Shopify IP 允许列表现已要求公开应用：截止日期和操作指南

由 Eoin Villarin, 2026-11-07

Shopify 现在要求每个调用 Admin API 的公共应用都有 IP 允许名单，截止日期为 2026 年 11 月 12 日和 11 月 20 日。以下是更改内容，如果您错过它将会发生什么以及如何准备。

Shopify 现在要求每个调用 Admin API 的公共应用都有 IP 允许名单。主要截止日期是 2026 年 11 月 20 日，使用批量操作的应用截止日期为 11 月 12 日。如果您构建或运行 Shopify 应用，或者您的商店依赖于一个，这就是更改内容，如果您错过它将会发生什么以及如何及时准备。

什么是Shopify IP允许列表？

IP 允许列表是您的应用程序服务器使用的 IP 地址或网络列表。一旦它启用，您的应用程序的访问令牌仅在请求来自这些地址之一时才有效。用 Shopify 的话来说，IP 允许列表意味着“泄漏的令牌只能在您自己的服务器上使用”。因此，如果访问令牌通过日志文件、错误或泄露泄漏，攻击者无法从他们自己的机器上使用它。

哪些应用需要IP允许列表？

Shopify 的公告适用于所有调用 Admin API 的公共应用。Shopify 明确说明了原因：商家的最繁忙周即将到来，它希望在假日促销前使泄露的令牌失效。

公告中没有说明是否为单个商店构建的自定义应用是否包含在内。如果您运行自定义应用，请在 Dev Dashboard 和 Shopify 文档中检查您的应用设置，因为添加允许名单是个好主意。

Shopify IP 允许名单截止日期

现有的安装将在 2027 年 4 月 1 日之前继续工作，但具有警告的已删除应用程序在商家眼中是难以销售的，因此 11 月的日期是重要的。

如何准备您的应用程序

1. 映射调用Admin API的所有地点。 包括您的主服务器、后台工作进程、cron 作业、队列、Webhook 处理程序以及在 CI 中运行的任何脚本。
2. 查找出站 IP 地址。 您的托管提供商可以告诉您服务器使用哪些地址发出请求。如果它们经常更改，请设置静态出站IP。
3. 使用 ASN 允许名单进行无服务器托管。 使用无服务器平台或动态 IP 的应用程序可以按 ASN 允许整个网络，而不是单个地址。Shopify 添加了 ASN 支持正是为了这种情况。
4. 在开发者仪表板中添加允许列表。 Shopify 的 Dev Dashboard 允许您使用 IP 允许名单限制 Admin API 访问。
5. 首先进行批量操作。 如果您的应用程序运行批量查询或突变，则适用 11 月 12 日的更早截止日期。
6. 在开发商店中测试。 Shopify 的网络访问测试在开发商店预览中标记了您的应用所谈论的站点和服务器，而您尚未声明。
7. 在更改后监视您的 API 日志。 丢失的地址显示为失败的请求，因此请在每次部署前后的日志中进行检查。

经验之谈：按 ASN 允许整个云提供商的网络虽然比什么都不做要好，但任何从同一提供商租用服务器的人都共享该网络。为了实现更严格的安全性，请通过一个具有固定 IP 地址的小代理发送 Admin API 调用，只允许列出该地址。

另一个截止日期：即将过期的离线访问令牌

Shopify 还在将应用迁移到即将过期的离线访问令牌，单独的时间表。仍使用非过期离线令牌的应用将在 2027 年 1 月 1 日被下架并在商家设置中被标记，商家从 2027 年 1 月 15 日开始看到警告，从 2027 年 4 月 1 日开始请求失败。您可以通过按令牌类型筛选 Dev Dashboard API 日志来查找非过期令牌。Shopify 还表示，批量查询和变异很快将需要各自的访问范围。过去 180 天运行批量操作的应用将自动获得这些范围，但在它们上线后，您应在下一次部署前将它们添加到您的应用配置中。

店主应该怎么做

• 11 月 20 日后，在 Shopify 管理后台打开设置 > 应用程序，并查找被标记的应用程序。
• 询问任何被标记的应用程序的开发人员，他们何时会添加 IP 允许列表，特别是对于处理订单、客户或库存的应用程序。
• 如果您有由自由职业者或代理机构构建的自定义应用程序，请要求他们添加允许列表并检查令牌更改。

如果您需要帮助在截止日期前确保自定义 Shopify 应用程序或集成的安全性，请查看我的 Shopify开发 服务或 联系我.

常见问题

Shopify IP 允许列表何时生效？

到 2026 年 11 月 20 日，东部时间晚上 11 点 59 分，所有调用 Admin API 的公开应用都需要；到 2026 年 11 月 12 日，所有使用批量操作的应用都需要。

如果我的应用错过 11 月 20 日的截止日期会怎样？

该应用将从 Shopify 应用商店中删除，因此无法获得新的安装，并在商家设置 > 应用中被标记。商家从 2027 年 1 月 15 日起看到警告，Admin API 请求从 2027 年 4 月 1 日起失败。

现有的商家会立即失去应用吗？

不会。现有的安装将继续工作，直到 2027 年 4 月 1 日，除非应用使用批量操作，批量操作将在 2026 年 11 月 12 日后被阻止。

该要求是否适用于自定义应用？

Shopify 的公告涵盖了调用 Admin API 的公开应用，但并未说明是否包括自定义应用。为自定义应用添加允许列表仍然是一个良好的安全措施。

我的应用运行在无服务器托管上。我该如何添加允许列表？

Shopify 支持通过 ASN 进行允许列表设置，ASN 可以涵盖整个托管网络，而不仅仅是单个 IP 地址。为了实现更严格的控制，可以通过具有固定 IP 地址的代理路由 Admin API 调用。

我该如何报告令牌泄露或可疑的应用活动？

Shopify 要求开发者将可疑活动报告至 [email protected]。应用开发者负责解决问题并通知受影响的商家。

来源

• Shopify：应用安全更新，现在需要 IP 允许名单
• Shopify 开发者变更日志