Säkra Shopify-appar: förbered er inför tokenkravet 2027

Shopify App Security: Prepare for the 2027 Token Deadline

Säkerheten i era Shopify-appar behöver nu finnas med i den löpande driftplaneringen. Shopify har bekräftat att publika appar som anropar Admin API måste gå över till tidsbegränsade offline-åtkomsttoken senast den 1 januari 2027. Som handlare styr ni vanligtvis inte över dessa token, men ni är beroende av de jobb som de ger behörighet till. Här går vi igenom hur ni kontrollerar leverantörernas beredskap, ger utvecklarna ett tydligt underlag och undviker att förväxla en deadline för App Store med ett omedelbart driftstopp.

Säkerhet för Shopify-appar: vad ändras i januari 2027?

Shopifys säkerhetsuppdatering i oktober bekräftar migreringskravet och förklarar hur åtgärderna införs stegvis. Omfattningen är viktig: den angivna tidsfristen gäller publika appar som anropar Admin API. Utgå inte från att alla integrationer i verksamheten har samma distributionsmodell eller omfattas av samma migreringskrav.

1 januari 2027: appar som inte uppfyller kraven tas bort från Shopify App Store och spärras för nya installationer. Befintliga installationer fortsätter att fungera i det här skedet.
15 januari 2027: handlare som använder berörda appar får en varning i Shopify-admin.

Det här är olika konsekvenser. Att en befintlig installation fortsätter att fungera i januari är inget bevis på att leverantören har slutfört migreringen. Shopifys säkerhetsmeddelande beskriver även senare åtgärder. Låt utvecklaren kontrollera hela den aktuella tidsplanen innan en releaseplan godkänns.

Vår rekommendation är att få dokumentation som visar att leverantören är redo före deadline, i stället för att vänta på en varning i admin. Att byta en affärskritisk app under tidspress är sällan enkelt, särskilt när appens data också måste flyttas.

Vad är en tidsbegränsad offline-åtkomsttoken?

En offline-åtkomsttoken gör att en app kan komma åt Shopifys Admin API utan att en handlare använder appen aktivt. Bakgrundsjobb, till exempel en schemalagd datasynkronisering, kan vara beroende av den åtkomsten.

En tidsbegränsad offline-åtkomsttoken har en begränsad giltighetstid. Appen måste hantera fortsatt behörig åtkomst i stället för att utgå från att samma autentiseringsuppgift fungerar för alltid. För handlare är den praktiska frågan om obevakade jobb fortsätter att köras när en token löper ut.

Shopifys meddelande om migreringen beskriver också ny åtkomst via klientautentiseringsuppgifter. En backend kan använda en begäran som signerats med appens privata nyckel för att hämta en ny, kortlivad åtkomsttoken utan en uppdateringstoken. Shopify beskriver detta som ett sätt att återställa åtkomsten utan att behöva vänta på att en handlare öppnar appen igen.

Det är användbart, men att det finns en återställningsmekanism betyder inte att appen har implementerat den korrekt. Ett lyckat inloggningstest säger inte mycket om ett nattligt jobb. Be utvecklarna testa appen när ingen har den öppen.

Ta med säkerhet när ni jämför appar

Nya guider för val av appar brukar fortfarande främst lyfta funktioner och pris. AiTrillions jämförelse visar till exempel betyg, huvudfunktioner och startpriser sida vid sida. Det är användbara urvalskriterier, men en jämförelse skriven av en leverantör är inte ett oberoende test.

För en app som behöver åtkomst till Admin API bör ni lägga till ytterligare ett inköpskrav: dokumentation som visar att leverantören kan upprätthålla säker åtkomst genom Shopifys säkerhetsförändringar. En lång funktionslista besvarar inte den frågan. Det gör inte heller höga användarbetyg.

Vi skulle inte välja bort en leverantör för att migreringsarbetet fortfarande pågår. Däremot skulle vi reagera om leverantören inte kunde ange vilken autentiseringsmetod som berörs eller presentera en release- och testplan. Ett öppet och konkret tekniskt svar är mer värt än en allmän försäkran om att allt är under kontroll.

