【Shopify最新ニュース2026・開発者向け】アプリの IP allowlist が ASN に対応、サーバーレスでも設定できます

2026年11月11日

開発者向けの変更です。
固定の IP アドレスを持たないアプリの開発者に関わる話。

IP allowlist に、ホスティング事業者の ASN を登録できます

発表は2026年11月5日の developer changelog です。

出典: Shopify developer changelog「App IP allowlists now support apps with serverless hosting through ASNs」2026年11月5日
https://shopify.dev/changelog/posts/app-ip-allowlists-now-support-apps-with-serverless-hosting

フラグは「New」。
タグは「Security」と「Dev Dashboard」です。

Apps without static IP addresses, such as apps on serverless platforms, can now add your hosting provider’s autonomous system numbers (ASNs) to your app’s IP allowlist in the Dev Dashboard.
（サーバーレスの基盤で動くアプリなど、固定の IP アドレスを持たないアプリは、Dev Dashboard のアプリの IP allowlist に、ホスティング事業者の autonomous system number＝ASN を加えられるようになりました）

ASN は、ネットワークのまとまりごとに振られた番号。
アドレスを1つずつ並べる代わりに、事業者のネットワーク単位で許可する形です。

設定画面で、IP アドレスかネットワークかを選べます

選べるのは、アプリの Settings ページにある IP allowlist の欄です。

The IP allowlist section of your app’s Settings page now lets you allow either IP addresses or Networks (ASN). For networks, enter up to 10 ASNs and limit them to up to 10 countries.
（アプリの Settings ページの IP allowlist の欄で、IP アドレスか Networks (ASN) のどちらかを許可できるようになりました。ネットワークでは ASN を最大10個入れ、国を最大10か国まで絞れます）

ASN の上限は10個。
国も、最大10か国まで絞れます。

有効にする前に、最近の通信で試せます

順番は、試してから有効にする流れです。

Test them against recent traffic, then turn on enforcement. Requests from outside your allowed networks fail with a 403 status code.
（最近の通信で試してから、適用を有効にします。許可したネットワークの外からの要求は、403 のステータスコードで失敗します）

有効にしたあと、許可の外からの要求は 403 で失敗。
公式は、最近の通信で試してから適用を有効にする順番を示しています。

固定 IP のアプリは、今までどおりアドレスで許可します

公式は、アプリの作りに合わせて使い分けを示しています。

If your app calls Shopify from static IP addresses, keep allowing those addresses. If your app’s egress IP addresses are dynamic, allow your hosting provider’s ASNs and list the countries your app runs in.
（固定の IP アドレスから Shopify を呼ぶアプリは、そのアドレスの許可を続けます。出口の IP アドレスが変わるアプリは、ホスティング事業者の ASN を許可し、アプリが動く国を並べます）

固定 IP のアプリは、変更なし。
ASN を使うのは、出口のアドレスが変わるアプリです。

公式は、すべてのアプリに IP allowlist を強く勧めています

この changelog は、公開アプリでの必須化にも触れています。

IP allowlists will soon be required for all public apps. Shopify strongly recommends all apps use an IP allowlist.
（IP allowlist は近く、すべての公開アプリで必須になります。Shopify はすべてのアプリに IP allowlist を強く勧めています）

必須化と期限は、同じ日の別の changelog で発表済み。
キクシルは、その必須化と期限を別の記事で扱っています。

🔴 公式に書かれていないこと

次の点は、一次ソースにありません。

自分のホスティング事業者の ASN をどう調べるかは書かれていません
「recent traffic」が何日分の通信かは書かれていません
ASN と IP アドレスを1つのアプリで両方使えるかは書かれていません。原文は「either IP addresses or Networks (ASN)」です
国の指定が、どの基準で通信元の国を判定するかは書かれていません
ASN の上限10個を超える構成のアプリがどうすればよいかは書かれていません
店の側で何か操作が要るかは書かれていません。対象として書かれているのはアプリの設定です
🔴 本記事は Dev Dashboard で設定を試していません。記載が無いことをもって「できる」とも「できない」とも書きません