組織外ストアに入れるカスタムアプリは 「IP 許可リスト」が必須に

図解 ： 組織外にインストールするカスタムアプリに IP 許可リストが必須化 Developer Changelog / セキュリティ要件 組織外ストアに入れるカスタムアプリは 「IP 許可リスト」が必須に 2026年11月20日から新規インストール、2027年1月1日から既存インストールにも適用。トークンが漏れても、許可したネットワーク以外からは Admin API を呼べないようにする。 このページの構成 そもそも何が変わるのか（30秒で理解） タイムライン ： 2段階で必須化 対象になるアプリ／ならないアプリ なぜ必要なのか ： トークン漏えい時の被害を絞る 許可リストの設定パターン（静的 IP ／ 動的 IP） 対応手順（3ステップ） 技術者が押さえるべき5つのポイント 業務に活かせる3つのユースケース 提案で使える1行サマリ 1 そもそも何が変わるのか カスタムアプリを アプリを所有する組織の外にあるストア にインストールする場合、 そのアプリには IP 許可リスト（allowlist）の設定が必須 になる。マーチャント保護の強化が目的。 これまで ： どこからでも呼べた アクセストークンさえあれば、どのネットワークからでも Admin API を呼び出せた。漏れたトークンも同じく、どこからでも使えてしまう。 これから ： 許可したネットワークだけ Dev Dashboard で許可した IP ／ CIDR ／ ASN・国からしか Admin API を呼べない。トークンが漏れても被害範囲が限定される。 2 タイムライン ： 2段階で必須化 期限は 米国東部時間（ET） 基準。日本時間では翌日の昼過ぎにあたるので、社内スケジュールでは余裕を持って前日までに完了させておくのが安全。期限を過ぎた既存インストールが具体的にどう扱われるか（API が止まるのか等）は 記載なし 。 3 対象になるアプリ／ならないアプリ 対象（許可リスト必須） 対象 組織外のストアに入っているカスタムアプリ アプリを所有する組織の外にあるストアにインストールされているカスタムアプリ。 対象 複数アプリを所有するパートナー 2027年1月1日以降、 許可リスト未設定のアプリが1つでもあると 、組織外ストアへの どのアプリのインストールにも影響 する。 対象外（今回の要件はかからない） 対象外 自組織のストアだけに入れるアプリ 所有組織内のストアにのみインストールされているアプリ。 対象外 マーチャントが作ったアプリ Dev Dashboard または管理画面でマーチャント自身が作成したアプリ。 別要件 公開アプリ（Public apps） 今回の対象外だが、 別の要件 でカバーされる。内容はこの記事には記載なし。 4 なぜ必要なのか ： トークン漏えい時の被害を絞る 漏えいしたトークンは どのネットワークからでも使える 。IP 許可リストは、アプリが Admin API を呼び出せるネットワークを限定することで、 認証情報が漏れたときの影響を小さくする 仕組み。 トークンの漏えい自体を防ぐものではなく、「漏れても悪用しにくくする」多層防御の一枚と捉えるとわかりやすい。 5 許可リストの設定パターン（静的 IP ／ 動的 IP） パターン A 送信元 IP が固定（静的 IP） アプリが静的 IP アドレスから Shopify を呼んでいる場合は、 静的 IP または CIDR レンジ で許可リストを構成する。 向いている構成例 ： NAT ゲートウェイで出口 IP を固定した VPC、専用サーバーなど。 パターン B 送信元 IP が変わる（動的 IP） egress（送信元）IP が動的な場合は、 ホスティング事業者の ASN を許可し、さらに アプリが稼働する国 を列挙する。 向いている構成例 ： サーバーレス／PaaS など出口 IP を固定できない環境。 観点 A ： 静的 IP ／ CIDR B ： ASN ＋ 国 指定するもの IP アドレス、または CIDR レンジ ホスティング事業者の ASN ＋ 稼働国のリスト 絞り込みの細かさ 細かい 自分の出口だけ 粗め 事業者ネットワーク単位 前提 出口 IP が固定されていること 利用事業者の ASN を把握していること 設定場所 どちらも Dev Dashboard の「allowed IPs」設定 「絞り込みの細かさ」は ASN 許可が事業者ネットワーク全体を対象にすることからの整理。登録できる件数の上限、IPv6 の扱い、Admin API 以外（Storefront API 等）への適用有無は、この記事には 記載なし 。詳細は公式ガイド「Restrict API access with an IP allowlist」を確認すること。 6 対応手順（3ステップ） 1 組織外インストールを棚卸し 組織外のストアに入れているアプリを すべて 洗い出す。 