Det här påverkar också appvalet inför en ny butikslansering. En app som redan är installerad i en befintlig butik kan fortsätta att fungera när de första åtgärderna införs, medan en ny installation kan stoppas. Kontrollera uttryckligen att appen är redo för nya butiker om er expansion bygger på samma appuppsättning.

Skapa en beredskapsöversikt för era Shopify-appar

Börja med integrationer där ett fel skulle störa verksamheten. Prioritera kopplingen för orderhantering och leverans framför en dekorativ widget i butiken. Syftet är att säkra driften, inte att byta ut hela er tekniska lösning.

Använd ett gemensamt dokument med en namngiven ansvarig för varje integration. Dokumentera:

Verksamhetsberoende: vad som stannar eller blir felaktigt om integrationen förlorar API-åtkomsten.
Tekniskt ansvar: leverantören eller den interna utvecklare som ansvarar för autentiseringen.
Omfattning: om integrationen är en publik app som anropar Admin API, bekräftat av den ansvariga.
Migreringsunderlag: leverantörens skriftliga status, planerad release och relevanta testresultat.
Reservrutin: den godkända manuella processen eller återställningsvägen om bakgrundsjobben stannar.

Gör osäkerheter synliga. ”Inväntar bekräftelse från leverantören” är en användbar status. ”Förmodligen okej” är det inte. Om en integration inte omfattas av det angivna kravet för publika appar, fråga utvecklaren vilka säkerhetsregler som gäller i stället för att undanta den från all granskning.

Skicka en fråga som leverantören kan besvara

Anropar er app Shopify Admin API med offline-åtkomsttoken, och omfattas den av migreringskravet i januari 2027? Bekräfta i så fall er migreringsstatus, hur bakgrundsjobb återfår åtkomst utan att en handlare öppnar appen och vilka tester som täcker vår befintliga installation respektive nya installationer.

Be om ett skriftligt svar och lägg det till integrationens dokumentation. Ert driftteam behöver en kontaktväg till support och en reservrutin. Det behöver inte tillgång till privata nycklar eller själva tokenvärdena.

Ge utvecklarna acceptanstester, inte bara en deadline

”Uppdatera autentiseringen” är för vagt för en affärskritisk integration. Kom överens om verifierbara resultat innan utvecklaren bedömer arbetet som klart.

Testa obevakade jobb

Be utvecklaren visa att ett bakgrundsjobb fungerar efter att en token har löpt ut, utan att öppna appen för att återställa åtkomsten. Välj en åtgärd som är viktig för er butik, till exempel lagersynkronisering. Kontrollera att jobbet slutförs och att fel når någon som kan agera.

Testa avbrutna jobb

Autentiseringen kan fallera mitt under ett jobb, inte bara innan det startar. Fråga vad som händer med delvis bearbetade jobb. Kan de återupptas utan att skapa dubbletter eller hoppa över ändringar? Det här är vårt rekommenderade acceptanskriterium, inte ett påstående om att Shopifys meddelande föreskriver en viss lösning för återförsök.

Testa återställning av åtkomst och nyckelhantering

Om appen använder den nya återställningsmetoden med signering via privat nyckel, fråga var nyckeln lagras och vem som kan rotera den. Autentiseringsuppgifter ska inte förekomma i supportärenden eller skärmbilder. Låt utvecklaren dokumentera hur teamet återställer åtkomsten om signeringsuppgifterna blir otillgängliga eller måste bytas ut.

För en tredjepartsapp kan ni få en sammanfattning av leverantörens tester i stället för att själva utföra kontrollerna. Det är rimligt. Anpassa kraven på underlag efter hur viktig integrationen är. En kritisk lagerkoppling förtjänar en noggrannare granskning än en valfri funktion.

