Sikkerhed i Shopify-apps: Bliv klar til tokenfristen i 2027

Shopify App Security: Prepare for the 2027 Token Deadline

Sikkerheden i dine Shopify-apps bør nu være en del af driftsplanen. Shopify har bekræftet, at offentlige apps, der kalder Admin API, skal skifte til offline-adgangstokens med udløb senest den 1. januar 2027. Som webshopejer har du normalt ikke kontrol over disse tokens, men din drift afhænger af de opgaver, de giver adgang til at udføre. Her får du en guide til at tjekke leverandørernes status, give udviklerne et konkret oplæg og undgå at forveksle en frist i App Store med et øjeblikkeligt driftsstop.

Sikkerhed i Shopify-apps: Hvad ændrer sig i januar 2027?

Shopifys sikkerhedsopdatering fra oktober bekræfter kravet om migrering og forklarer, hvordan det håndhæves trinvist. Afgrænsningen er vigtig: Den angivne frist gælder offentlige apps, der kalder Admin API. Gå ikke ud fra, at alle integrationer i din virksomhed har samme distributionsmodel eller er omfattet af samme migreringskrav.

1. januar 2027: Apps, der ikke overholder kravene, fjernes fra Shopify App Store og blokeres for nye installationer. Eksisterende installationer fungerer fortsat på dette trin.
15. januar 2027: Webshopejere, der bruger de berørte apps, får vist en advarsel i Shopify-administrationen.

Det er forskellige konsekvenser. At en eksisterende installation stadig kører i januar, er ikke et bevis på, at leverandøren har gennemført migreringen. Shopifys sikkerhedsmeddelelse beskriver også den senere håndhævelse. Bed din udvikler gennemgå hele den aktuelle tidsplan, inden en plan for udrulning godkendes.

Vi anbefaler, at du indhenter dokumentation for, at leverandøren er klar inden fristen, frem for at vente på en advarsel i administrationen. Det er sjældent ligetil at skifte en forretningskritisk app under tidspres, især når data også skal flyttes.

Hvad er et offline-adgangstoken med udløb?

Et offline-adgangstoken giver en app adgang til Shopifys Admin API, uden at webshopejeren aktivt bruger appen. Baggrundsopgaver som en planlagt datasynkronisering kan afhænge af den adgang.

Et offline-adgangstoken med udløb har en begrænset levetid. Appen skal håndtere den fortsatte autoriserede adgang i stedet for at regne med, at de samme adgangsoplysninger virker på ubestemt tid. For dig som webshopejer er det praktiske spørgsmål, om automatiske opgaver stadig kører, når et token udløber.

Shopifys meddelelse om migrering beskriver også ny adgang via client credentials. En backend kan bruge en anmodning, der er signeret med appens private nøgle, til at hente et nyt, kortlivet adgangstoken uden et refresh-token. Shopify præsenterer det som en måde at gendanne adgang på uden at vente på, at webshopejeren åbner appen igen.

Det er nyttigt, men en mekanisme til at gendanne adgang er ikke i sig selv et bevis på, at appen har implementeret den korrekt. En vellykket logintest siger ikke meget om en opgave, der kører om natten. Bed udviklerne teste appen, mens ingen har den åben.

Sikkerhed skal med, når du sammenligner apps

Nye guides til valg af apps fokuserer stadig typisk på funktioner og pris. AiTrillions sammenligning viser for eksempel bedømmelser, hovedfunktioner og startpriser side om side. Det er nyttige kriterier til den indledende udvælgelse, selv om en sammenligning skrevet af en leverandør ikke er en uafhængig test.

Hvis en app kræver adgang til Admin API, bør du tilføje endnu et indkøbskrav: Dokumentation for, at leverandøren kan opretholde sikker adgang gennem Shopifys sikkerhedsændringer. En lang funktionsliste besvarer ikke det spørgsmål. Det gør en høj anmeldelsesscore heller ikke.

Vi ville ikke fravælge en leverandør, fordi migreringen stadig er i gang. Vi ville derimod være bekymrede, hvis leverandøren ikke kunne identificere den berørte godkendelsesmetode eller fremlægge en plan for udrulning og test. Et ærligt teknisk svar er mere værd end en generel forsikring om, at der er styr på det hele.

Det har også betydning for valg af apps, når du lancerer en ny webshop. En app, der allerede er installeret i en eksisterende webshop, kan fortsætte med at virke i den første håndhævelsesfase, mens en ny installation kan blive blokeret. Få en udtrykkelig bekræftelse på, at appen er klar til nye webshops, hvis din ekspansion afhænger af de samme apps.

Lav en statusoversigt over sikkerheden i dine Shopify-apps

Start med de integrationer, hvor en fejl vil afbryde driften. Prioritér integrationen til ordreekspedition højere end en dekorativ widget i webshoppen. Formålet er at sikre stabil drift, ikke at udskifte hele dit systemlandskab.

Brug et fælles dokument med en navngiven ansvarlig for hver integration. Notér:

Betydning for driften: Hvad stopper eller bliver forkert, hvis integrationen mister API-adgang?
Teknisk ansvar: Hvilken leverandør eller intern udvikler har ansvaret for godkendelse og adgang?
Omfattet af kravet: Er integrationen en offentlig app, der kalder Admin API? Få det bekræftet af den ansvarlige.
Dokumentation for migrering: Leverandørens skriftlige status, planlagte udrulning og relevante testresultater.
Nødprocedure: Den godkendte manuelle proces eller metode til at gendanne driften, hvis baggrundsopgaver går i stå.

