är ansvariga för att åtgärda problem och informera berörda handlare.