Shopify要求公开应用启用IP允许列表，批量操作应用须11月12日前完成

据悉，Shopify 于 2026 年 11 月 5 日发布应用安全更新，要求所有公开应用必须启用 IP 允许列表。此前在 10 月 27 日仅为建议，现在已成为强制要求：所有调用 Admin API 的公开应用须在 2026 年 11 月 20 日 23:59（美东时间）前开启 IP 允许列表；使用批量操作的应用须在 2026 年 11 月 12 日 23:59（美东时间）前开启，逾期后未配置允许列表的公开应用发起的批量查询和变更将被阻止。启用后，令牌仅能从所列地址或网络使用，令牌泄露也无法在其他位置使用。使用无服务器或动态 IP 的应用需通过 ASN 支持按网络加入允许列表。

商家现可在设置 > 应用中查看应用的安全配置，包括令牌过期和 IP 允许列表情况。11 月 20 日之后，未配置 IP 允许列表的应用会被标记。开发者可在 Dev Dashboard 的 API 日志中按令牌类型筛选，快速找出不过期的令牌；令牌过期常见问题解答也已提供。开发商店预览中新增网络访问测试，可在发布前检测应用使用但尚未声明的站点或服务器。另有新教程介绍如何在 CI/CD 中自动扫描应用安全问题。

批量操作的访问范围即将推出：批量查询和批量变更将各自需要独立范围。若应用在过去 180 天内运行过批量操作，Shopify 会自动授予这些范围；范围上线后，需在下一次部署前将其加入应用配置，具体范围名称将在更新日志中公布。

若错过截止日期，Shopify 将从 11 月起开始执行 IP 允许列表要求。离线访问令牌过期的时间线保持不变。两种情况下，现有安装均可继续使用至 2027 年 4 月 1 日。具体时间表为：批量查询和变更被阻止为 2026 年 11 月 12 日；未配置 IP 允许列表的公开应用于 2026 年 11 月 20 日从应用商店下架并禁止新安装，2027 年 1 月 1 日被标记于商家设置 > 应用中，2027 年 1 月 15 日商家在管理后台看到警告，2027 年 4 月 1 日 Admin API 请求失败。离线访问令牌过期方面：2026 年 11 月 20 日从应用商店下架并禁止新安装，2027 年 1 月 1 日被标记，2027 年 1 月 15 日商家看到警告，2027 年 4 月 1 日 Admin API 请求失败。

受影响的是所有公开应用；自定义应用以及商家在 Dev Dashboard 或管理后台创建的应用不受影响。发现可疑情况可通过 partner-security-reports@shopify.com 报告，开发者需负责修复并通知受影响商家。一般安全咨询可联系 Shopify 支持。相关信息集中在 App Security Hub，开发者社区的应用安全版块也可提问。