【Shopify最新ニュース2026・開発者向け】公開アプリは IP allowlist が必須に、期限は11月20日

2026年11月10日

開発者向けの変更です。
Admin API を呼ぶ公開アプリの開発者に関わる話。
店の側にも、管理画面の表示という形で関わります。

Shopify が、公開アプリに IP allowlist の設定を求めています

発表は2026年11月5日の developer changelog です。

出典: Shopify developer changelog「IP allowlists are now required for public apps」2026年11月5日
https://shopify.dev/changelog/posts/ip-allowlists-are-now-required-for-public-apps

フラグは「Update」と「Action required」。
タグは「Security」と「Platform」です。

We’re enhancing protection of merchants by adding IP allowlist configuration as a requirement for public apps. All public apps using bulk operations must configure an allowlist by November 12, 2026, and all other public apps must configure an allowlist by November 20, 2026.
（店の保護を強めるため、IP allowlist の設定を公開アプリの要件に加えます。bulk operations を使う公開アプリは2026年11月12日までに、それ以外の公開アプリは2026年11月20日までに設定が必要です）

IP allowlist は、アプリが Admin API を呼べる通信元を決めておく設定。
2026年10月27日の発表では、まだ勧めるという扱いでした。
キクシルは2026年10月28日の記事で、その時点の内容を紹介しています。
今回、それが必須に変わりました。

期限は2つあり、bulk operations を使うアプリは11月12日です

期限は、時刻まで決まっています。

November 12, 2026 at 11:59 PM ET.: Bulk operations from public apps without an IP allowlist will fail to execute.
November 20, 2026 at 11:59 PM ET: Public apps without an IP allowlist will be delisted from the Shopify App Store and blocked from new installs.
（2026年11月12日午後11時59分 ET：IP allowlist の無い公開アプリの bulk operations は実行に失敗します。2026年11月20日午後11時59分 ET：IP allowlist の無い公開アプリは Shopify App Store から外され、新しいインストールができなくなります）

ET は米国東部の時刻です。
同じ日のブログ版は、期限を過ぎたあとの流れを表にしています。

出典: Shopify developer changelog「App security updates: IP allowlist is now required」2026年11月5日
https://shopify.dev/changelog/blog/app-security-updates-ip-allowlist-is-now-required

To protect merchant security, we’ll begin enforcing IP allowlists starting in November. The timelines for expiring offline access tokens remain the same. In both cases, existing installs keep working until April 1, 2027:
（店の安全を守るため、11月から IP allowlist の適用を始めます。期限付きのオフラインアクセストークンの日程は変わりません。どちらの場合も、すでに入っているアプリは2027年4月1日まで動き続けます）

表の IP allowlist の列は、次のとおりです。

日付	IP allowlist の無い公開アプリに起きること
2026年11月12日	bulk の query と mutation が止まる
2026年11月20日	App Store から外れ、新しいインストールができなくなる。店の Settings > Apps で印が付く
2027年1月15日	店の管理画面に警告が出る
2027年4月1日	Admin API の要求が失敗する

最後の段階は、Admin API の要求そのものの失敗。
すでに入っているアプリも、ここで止まります。

店の管理画面にも、アプリの安全設定が出ます

ブログ版は、店主が見る画面の変化も書いています。

Merchants can now see your app’s security setup in Settings > Apps: expiring tokens and IP allowlist. After November 20, apps without an IP allowlist are flagged.
（店は Settings > Apps で、アプリの安全設定として期限付きトークンと IP allowlist を見られるようになりました。11月20日以降、IP allowlist の無いアプリには印が付きます）

見えるのは、期限付きトークンと IP allowlist の2点。
11月20日を過ぎると、設定の無いアプリに印が付きます。
2027年1月15日には、管理画面に警告が出る予定です。

対象は公開アプリで、カスタムアプリは外れます

対象の線引きは、changelog に明記されています。

What apps are affected
All public apps.
What apps are unaffected
Custom apps
Apps created by merchants either in the Dev Dashboard or in the admin
（対象はすべての公開アプリ。対象外は、カスタムアプリと、店が Dev Dashboard か管理画面で作ったアプリです）

店が自分で作ったアプリは、今回の対象外。
狙いは、漏れたトークンを悪用されたときの被害を小さくすることです。

Leaked tokens can be used from any network location. IP allowlists reduce the impact of a credential leak by limiting the networks from which your app can invoke the Admin API.
（漏れたトークンは、どこの通信元からでも使えてしまいます。IP allowlist は、アプリが Admin API を呼べる通信元を絞ることで、認証情報が漏れたときの影響を小さくします）

設定の場所は Dev Dashboard です

開発者は、Dev Dashboard でアプリが使う通信元を登録します。

If your app calls Shopify from static IP addresses, configure your IP allowlist based on static IPs or CIDR range.
If your app’s egress IP addresses are dynamic, allow your hosting provider’s ASNs and list the countries your app runs in.
（固定の IP アドレスから Shopify を呼ぶアプリは、固定 IP か CIDR の範囲で設定します。出口の IP アドレスが変わるアプリは、ホスティング事業者の ASN を許可し、アプリが動く国を並べます）

ASN で許可するやり方は、同じ日の別の changelog で加わったもの。
店の設備から Admin API を呼ぶアプリには、期限の延長の申し込みが用意されています。

What if my app makes Admin API calls from merchant infrastructure?
You should move as quickly as possible to an architecture that better limits exposure of Admin API tokens. You may submit a request for an extension to the deadlines above.
（店の設備から Admin API を呼ぶアプリは、トークンの露出を抑える作りへ急いで移るべきとしたうえで、上の期限の延長を申し込めるとしています）

🔴 公式に書かれていないこと

次の点は、一次ソースにありません。

日本時間での期限は書かれていません。編集部の換算では、米国の夏時間が終わったあとの ET 午後11時59分は、日本時間で翌日の午後1時59分にあたります。公式の換算ではありません
店の Settings > Apps の印が、日本語の管理画面でどう表示されるかは書かれていません
2027年1月15日に出る警告の文面と、出る場所は書かれていません
IP allowlist の無いアプリを入れている店が、店の側で何をすればよいかは書かれていません。求められているのはアプリの開発者の設定です
延長の申し込み方法と、認められる条件は書かれていません。原文の「submit a request」は申し込みフォームへのリンクで、本記事ではその中身を見ていません
🔴 本記事はアプリを作って設定を試していません。記載が無いことをもって「できる」とも「できない」とも書きません