应用安全更新：现在必须配置 IP 白名单

10月27日，我们建议启用IP白名单。从11月20日起（若使用批量操作则为11月12日起），所有公开应用必须启用IP白名单。IP白名单意味着即使令牌泄露，也无法在您的服务器之外的任何地方被使用。鉴于商家一年中最繁忙的几周即将到来，我们现在要求您立即启用该功能。

需要采取行动

• 所有调用Admin API的公开应用：请在2026年11月20日东部时间晚上11:59之前启用IP白名单。 启用后，您的令牌仅在您列出的地址或网络上有效，因此泄露的令牌无法在其他地方使用。 公开应用必须启用IP白名单。如果您使用的是无服务器架构或动态IP，则需要通过支持ASN的网络进行白名单设置。 通过支持ASN的网络进行白名单设置 即可。

• 批量操作：请在2026年11月12日东部时间晚上11:59之前启用IP白名单。 在此日期之后，未启用IP白名单的公开应用的批量查询和变更请求将被阻止。

本周其他事项

• 商家现在可以在“设置 > 应用”中查看您的应用安全设置：包括即将过期的令牌和IP白名单状态。11月20日后，未启用IP白名单的应用将被标记。
• 快速查找未设置过期时间的令牌：按令牌类型筛选开发者仪表板的API日志。此外，我们的令牌过期常见问题解答回答了最常见的问题。
• 在开发商店预览中进行网络访问测试：您现在可以在发布前测试您的network_access声明。它会标记出您尚未声明的任何网站或服务器。在开发商店预览中测试网络访问
• 在CI/CD中运行应用安全检查。新的教程将指导您如何自动扫描应用中的安全问题。新教程
• 即将推出批量操作的访问范围：批量查询和批量变更请求将各自需要独立的范围。如果您的应用在过去的180天内执行过批量操作，Shopify会自动授予这些范围。一旦生效，请在下次部署前将它们添加到应用配置中。我们将在准备好时分享包含范围名称的更新日志。

如果错过截止日期

为了保护商家的安全，我们将于11月开始强制执行IP白名单。离线访问令牌的过期时间表保持不变。在这两种情况下，现有安装都将正常工作直到2027年4月1日：

获取帮助

如果您发现可疑情况，请立即在partner-security-reports@shopify.com通知我们。您需要负责修复问题并通知受影响的商家，我们将全程为您提供支持。

有关一般安全问题的咨询，请联系Shopify Support。

所有内容均位于 App Security Hub，我们在 App Security 板块 的开发者社区中回答相关问题。