Listor över tillåtna IP-adresser ger skydd, men kan också stoppa legitima jobb

Shopify har också infört listor över tillåtna IP-adresser för Admin API. Utvecklare kan ange serveradresser eller CIDR-intervall i Dev Dashboard, testa dem mot den senaste trafiken och aktivera begränsningen. Shopify avvisar GraphQL- och REST-anrop till Admin API från adresser utanför de tillåtna intervallen med ett 403-svar.

Shopify rekommenderar starkt detta skydd för appar som gör anrop från statiska IP-adresser. Vår bedömning är att det är värt att utvärdera i samband med tokenmigreringen, men inte att aktivera utan genomgång. En ofullständig lista kan blockera legitima jobb lika effektivt som oönskad trafik.

Låt utvecklaren kartlägga både processer i produktionsmiljön och infrastrukturen för återställning innan begränsningen aktiveras. Om driftmiljön använder föränderliga utgående IP-adresser behöver ni först säkerställa en nätverkslösning som stöds. Utgå inte från att en IP-adress som observerats under ett test förblir densamma.

Be utvecklarna skilja mellan nätverksblockerade anrop och fel som beror på utgångna token i felsökningsdokumentationen. Annars riskerar teamet att lägga tid på att byta autentiseringsuppgifter när det verkliga problemet är varifrån anropet kommer.

Deklarationer för nätverksåtkomst löser ett annat problem

Den nya sektionen för nätverksåtkomst i shopify.app.toml låter utvecklare deklarera externa värdar och servrar. Deklarerade navigeringsvärdar kan undantas från Shopifys varning vid extern navigering, medan serverdeklarationer hjälper Shopify att identifiera misstänkt aktivitet.

Dessa deklarationer ersätter varken tokenmigrering eller en lista över tillåtna IP-adresser för Admin API. Be utvecklaren förklara vilket skydd som ändras och varför. Godkänn bara navigeringsvärdar som appen faktiskt behöver. Att ta bort en varning ska bygga på en bedömning av tillförlitligheten, inte på en önskan att slippa varningar för alla externa länkar.

Viktigast att ta med sig

Publika appar som anropar Admin API måste gå över till tidsbegränsade offline-åtkomsttoken senast den 1 januari 2027.
Att appar inledningsvis tas bort från App Store och spärras för nya installationer innebär inte att befintliga installationer slutar fungera direkt.
Begär underlag från leverantörerna och testa obevakade jobb, särskilt för kritiska integrationer.
Granska listor över tillåtna IP-adresser noggrant och behandla nätverksdeklarationer som ett separat skydd.

Källor

Vill ni ha hjälp med arbetet?

Vi är Shopify Premier Partner och arbetar varje dag med prestanda, konverteringsoptimering och butiksbyggen som betalar sig. Boka en kostnadsfri butiksgenomgång så visar vi vilka tre förbättringar vi skulle genomföra först.

Vanliga frågor

När är Shopifys deadline för tidsbegränsade offline-åtkomsttoken?

Publika appar som anropar Admin API måste migrera senast den 1 januari 2027. Enligt Shopify tas appar som inte uppfyller kraven då bort från App Store och spärras för nya installationer, medan befintliga installationer fortsätter att fungera.

Slutar mina befintliga Shopify-appar att fungera den 1 januari 2027?

Inte under det första steget som beskrivs i Shopifys meddelande. Befintliga installationer fortsätter då att fungera, och berörda handlare får en varning i admin från den 15 januari. Fråga leverantören hur långt migreringen har kommit och kontrollera Shopifys fullständiga tidsplan för senare åtgärder.

Behöver handlare själva byta token för sina Shopify-appar?

För publika tredjepartsappar hanterar appleverantören normalt autentiseringen. Handlare bör kontrollera med leverantören om appen omfattas av kravet och vilken status migreringen har. Integrationer som underhålls internt behöver granskas av ansvarig utvecklare.

Vad gör en lista över tillåtna IP-adresser för Shopify Admin API?

Den begränsar anrop som använder appens token till angivna IP-adresser eller CIDR-intervall. Shopify avvisar anrop från adresser utanför dessa intervall med ett 403-svar. Utvecklare bör testa legitim trafik innan begränsningen aktiveras.