Shopify IP Allowlist тепер обов'язковий для публічних додатків: терміни та дії
Від Eoin Villarin, 2026-11-07
Shopify тепер вимагає список дозволених IP-адрес для кожного публічного додатка, який викликає Admin API, з термінами дії 12 і 20 листопада 2026 року. Ось що змінюється, що ламається, якщо ви пропустите це і як підготуватися.
Коли потрібен дозвіл Shopify IP?
Shopify вимагає список дозволених IP-адрес для кожного публічного додатка, який викликає Admin API до 20 листопада 2026 року, 23:59 за східним часом. Додатки, які використовують масові операції, повинні додати його до 12 листопада 2026 року. Додатки без нього будуть видалені з App Store 20 листопада, а їхні запити Admin API будуть невдалими з 1 квітня 2027 року.
Основні висновки
- Кожен публічний додаток, який викликає адміністративний API Shopify, потребує списку дозволених IP-адрес до 20 листопада 2026 року.
- Додатки, які використовують масові операції, мають більш ранній термін - 12 листопада 2026 року, після якого будуть заблоковані масові запити та мутації.
- Пропуск терміну означає видалення зі Store, попередження мерчантів із 15 січня 2027 року та невдалі запити адміністративного API з 1 квітня 2027 року.
- Додатки на серверному хостингу можуть дозволити цілу мережу за ASN замість окремих IP-адрес.
- Окремо додатки повинні перейти на термінові офлайн-токени доступу до 1 січня 2027 року.
Shopify тепер вимагає список дозволених IP-адрес для кожного публічного додатка, який викликає Admin API. Основний термін дії - 20 листопада 2026 року, а додатки, які використовують великі операції, мають тільки до 12 листопада. Якщо ви створюєте або запускаєте додаток Shopify, або ваш магазин залежить від одного, це те, що змінюється, що ламається, якщо ви пропустите це і як підготуватися вчасно.
Що таке список дозволених IP-адрес Shopify?
Дозвіл IP-адреси - це список IP-адрес або мереж, які використовують сервери вашого додатка. Як тільки він буде включений, токени доступу вашого додатка працюватимуть лише тоді, коли запит надходить з однієї з цих адрес. Іншими словами Shopify, дозвіл IP-адреси означає "витокуваний токен не може бути використаний ніде, крім ваших власних серверів". Таким чином, якщо токен доступу коли-небудь витікає через файл журналу, помилку або порушення безпеки, зловмисник не може використовувати його зі своєї машини.
Які додатки потребують списку дозволених IP-адрес?
Повідомлення Shopify стосується всіх публічних додатків, які викликають Admin API. Shopify наводить причину просто: найбізнесніші тижні року майже тут, і він хоче, щоб витоку токенів були марними перед святковим ажіотажем.
Анонс не повідомляє, чи включені спеціальні додатки, створені для одного магазину. Якщо ви використовуєте спеціальний додаток, перевірте налаштування свого додатка в Dev Dashboard та документацію Shopify, тому що додавання списку дозволених адрес є гарною ідеєю у будь-якому випадку.
Терміни дії списку дозволених IP-адрес Shopify
| Дата (23:59 за східним часом) | Що відбувається |
|---|---|
| 12 листопада 2026 року | Масове запити та мутації від публічних додатків без дозволу IP-адреси будуть заблоковані. |
| 20 листопада 2026 року | Публічні додатки без списку дозволених IP-адрес видаляються з App Store, тому немає нових встановлень і позначені в налаштуваннях продавців > Додатки. |
| 15 січня 2027 року | Мерчанти бачать попередження у своєму адміністраторі Shopify. |
| 1 квітня 2027 року | Запити Admin API від додатків без дозволу IP-адреси не пройдуть. |
Існуючі встановлення продовжуватимуть працювати до 1 квітня 2027 року, але видалений додаток із попередженням у адміністраторі є важким продажем для мерчантів, тому дати листопада є тими, які мають значення.
Як підготувати ваш додаток
- Відобразіть кожне місце, яке викликає адміністративний API. Включіть свій основний сервер, фонові працівники, завдання cron, черги, обробники веб-хуків та будь-які сценарії, які виконуються у CI.
- Знайдіть вихідні IP-адреси. Ваш провайдер хостингу може повідомити вам, які адреси використовують ваші сервери для здійснення вихідних запитів. Якщо вони часто змінюються, налаштуйте статичні вихідні IP-адреси.
