Shopify rende obbligatoria l’IP allowlisting per le app pubbliche che usano l’Admin API

• Shopify rende obbligatoria l'IP allowlisting per le app pubbliche che usano l'Admin API
• Scadenza 20 novembre 2026; 12 novembre per le app con bulk operation
• Richieste da IP non approvati ricevono HTTP 403; app fuori regola rimosse dall'App Store
• Entro il 1° gennaio 2027 serve anche la migrazione ai token offline con scadenza

Shopify rende obbligatoria l’IP allowlisting per le app pubbliche che chiamano la sua Admin API. Il controllo, introdotto come funzione opzionale il 27 ottobre, diventa un requisito. Gli sviluppatori devono attivarlo entro il 20 novembre 2026, alle 23:59 ET. Per le app che usano le bulk operation la scadenza è anticipata al 12 novembre, alla stessa ora.

Come funziona il controllo

Shopify verificherà l’indirizzo IP di origine delle richieste a GraphQL Admin API e REST Admin API effettuate con i token dell’app. Un token valido non basterà più. Le richieste che arrivano da indirizzi o reti non approvati ricevono una risposta HTTP 403. Vengono respinte anche quelle per cui Shopify non riesce a confermare l’origine.

La misura serve a ridurre i danni in caso di furto di credenziali. Un attaccante con un token rubato, ma fuori dalle reti autorizzate, non potrebbe usarlo. La fonte ricorda il caso di una violazione dell’Internet Archive, avvenuta più volte per token API mai ruotati.

Cosa possono configurare gli sviluppatori

• Indirizzi IP pubblici e intervalli, per le infrastrutture statiche.
• Reti di hosting tramite ASN (autonomous system number), per chi ha indirizzi variabili. Si possono indicare fino a 10 ASN.
• Una restrizione per un massimo di 10 Paesi.

Le regole su ASN e Paesi sono più ampie dei singoli indirizzi dei server. Ogni app deve scegliere tra IP e reti: salvare un tipo di regola sostituisce l’altro. La configurazione si trova in Settings, nel Dev Dashboard. Shopify consiglia di provarla sul traffico recente prima di far scattare l’applicazione. Bisogna controllare che le richieste legittime non vengano bloccate e confermare che una richiesta esterna fallisca.

Scadenze e conseguenze

Le app che non rispettano il termine del 20 novembre saranno rimosse dallo Shopify App Store e non potranno ricevere nuove installazioni. Le installazioni esistenti continueranno a funzionare fino al 1° aprile 2027. Da quella data le richieste all’Admin API falliranno. Le query e le mutation in bulk hanno il limite anticipato del 12 novembre. I merchant vedranno avvisi nell’area di amministrazione dal 15 gennaio.

La fonte segnala una discrepanza nell’annuncio ufficiale: le istruzioni dettagliate sulle bulk operation indicano il 12 novembre, mentre il riepilogo cita l’11 novembre.

I limiti della misura

L’allowlisting non sostituisce la protezione delle credenziali. Un attaccante che opera da una rete approvata resterebbe entro il perimetro consentito. Separatamente, le app pubbliche devono passare ai token offline con scadenza (expiring offline tokens) entro il 1° gennaio 2027. Si aggiunge così un limite temporale a quello di rete.

Cosa fare

• Configurare l’allowlisting nel Dev Dashboard entro le scadenze indicate.
• Verificare la configurazione sul traffico reale prima di attivare il blocco.
• Pianificare la migrazione ai token offline con scadenza entro il 1° gennaio 2027.

Fonte: Cyber Security News · Foto: Cyber Security News