Shopify прави използването на списъци с разрешени IP адреси (IP allowlisting) задължително за публични приложения, които извикват неговия Admin API, като добавя проверка за сигурност с цел ограничаване на злоупотребата с откраднати токени за достъп. Разработчиците трябва да активират този контрол до 20 ноември 2026 г. в 23:59 ч. източноамериканско време (ET). За приложенията, които използват масови операции (bulk operations), крайният срок е по-ранен – 12 ноември по същото време.
Промяната превръща функция за сигурност, въведена на 27 октомври, в задължително изискване. Shopify ще проверява откъде идват API заявките, вместо да разчита само на валиден токен. Това адресира риска, описан в ръководството за сигурност на облачни API на Cybersecuritynews.com, където откраднатите идентификационни данни могат да предоставят на атакуващите достъп до облачни услуги.
След като списъкът с разрешени адреси бъде активиран, Shopify проверява изходния IP адрес на заявките към GraphQL Admin API и REST Admin API, използващи токените на приложението. Заявки извън одобрените адреси или мрежи получават отговор HTTP 403. Shopify също така отхвърля заявки, когато не може да потвърди изходния адрес.
Приложенията, които пропуснат крайния срок на 20 ноември, са изправени пред премахване от Shopify App Store и блокиране на нови инсталации. Съществуващите инсталации могат да продължат да работят до 1 април 2027 г., след което заявките към Admin API ще бъдат неуспешни. Масовите заявки (bulk queries) и мутации обаче подлежат на по-ранния краен срок на 12 ноември. Търговците ще започнат да получават административни предупреждения от 15 януари.
Политиката е насочена срещу злоупотребата с токени – риск, илюстриран от доклада на Cybersecuritynews.com за повторния пробив в сигурността на Internet Archive чрез неротирани API токени. Мрежовите ограничения добавят защита, но разработчиците все още трябва да гарантират сигурността на своите идентификационни данни. Атакуващ, действащ в рамките на одобрена мрежа, би могъл да остане в границите на разрешения периметър.
Shopify въвежда задължителни списъци с разрешени IP адреси
Ръководството за настройка на Shopify поддържа конкретни публични IP адреси и адресни диапазони за статична инфраструктура. Приложенията с динамични адреси могат да одобряват хостинг мрежи чрез номера на автономни системи (ASN). Разработчиците могат да посочат до 10 ASN и да ограничат достъпа до максимум 10 държави. Тези мрежови правила са по-широки от индивидуалните сървърни адреси.
Разработчиците конфигурират контрола в секция Settings в Dev Dashboard и го тестват спрямо скорошния трафик, преди да активират принудителното му прилагане. Shopify препоръчва да се провери дали легитимни заявки биха били блокирани, след което да се потвърди, че външна заявка бива отхвърлена. Приложенията трябва да изберат или IP адреси, или мрежи, тъй като запазването на единия тип заменя другия.
Официалното съобщение на Shopify посочва 12 ноември в подробните инструкции за масови операции, въпреки че в резюмето фигурира датата 11 ноември. Отделно от това, публичните приложения трябва да преминат към офлайн токени с ограничен срок на валидност до 1 януари 2027 г., добавяйки времеви ограничения наред с мрежовите рестрикции.