Das Wichtigste in Kürze
- Shopify Custom Apps, die auf Shops außerhalb der Organisation des Eigentümers installiert sind, brauchen eine IP-Allowlist: für neue Installationen ab 20. November 2026, für bestehende ab 1. Januar 2027.
- Händler, die eine Custom App im Besitz einer Agentur oder eines Freelancers nutzen, sollten diesen Dienstleister bitten, die Allowlist im Dev Dashboard einzurichten.
- Apps, die nur innerhalb der Organisation ihres Eigentümers installiert sind, von Händlern selbst erstellte Apps und öffentliche Apps fallen nicht unter diese Regel.
Was Shopify für Custom Apps angekündigt hat
Am 11. November 2026 kündigte Shopify in seinem Developer-Changelog an, dass Custom Apps eine IP-Allowlist haben müssen, wenn sie auf Shops außerhalb der Organisation installiert sind, der sie gehören. Eine IP-Allowlist beschränkt die Netzwerkadressen, von denen aus eine App die Admin API von Shopify aufrufen kann. Über diese API lesen und ändern Apps die Daten eines Shops.
Die Anforderung tritt in zwei Stufen in Kraft:
- ab 23:59 Uhr US-Ostküstenzeit am 20. November 2026 für neue Installationen;
- ab 23:59 Uhr US-Ostküstenzeit am 1. Januar 2027 für bestehende Installationen.
Shopify begründet das mit abgeflossenen Zugriffstokens: Ohne Allowlist lässt sich ein gestohlenes Token aus jedem beliebigen Netzwerk verwenden.
Welche Apps und Shops betroffen sind
Der typische Fall für Händler ist eine Custom App, die eine Agentur oder ein Freelancer für Ihren Shop entwickelt hat und die deren Shopify-Organisation gehört statt Ihrer. Diese App ist außerhalb der Organisation ihres Eigentümers installiert und braucht deshalb eine Allowlist. Dasselbe gilt, wenn Ihr Unternehmen eine Custom App für andere Händler bereitstellt.
Drei Arten von Apps sind nicht betroffen: Apps, die nur auf Shops innerhalb der eigenen Organisation des Eigentümers installiert sind, Apps, die ein Händler selbst im Dev Dashboard oder im Shopify-Admin erstellt hat, und öffentliche Apps, für die laut Shopify eine eigene Anforderung gilt.
Für Partner, denen mehrere Apps gehören, gilt eine zusätzliche Regel. Ab 1. Januar 2027 schränkt schon eine einzige App ohne Allowlist ihre Möglichkeit ein, irgendeine ihrer Apps auf Shops außerhalb ihrer Organisation zu installieren. Shopify sagt nicht genau, was mit einer bestehenden Installation geschieht, die nach diesem Datum noch keine Allowlist hat. Behandeln Sie den 1. Januar deshalb als feste Frist.
Was vor dem 20. November und dem 1. Januar zu tun ist
- Klären Sie, wem jede Custom App in Ihrem Shop gehört. Wenn ein Dienstleister sie entwickelt hat, fragen Sie, ob sie aus seiner Organisation heraus installiert ist.
- Bitten Sie den Eigentümer, die Allowlist im Dev Dashboard einzurichten. Shopify bietet zwei Wege: feste IP-Adressen oder -Bereiche eintragen, wenn die App Shopify von statischen Adressen aus aufruft, oder, wenn sich ihre Adressen ändern, die Netzwerkkennungen (ASNs) des Hosting-Anbieters und die Länder freigeben, in denen die App läuft.
- Wenn Sie nach dem 20. November eine neue Custom App von einem Dienstleister installieren wollen, prüfen Sie vorher, ob die Allowlist eingerichtet ist.
- Wenn Sie Agentur oder Partner sind, prüfen Sie jede App, die auf Shops außerhalb Ihrer Organisation installiert ist, und konfigurieren Sie jede einzelne vor dem 1. Januar 2027.
Eine kleine Plattformänderung wie diese sollte der Support nach dem Launch aufgreifen, ohne dass Sie danach fragen müssen. Wenn sich niemand mehr um Ihre Custom App kümmert, kann der Service Laufender Support und Wartung von Cognivise sie übernehmen.
Quelle
- Shopify dev changelog: IP allowlists are now required for custom apps installed outside your organization
Von Cognivise mit Unterstützung von KI auf Grundlage der oben genannten Quelle verfasst und vor der Veröffentlichung mit ihr abgeglichen.
Aus dem Original auf Englisch übersetzt.