パブリックアプリにIPアローリスト設定が義務化
2026年11月、未対応アプリはApp Storeから削除＆新規インストールをブロック
Shopifyはすべてのパブリックアプリに対し、IPアローリストの設定を義務付けます。バルク操作を使用するアプリは2026年11月12日、それ以外のパブリックアプリは2026年11月20日までに対応が必要です。期限を過ぎると、App Storeからの削除・新規インストールのブロックが実施されます。
1変更内容：Before / After と期限の全体像
2対象アプリ・対象外アプリの整理
対象（要対応）
- すべてのパブリックアプリ（Shopify App Storeに公開）
対象外（対応不要）
- カスタムアプリ
- マーチャントがDev DashboardまたはShopify管理画面で作成したアプリ
3業務に活かせる具体ユースケース
- 課題
- 静的IPを持つ自社サーバーからAdmin APIを呼び出しているアプリで、トークン漏洩時の被害範囲が不明確
- 打ち手
- Dev Dashboardでアプリの許可IPを静的IPアドレスまたはCIDR範囲で登録し、アローリストを設定する
- 効果
- 漏洩トークンが使用されても、登録外のネットワークからのAdmin API呼び出しをShopify側でブロックできる
- 技術メモ
- CIDRレンジ単位での登録が可能。公式ドキュメント「Restrict API access with an IP allowlist」を参照
- 課題
- クラウドホスティング（AWS・GCPなど）利用でIPアドレスが動的に変わるアプリをどう対応させるか
- 打ち手
- ホスティングプロバイダーのASN（自律システム番号）を許可リストに追加し、アプリが稼働する国も併せて設定する
- 効果
- 動的IPでも継続してAdmin APIを利用でき、期限内に対応が完了する
- 技術メモ
- ASNベースの設定オプションはDev Dashboardから設定可能。ホスティングプロバイダーのASN情報は各社の公式サイトで確認
- 課題
- マーチャント側のインフラからAdmin APIトークンを呼び出すアーキテクチャをとっており、すぐにIPを固定できない
- 打ち手
- Shopifyへ期限延長申請（extension request）を提出しながら、なるべく早くトークン露出を最小化するアーキテクチャへ移行する
- 効果
- 強制削除・ブロックのリスクを回避しながら、段階的に安全な構成へ移行できる
- 技術メモ
- 延長申請の可否・方法は元記事に「submit a request for an extension」とあるが、申請先URLの記載なし。公式ドキュメントを要確認
4技術者が押さえるべきポイント
| 項目 | 内容 |
|---|---|
| 設定場所 | Dev Dashboard からアプリのIPアローリストを設定する |
| 静的IP環境 | 静的IPアドレスまたはCIDR範囲を直接登録 |
| 動的IP環境 | ホスティングプロバイダーのASNと稼働国を登録 |
| バルク操作アプリの期限 | 2026年11月12日 11:59 PM ET（未対応でバルク操作が失敗） |
| 全パブリックアプリの期限 | 2026年11月20日 11:59 PM ET（未対応でApp Store削除＋新規インストール不可） |
| 対象外アプリ | カスタムアプリ・マーチャント作成アプリは対象外（対応不要） |
| マーチャントインフラからの呼び出し | 早急にアーキテクチャ変更を推奨。期限延長の申請が可能（申請先URLは記載なし） |
| 参考ドキュメント | 「Restrict API access with an IP allowlist」（Shopify公式） |
※ 上記情報は元記事の記載に基づきます。APIバージョン・移行手順の詳細は公式ドキュメントで必ずご確認ください。
パブリックアプリ開発者は2026年11月の期限前にDev DashboardでIPアローリストを設定し、App Store掲載継続とマーチャント資産の保護を確実に担保してください。
Source: https://shopify.dev/changelog/ip-allowlists-are-now-required-for-public-apps | 公開日: 2026年11月5日
Share:
IPアドレス許可リスト義務化：公開アプリへの影響まとめ
サーバーレスアプリもIPホワイトリスト対応へ：ASNサポート開始