IPアドレス許可リスト義務化：公開アプリへの影響まとめ
トークン漏洩リスクをゼロに近づける新要件、期限と対応手順を整理
Shopifyは2026年10月27日に推奨として案内したIPアドレス許可リストを、すべてのパブリックアプリに対して義務化しました。バルク操作を使うアプリは11月12日、その他のAdmin API呼び出しアプリは11月20日（いずれも米東部時間23:59）までに設定が必要です。対応しないアプリは段階的にリクエストがブロックされます。
1変更内容のBefore / After図解
2対応期限のタイムライン
3業務に活かせる具体ユースケース
- 課題
- サーバーレス環境（AWS Lambda / Cloud Functionsなど）を使っているためIPが動的に変わり、固定IPを登録できない
- 打ち手
- IPではなくASN（Autonomous System Number）によるネットワーク単位でアロウリストを設定する。Shopifyの元記事はASNサポートによるネットワーク単位の許可に言及している
- 効果
- サーバーレスアーキテクチャを維持しながら義務要件を満たし、期限内に対応を完了できる
- 技術メモ
- ASNアロウリストの設定方法は元記事にリンクがあるShopify公式ドキュメントを参照。各クラウドプロバイダーのASN番号を事前に確認しておくこと
- 課題
- バルク操作（bulkOperationRunQuery / bulkOperationRunMutation）を使って大量データを処理しているアプリで、11月12日という早い期限を見落としていた
- 打ち手
- Dev DashboardのAPIログでトークン種別フィルターを使い、バルク操作に利用しているトークンを特定。優先してIPアロウリストを設定する
- 効果
- 年末商戦（BFCM）期間中にバルク処理がブロックされる事態を回避し、在庫・注文データの一括処理を継続できる
- 技術メモ
- 11月12日以降、IPアロウリスト未設定の公開アプリからのバルククエリ・ミューテーションはブロックされると明記されている
- 課題
- マーチャントがShopify管理画面の「設定 ＞ アプリ」でアプリのセキュリティ状態を確認できるようになり、IPアロウリスト未設定アプリは11月20日以降フラグが立つ
- 打ち手
- 期限前に対応を完了し、マーチャントダッシュボードで「安全」と表示される状態にする。有効期限切れトークンの設定も合わせて見直す
- 効果
- マーチャントからの信頼を維持し、フラグ表示によるアンインストールや問い合わせ増加を防ぐ
- 技術メモ
- 管理画面には「有効期限付きトークン」と「IPアロウリスト」の2項目が表示される。両方の対応状況が可視化されるため、どちらも未設定のアプリは要注意
4技術者目線のポイント
| 項目 | 内容 | ステータス |
|---|---|---|
| IPアロウリスト設定対象 | Admin APIを呼び出すすべてのパブリックアプリ | 必須 |
| バルク操作の期限 | 2026年11月12日 23:59 ET。期限後はブロック開始 | 要対応 |
| その他アプリの期限 | 2026年11月20日 23:59 ET。未設定はフラグ表示 | 要対応 |
| 既存インストールへの強制適用 | 2027年4月1日。期限内対応でも既存インストールは同日まで猶予あり（元記事の表を参照） | 猶予あり |
| サーバーレス対応 | 固定IPがない場合はASNによるネットワーク単位許可を利用 | 代替あり |
| ネットワークアクセステスト | 開発ストアプレビューでnetwork_access宣言を事前検証可能になった | 新機能 |
| CI/CDセキュリティスキャン | アプリのセキュリティ問題を自動スキャンするチュートリアルが公開 | 新機能 |
| バルク操作のアクセススコープ（近日） | バルククエリとバルクミューテーションに個別スコープが必要になる予定。180日以内に実行実績があれば自動付与 | 近日公開 |
Dev Dashboardのログフィルター活用
トークン種別でAPIログをフィルタリングする機能が追加された。有効期限なしトークンを素早く特定し、期限付きトークンへの移行作業を効率化できる。バルク操作トークンの洗い出しにも活用可能。
マーチャント側の可視化に注意
2026年11月20日以降、IPアロウリスト未設定のアプリには管理画面でフラグが表示される。マーチャントがセキュリティ状態を直接確認できるようになったため、未対応アプリはアンインストールリスクが高まる。
「IPアドレス許可リストの義務化に対応済みのアプリのみ、年末商戦期間中もAdmin APIへのアクセスが保証されます。期限（バルク操作：11月12日 / その他：11月20日）前の設定完了を強くお勧めします。」
Source: https://shopify.dev/changelog/app-security-updates-ip-allowlist-is-now-required | 公開日: 2026年11月5日
Share:
Order Routing関数が複数フルフィルメントグループに対応
パブリックアプリにIPアローリスト設定が義務化