Підготовлено редакцією Надалі з використанням ШІ.
27 жовтня Shopify оголосила про IP-allowlist для застосунків: дозволений перелік адрес, з яких можна використовувати їхні токени для GraphQL Admin API та REST Admin API. Після ввімкнення запити з інших адрес отримують помилку 403.
Кому це корисно
Власникам магазинів із власними або замовленими інтеграціями, зокрема ШІ-автоматизаціями. Це новий інструмент для розробника, а не кнопка захисту всього магазину. Практичне питання підряднику: чи можна обмежити, звідки наша інтеграція звертається до Shopify?
Спершу перевірте сумісність
За документацією, потрібні статичні публічні IP-адреси. Підтримка динамічних адрес serverless-платформ лише запланована. Запити з токенами через Shopify Flow Send HTTP request і GraphQL Admin API зі storefront на Oxygen несумісні з цим обмеженням. Direct API access із вбудованих сторінок застосунку та dev-preview запити на тестових магазинах не блокуються цим механізмом.
Розробник може перевірити перелік проти трафіку за останні 30 днів до ввімкнення. Це не гарантує, що враховано майбутні зміни інфраструктури.
Що доручити відповідальному
Редакційна порада: почніть з однієї інтеграції, призначте відповідального й погодьте час зміни. Попросіть перелічити залежні бізнес-процеси та перевірити їх після налаштування. Не вмикайте обмеження навмання під час активної роботи магазину.
Приклад для планування, не результат тесту: якщо інтеграція передає замовлення на склад, перевіряйте саме успішне передавання замовлення, а не лише збережене налаштування. Рішення про доступ і підтвердження виконання варто розділяти — як у нашому матеріалі про перевірку доступів.
Висновок: обговоріть новий контроль із розробником, але спочатку з’ясуйте сумісність. Надалі перевірила першоджерела 27 жовтня 2026 року; налаштування на реальному магазині редакція не випробовувала.
