商家安装您的应用，是因为他们信任您，也信任 Shopify 应用商店。然而，市场上存在恶意行为者，他们有意利用这种信任。随着人工智能在发现漏洞方面变得越来越强大，我们和整个行业一样，正目睹应用生态系统中攻击数量的增加。
安全是你当前最重要的工作。我们要求每位应用开发者在本周落实以下步骤。
- 使用我们的新安全检查工具扫描你的应用。借助 AI Toolkit 的单一提示即可检测 Shopify 特有的漏洞，例如未认证的路由、跨商店数据访问和未经验证的网络钩子。在早期访问阶段，大多数合作伙伴都发现了他们此前不知晓的问题。
- 迁移到具有过期时间的访问令牌。短期令牌可在令牌泄露时限制损害范围。这很快将成为所有公开应用的强制要求，因此请立即开始迁移。
- 使用漏洞扫描器确保应用的所有端点都已得到安全保护。
- 将所有呈现的数据（无论是来自 metafields 还是您自己的服务器）视为不可信数据，确保对输入进行彻底的转义和清理。
- 检查你的 Dev Dashboard 以查看 API 请求，并确保未出现任何可疑活动。要开始操作，按客户端 IP 过滤日志以分析流量模式并找出可疑来源。
- 保护所有与您的应用相关的账户。为您的 Partner 账户、托管服务、CDN、代码仓库和电子邮件启用两步验证。移除任何不再需要访问权限的人员的访问权。
- 保持紧急联系方式的最新状态。确保 Partner Dashboard 中的紧急开发者邮箱能够联系到能够快速采取行动的人员。
- 审查并实施Shopify 开发者文档中的安全最佳实践。
我们与您的共同努力
我们正在收紧前端应用代码的边界，添加 IP 地址限制，使您的密钥仅能在您的服务器上工作，并提高应用商店的安全要求。在任何变更生效之前，我们会与您分享详细信息和时间表，以便您有足够的时间做好准备。我们将持续投入资源，加强平台保护、开发者工具和指南，使安全开发成为默认选择。
如果你怀疑应用存在安全问题，请立即通过partner-security-reports@shopify.com通知我们。你有责任修复问题并通知受影响的商家，我们将为你提供全程支持。
如有其他一般性安全问题，请联系Shopify Support。