Zwei Termine mit unterschiedlichen Folgen
Shopify veröffentlichte die Vorgabe am 5. November 2026. Öffentliche Apps, die Bulk-Operationen der Admin API nutzen, müssen bis zum 12. November um 23:59 Uhr Eastern Time eine IP-Allowlist konfigurieren und aktivieren. Danach werden Bulk-Abfragen und -Mutationen einer nicht konfigurierten App blockiert. Andere öffentliche Apps mit Admin-API-Aufrufen haben bis zum 20. November um 23:59 Uhr ET Zeit. Apps ohne Allowlist werden dann aus dem App Store entfernt und können keine neuen Installationen erhalten. Bestehende Installationen sollen laut Shopify bis zum 1. April 2027 funktionieren; danach schlagen Admin-API-Anfragen betroffener Apps fehl.
Der 20. November ist keine zusätzliche Frist für Bulk-Operationen: Für sie gilt bereits die frühere Durchsetzung am 12. November. Shopify will betroffene Apps außerdem ab dem 20. November in den Händler-Einstellungen kennzeichnen und ab dem 15. Januar 2027 Warnungen an Händler ausgeben. Das sind getrennte Schritte. Dass eine bestehende Installation vorübergehend noch funktioniert, belegt daher keine abgeschlossene Migration.
Öffentliche Apps sind betroffen, benutzerdefinierte Apps nicht
Die Vorgabe gilt für öffentliche Apps, einschließlich der Verteilung über den Shopify App Store. Shopify zufolge sind Custom Apps und von Händlern im Dev Dashboard oder Admin erstellte Apps von dieser konkreten Pflicht für öffentliche Apps ausgenommen. Das macht benutzerdefinierte Apps nicht immun gegen Risiken offengelegter Zugangsdaten: Wo die Plattform es unterstützt, kann eine Begrenzung erlaubter Netze den Nutzen eines geleakten Tokens ebenfalls einschränken.
Händler sollten beim App-Anbieter erfragen, ob die App die Admin API oder Bulk-Operationen nutzt und ob die Allowlist bereits aktiv ist. Die ausgehenden IP-Adressen des Entwicklerdienstes kann der Händler normalerweise nicht stellvertretend angeben. Die Änderung liegt beim App-Betreiber; Händler müssen möglicherweise nach Anpassungen an Hosting oder Netzwerk ihre eigenen Abläufe testen.
Feste Adressen und Serverless-Netzwerke
Apps mit stabilen ausgehenden IP-Adressen können diese oder ihre CIDR-Bereiche im Dev Dashboard eintragen. Serverless-Dienste können wechselnde Egress-Adressen verwenden, wodurch eine Liste einzelner IPs störanfällig wird. Shopifys Update vom 5. November ergänzt dafür die Option Networks: Entwickler können autonome Systemnummern (ASNs) eines Hosting-Anbieters erlauben, die zulässigen Länder einschränken, die Auswahl anhand jüngeren Datenverkehrs testen und anschließend erzwingen. Shopify dokumentiert höchstens zehn ASNs und zehn Länder; Anfragen von außerhalb der zugelassenen Netze erhalten HTTP 403.
ASN-Regeln umfassen mehr als eine feste Adresse und erfordern deshalb eine sorgfältige Auswahl von Anbieter und Regionen. Sie sind kein Grund, beliebige Provider-Netze oder Länder freizugeben. Vor der Aktivierung sollten alle legitimen Produktionsregionen und Hintergrundjobs erfasst und der jüngste Datenverkehr geprüft werden. Bei dynamischem Egress empfiehlt Shopify die ASN-Option statt geratener Adressen.
Migrationscheckliste für App-Teams
Zunächst alle öffentlichen Apps, Admin-API-Integrationen, Hintergrundprozesse und Bulk-Operationen erfassen. Für jede Umgebung den tatsächlichen Netzwerk-Egress dokumentieren und Entwicklung oder Vorschau nicht mit Produktion verwechseln. Danach je nach Hosting statische IP/CIDR oder eine eng begrenzte ASN-und-Länder-Regel wählen. Die Regel anhand jüngeren Verkehrs testen, normale und Bulk-Abläufe prüfen und erst dann erzwingen.
Nach dem Rollout 403-Antworten und API-Fehler überwachen, die Allowlist bei Infrastrukturänderungen aktualisieren und eine verantwortliche Person bestimmen. Einen Wiederherstellungsweg vor dem Termin testen, nicht erst nach einem Produktionsfehler. Händler sollten App-Anbieter früh kontaktieren und nach der Migration Bestellungen, Bestandssynchronisierung und andere kritische Abläufe prüfen.
Quellen und weiterführende Informationen
Einen sachlichen Fehler melden oder eine Quelle vorschlagen? Redaktion kontaktieren.
