10月20日，我们 要求所有应用开发者确保其应用的安全性，并告知您在任何安全变更生效前会分享更多信息。以下是最新动态以及您需要采取的措施。
离线访问令牌
离线访问令牌的迁移时间表 保持不变： 所有调用 Admin API 的公开应用必须在 2027 年 1 月 1 日之前迁移至具有过期时间的离线访问令牌。 如果应用届时未完成迁移，我们将分享更新后的执行时间表：
- 2027 年 1 月 1 日： 从 Shopify 应用商店下架，并阻止新安装。现有安装继续正常运行。
- 2027 年 1 月 15 日： 使用该应用的商家会在 Shopify 管理后台看到警告信息。
- 2027 年 4 月 1 日： 使用非过期离线访问令牌的 Admin API 请求将返回 HTTP 403403 。
1月1日是迁移截止日期：较晚的日期为商家提供了准备时间，不应被视为额外的迁移宽限期。自定义应用、商家创建的应用以及在线访问令牌不受影响。 请参阅迁移指南。
新的安全功能
本周我们推出了几项新功能，以帮助保护您的应用安全：
- 使用客户端凭据恢复访问权限。 如果您的应用丢失了刷新令牌，您的后端现在可以使用应用的私钥签名请求新的访问令牌，而无需等待商家重新打开您的应用。 设置客户端凭据访问。
- 使用 IP 白名单将 API 访问限制在您自己的服务器上。 列出您的服务器使用的 IP 地址，我们将拒绝来自任何其他 IP 的 Admin API 请求，即使该 IP 拥有有效的访问令牌。 设置您的 IP 白名单。
- 告诉我们您的应用使用了哪些服务器和站点。 在 [network_access] 部分中， shopify.app.toml列出您的应用代码加载或发送请求的服务器，无论其在哪里运行。我们使用该列表来识别您的应用未发出的请求。您还可以列出您链接给客户的站点，以便这些链接跳过客户离开商店时通常看到的警告。 声明您的应用的网络访问权限。
- 我们现在会在开发商店和客户转移商店安装应用之前验证您的身份。 这有助于确保应用由可信人员管理。
- 使用新的应用安全中心作为您的检查清单。 现在，每个应用安全实践在开发者文档中都有独立的页面。将您的代理指向该中心，以查看哪些实践适用于您的应用，并在每次发布前运行 shopify app security check。 shopify app security check 在每次发布之前。 前往应用安全中心。
获取帮助
如果您怀疑应用存在安全问题，请立即通过 partner-security-reports@shopify.com 通知我们 partner-security-reports@shopify.com。您需要负责解决问题并通知受影响的商家，我们将全程为您提供支持。
如有其他一般性安全问题，请联系 Shopify 支持 有关一般安全问题，请联系 Shopify 支持。。
关于这些更新有疑问？请在 有关这些更新的疑问？请在开发者社区的 App Security 板块中提问。 中的开发者社区提问。