サーバーレスアプリもIPホワイトリスト対応へ：ASNサポート開始
静的IPなしでもOK。ホスティング事業者のASNを登録してAPIアクセスを制限できるようになった
VercelやAWS Lambdaなどサーバーレスプラットフォームで動作するShopifyアプリは、これまで固定のIPアドレスを持てないためIPホワイトリストを設定できなかった。2026年11月5日より、ホスティングプロバイダーのASN（自律システム番号）を登録することで同機能が利用可能になった。ShopifyはIPホワイトリストを全パブリックアプリに対して近く必須化する方針を明示している。
1変更内容：Before / After 図解
2業務に活かせる具体ユースケース
- 課題
- AWS Lambda上で動作するカスタムShopifyアプリをセキュリティポリシー上IPホワイトリストに対応させなければならないが、Lambda関数のIPは動的で固定できない。
- 打ち手
- AWS（ASN: AS16509など）のASNをDev DashboardのNetworks欄に登録し、アプリが稼働するリージョンの国（例：日本）を対象国として指定する。
- 効果
- 固定IP不要でAPIアクセス制限を実現。セキュリティ要件を満たしつつ、サーバーレスのスケーラビリティも維持できる。
- 技術メモ
- ASNはホスティングプロバイダーのドキュメントまたはWHOISで確認可能。登録後は「最近のトラフィックでテスト」してから enforcement をオンにすることを推奨。
- 課題
- Vercelにデプロイした複数国展開のShopifyアプリで、不審なリージョンからのAPIコール（想定外の国からのアクセス）をブロックしたい。
- 打ち手
- VercelのASNを登録したうえで対象国をアプリの実際のサービス提供国（最大10か国）に絞り込む。範囲外のリクエストは自動的に403を返すため追加実装は不要。
- 効果
- 地理的な不審アクセスを設定ベースでブロック。コードを変更せずにセキュリティレイヤーを追加できる。
- 技術メモ
- 国の制限はASNと組み合わせた形で適用される。対象国を誤ると正規リクエストも403になるため、テストモードで十分な検証が必要。
- 課題
- 近く必須化されるIPホワイトリスト要件に先回りして対応したいが、既存アプリの静的IP設定とサーバーレス関数が混在している。
- 打ち手
- 静的IPを持つ部分は従来どおりIPアドレスで登録し、サーバーレス部分はASN登録に切り替える。Dev Dashboard上で両者を管理できるか、設定画面の仕様を確認する。
- 効果
- 移行コストを最小化しながら必須化要件を満たし、パブリックアプリ審査をスムーズに通過できる。
- 技術メモ
- 元記事によれば「IPアドレスまたはNetworks(ASN)」の選択式。混在登録の可否は公式ドキュメント「Restrict API access with an IP allowlist」で確認のこと（元記事には混在可否の明示的な記載なし）。
3技術者向けポイント
Dev DashboardのアプリSettings画面内「IP allowlist」セクション。IPアドレス／Networks(ASN)をここで切り替えて登録する。
登録できるASNは最大10件、対象国は最大10か国まで。超過分は登録不可のため、主要ホスティングプロバイダーに絞り込む必要がある。
許可ネットワーク外からのリクエストはHTTPステータス403を返して拒否される。クライアント側のエラーハンドリング実装を事前に確認すること。
enforcementをオンにする前に「最近のトラフィックに対してテスト」できる機能が提供される。本番適用前に必ずテストを実施することをShopifyが推奨している。
IPホワイトリストは近く全パブリックアプリに必須となる予定。具体的な期限は元記事に記載なし。Shopifyは強く早期設定を推奨している。
静的IPからShopifyを呼び出しているアプリは従来どおりIPアドレスで登録を継続してよい。ASN登録は動的IP（サーバーレス等）向けの追加オプション。
4設定フロー早見表
| アプリのIP形態 | 推奨設定 | 登録内容 | 注意点 |
|---|---|---|---|
| 固定IPアドレスあり | IPアドレスで登録 | IPアドレスまたはCIDR | 従来どおり変更不要 |
| 動的IP（サーバーレス等） | Networks(ASN)で登録 | ASN最大10件＋国最大10か国 | 対象国の選定に注意。テスト必須 |
| 混在（静的＋動的） | 公式ドキュメント要確認 | 記載なし | 混在可否は元記事に明示なし |
「サーバーレス構成のShopifyアプリでもASN登録によりIPホワイトリストに対応できるようになりました。全パブリックアプリへの必須化が迫っているため、今すぐDev Dashboardで設定することをお勧めします。」
Source: https://shopify.dev/changelog/app-ip-allowlists-now-support-apps-with-serverless-hosting | 公開日: 2026年11月5日
Share:
パブリックアプリにIPアローリスト設定が義務化
新enum値RETRY_DECLINED追加：決済失敗の原因を正確に把握