- Використовуйте список дозволених ASN для безсерверного хостингу. Додатки на серверних платформах або динамічних IP-адресах можуть дозволити цілу мережу за її ASN замість окремих адрес. Shopify додав підтримку ASN саме для цього випадку.
- Додайте дозвіл у панелі розробника. Панель розробника Shopify дозволяє вам обмежити доступ до Admin API зі списком дозволених IP-адрес.
- Спочатку виконуйте масові операції. Якщо ваш додаток виконує масові запити або мутації, раніше застосовується термін 12 листопада.
- Тестування на тестовому магазині. Тестування доступу до мережі Shopify у попередках магазину розробника позначає сайти і сервери, з якими ваш додаток розмовляє, які ви не оголосили.
- Переглядайте журнали свого API після зміни. Пропущена адреса відображається як невдалі запити, тому перевірте журнали до та після кожного розгортання.
Примітка з досвіду: дозвіл цілої мережі хмарного провайдера за ASN краще, ніж нічого, але будь-хто, хто орендує сервер у того ж провайдера, спільно використовує цю мережу. Для більш суворої безпеки надсилайте виклики Admin API через невеликий проксі із фіксованою IP-адресою та дозвіл лише цю адресу.
Інший термін: термін дії токенів офлайн-доступу
Shopify також переводить додатки на термінові офлайн-токени доступу, з окремим графіком. Додатки, які все ще використовують нетермінові офлайн-токени, видаляються і позначаються в налаштуваннях продавців 1 січня 2027 року, продавці бачать попередження з 15 січня 2027 року, і запити закінчуються 1 квітня 2027 року. Ви можете знайти нетермінові токени, відфільтрувавши журнали API своєї панелі розробника за типом токена. Shopify також повідомив, що для великих запитів і змін буде потрібно свій власний діапазон доступу найближчим часом. Додатки, які виконували велику операцію протягом останніх 180 днів, отримають ці діапазони автоматично, але ви повинні додати їх до конфігурації свого додатка перед наступним розгортанням, як тільки вони будуть доступні.
Що повинні робити власники магазинів
- Після 20 листопада відкрийте Налаштування > Додатки у вашому адміністративному інтерфейсі Shopify та знайдіть позначені додатки.
- Запитайте розробників будь-якого позначеного додатка, коли вони додадуть дозвіл IP-адреси, особливо для додатків, які обробляють замовлення, клієнтів або інвентар.
- Якщо у вас є користувацький додаток, створений фрілансером або агентством, попросіть їх додати список дозволених та перевірити зміну токена.
Якщо вам потрібна допомога у забезпеченні безпеки користувацького додатка Shopify або інтеграції до термінів, подивіться на мої Розробка Shopify послуги або зв'яжіться зі мною.
Часті питання
Коли потрібен дозвіл Shopify IP?
До 20 листопада 2026 року, 23:59 за східним часом для кожної публічної програми, яка викликає Admin API, та до 12 листопада 2026 року для програм, які використовують групові операції.
Що відбудеться, якщо моя програма пропустить термін 20 листопада?
Додаток буде видалено з Shopify App Store, тому він не отримує нових встановлень, і він буде позначений у налаштуваннях мерчантів > Додатки. Мерчанти побачать попередження з 15 січня 2027 року, а запити Admin API будуть невдалими з 1 квітня 2027 року.
Чи втрачають існуючі мерчанти додаток одразу?
Ні. Існуючі встановлення продовжують працювати до 1 квітня 2027 року, якщо тільки додаток не використовує масові операції, які будуть заблоковані після 12 листопада 2026 року.
Чи стосується вимога користувацьких додатків?
Анонс Shopify стосується публічних додатків, які викликають Admin API, і не вказує, чи включені до цього користувацькі додатки. Додавання списку дозволених до користувацького додатка є хорошим кроком безпеки.
Мій додаток працює на безсерверному хостингу. Як мені додати список?
Shopify підтримує дозвіл списку за ASN, який охоплює всю мережу хостингу замість окремих IP-адрес. Для більш жорсткого контролю здійснюйте виклики Admin API через проксі-сервер із фіксованою IP-адресою.
Як повідомити про витік токена або підозрілу активність додатка?
Shopify просить розробників повідомляти про підозрілу діяльність на [email protected]. Розробники додатків відповідають за виправлення проблем та інформування постраждалих мерчантів.