2 出口 IP の形を確認 静的なら IP／CIDR、動的なら ASN＋稼働国を決める。 3 Dev Dashboard で設定 各アプリの allowed IPs を設定。 2027/1/1 までに全アプリ で完了させる。 11/20 以降に新しく組織外へ入れる予定のアプリは、インストール前に設定しておく 。既存分は 1/1 が期限だが、1つの未設定で全アプリの組織外インストールに影響するため、まとめて早めに終わらせるのが安全。 7 技術者が押さえるべき5つのポイント 1. 判定軸は「インストール先が組織の内か外か」 同じカスタムアプリでも、所有組織内のストアだけなら対象外。代理店やパートナーがクライアントのストアに入れているケースが主な対象になる。 2. 1つの未設定が組織全体に波及 2027/1/1 以降、許可リスト未設定のアプリが1つでもあると、組織外ストアへの どのアプリのインストールにも影響 する。アプリ単位ではなくパートナー単位のリスクとして管理する。 3. 出口 IP の設計がそのまま設定方針になる 静的 IP／CIDR で絞るのか、ASN＋国で許可するのかはインフラ構成次第。サーバーレス構成では出口固定（NAT 等）にするか ASN 許可にするかの判断が要る。 4. 制限されるのは Admin API 呼び出し 記事では「アプリが Admin API を呼べるネットワークを限定する」と説明。他 API への適用、Webhook 受信側への影響、設定用 API の有無は 記載なし 。 5. インフラ変更時は許可リスト更新が運用タスクになる ホスティング移行・リージョン追加・NAT 変更などで出口が変わると、許可リスト外からの呼び出しになる。 インフラ変更のチェックリストに「Dev Dashboard の allowed IPs 更新」を組み込む のが現実的（ブロック時の具体的なエラー内容は記載なし。検証環境で確認すること）。 8 業務に活かせる3つのユースケース USE CASE 1 制作会社・代理店の「クライアント別カスタムアプリ」総点検 課題 複数クライアントのストアに自社組織所有のカスタムアプリを入れているが、どのアプリがどのストアに入っているか一覧化されていない。1つでも漏れると組織外インストール全体に影響する。 打ち手 組織外インストール中のアプリを棚卸し → アプリごとの出口 IP 形態を記録 → Dev Dashboard で許可リストを設定 → チェックリストで 1/1 までの完了を管理。 効果 期限切れによる新規導入ストップを回避。セキュリティ対応済みであることをクライアントに説明できる。 技術メモ マーチャント自身が作成したアプリ（Dev Dashboard／管理画面）は対象外なので、所有者で切り分けて棚卸し範囲を絞る。 USE CASE 2 サーバーレス構成アプリの出口設計見直し 課題 出口 IP が動的なホスティングで動くアプリで、どう許可リストを組むか決まっていない。 打ち手 まずはホスティング事業者の ASN ＋ 稼働国で許可して期限に間に合わせる。より厳しく絞りたい場合は出口 IP を固定する構成へ移行し、静的 IP／CIDR 指定に切り替える。 効果 期限内の対応と、段階的なセキュリティ強化の両立。 技術メモ 稼働国のリストはリージョン追加時に更新が必要。デプロイ先リージョンの変更をトリガーに許可リストを見直す運用にする。 USE CASE 3 マーチャント向けセキュリティ説明・提案資料への反映 課題 外部パートナーにアプリを入れてもらうマーチャントが、トークン漏えい時のリスクに不安を持っている。 打ち手 「組織外からインストールするカスタムアプリは IP 許可リスト必須」という Shopify 側の要件を提案書・セキュリティシートに明記し、自社アプリの許可設定内容（IP／ASN・国）を併記する。 効果 漏えいしたトークンが許可外ネットワークから悪用されにくいことを、プラットフォーム要件として説明できる。 技術メモ 許可リストは漏えい後の影響を絞る仕組みであり、トークン管理そのものの代替ではない点も合わせて伝える。 9 提案で使える1行サマリ 「組織外のストアに入れるカスタムアプリは、 11/20 から新規、1/1 から既存も IP 許可リスト必須 。 1つでも未設定があると全アプリの組織外インストールに影響するので、 棚卸し → Dev Dashboard で IP／CIDR または ASN＋国を設定 を年内に済ませる。」 source ： shopify.dev / changelog / ip-allowlists-are-now-required-for-custom-apps-installed-outside-your-organization 公開日 2026-11-11（Developer Changelog）