Gør usikkerhed synlig. “Afventer bekræftelse fra leverandøren” er en brugbar status. “Det går nok” er ikke. Hvis en integration falder uden for det angivne krav til offentlige apps, så spørg udvikleren, hvilke sikkerhedsregler der gælder, i stedet for at betragte den som fritaget for enhver gennemgang.

Send leverandørerne et spørgsmål, de kan besvare

Kalder jeres app Shopify Admin API med offline-adgangstokens, og er den omfattet af migreringskravet i januar 2027? Hvis ja, bedes I bekræfte jeres migreringsstatus, forklare, hvordan baggrundsopgaver gendanner adgang, uden at webshopejeren åbner appen, og beskrive, hvilke test der dækker både vores eksisterende installation og nye installationer.

Bed om et skriftligt svar, og vedhæft det i oversigten over integrationen. Dit driftsteam har brug for en vej til support og en nødprocedure. Det har ikke brug for adgang til private nøgler eller selve tokenværdierne.

Giv udviklerne accepttest, ikke bare en deadline

“Opdatér godkendelsen” er for upræcist til en forretningskritisk integration. Aftal, hvilke resultater der skal kunne dokumenteres, før udvikleren melder arbejdet færdigt.

Test opgaver uden brugeraktivitet

Bed udvikleren demonstrere en baggrundsopgave efter tokenudløb uden at åbne appen for at gendanne adgang. Vælg en opgave, der har betydning for din webshop, for eksempel lagersynkronisering. Kontrollér, at den bliver gennemført, og at fejl bliver meldt til nogen, der kan handle på dem.

Test afbrudte opgaver

Godkendelsen kan fejle under en opgave, ikke kun før den starter. Spørg, hvad der sker med delvist behandlede data. Kan opgaven genoptages uden at oprette dubletter eller springe ændringer over? Det er vores anbefalede acceptkriterium, ikke en påstand om, at Shopifys meddelelse foreskriver en bestemt metode til genforsøg.

Test gendannelse af adgang og håndtering af nøgler

Hvis appen bruger den nyligt annoncerede metode til at gendanne adgang med en privatnøglesigneret anmodning, så spørg, hvor nøglen opbevares, og hvem der kan udskifte den. Adgangsoplysninger skal holdes ude af supportsager og skærmbilleder. Bed udvikleren dokumentere, hvordan teamet gendanner adgang, hvis signeringsoplysningerne bliver utilgængelige eller skal udskiftes.

For en tredjepartsapp får du måske en testopsummering fra leverandøren frem for selv at udføre kontrollen. Det er helt rimeligt. Bed om dokumentation, der står mål med integrationens betydning. En kritisk lagerintegration kræver en grundigere gennemgang end en valgfri funktion.

IP-tilladelseslister øger sikkerheden, men kan også stoppe legitime opgaver

Shopify har også introduceret IP-tilladelseslister til Admin API. Udviklere kan indtaste serveradresser eller CIDR-intervaller i Dev Dashboard, teste dem mod den seneste trafik og aktivere håndhævelse. Shopify afviser GraphQL- og REST Admin API-anmodninger fra adresser uden for de tilladte intervaller med et 403-svar.

Shopify anbefaler kraftigt denne sikkerhedsforanstaltning til apps, der foretager kald fra statiske IP-adresser. Vores vurdering er, at den er værd at overveje sammen med tokenmigreringen, men den bør ikke aktiveres i blinde. En ufuldstændig tilladelsesliste kan blokere legitime baggrundsprocesser lige så effektivt som uønsket trafik.

Bed udvikleren tage højde for både baggrundsprocesser i produktion og infrastrukturen til gendannelse, inden håndhævelsen aktiveres. Hvis hostingmiljøet bruger skiftende udgående IP-adresser, skal der først etableres en understøttet netværksløsning. Gå ikke ud fra, at en IP-adresse observeret under en test forbliver uændret.

Bed udviklerne skelne mellem anmodninger blokeret på grund af netværksregler og fejl på grund af udløbne tokens i deres fejlfindingsvejledning. Ellers risikerer teamet at bruge tid på at udskifte adgangsoplysninger, når det reelle problem er, hvor anmodningen kommer fra.

Deklarationer af netværksadgang løser et andet problem

Den nye sektion for netværksadgang i shopify.app.toml giver udviklere mulighed for at deklarere eksterne værter og servere. Deklarerede navigationsværter kan undgå Shopifys advarsel om ekstern navigation, mens serverdeklarationer hjælper Shopify med at identificere mistænkelig aktivitet.

Disse deklarationer erstatter hverken tokenmigrering eller en IP-tilladelsesliste til Admin API. Bed udvikleren forklare, hvilken sikkerhedsforanstaltning der ændres, og hvorfor. Godkend kun navigationsværter, som appen reelt har brug for. En advarsel bør først fjernes, når destinationen er vurderet som betroet, ikke blot for at gøre alle udgående links mindre forstyrrende.

Det vigtigste at tage med

Offentlige apps, der kalder Admin API, skal skifte til offline-adgangstokens med udløb senest den 1. januar 2027.
Den indledende fjernelse fra App Store og blokering af nye installationer betyder ikke, at eksisterende installationer straks holder op med at virke.
Bed leverandørerne om dokumentation, og test opgaver uden brugeraktivitet, især for kritiske integrationer.
Gennemgå IP-tilladelseslister grundigt, og behandl netværksdeklarationer som en separat sikkerhedsforanstaltning.

Kilder

Skal vi tage os af det?

Vi er Shopify Premier Partner og arbejder hver dag med performance, konverteringsoptimering og udvikling af webshops, der tjener sig hjem. Book en gratis gennemgang af din webshop, så viser vi dig de tre forbedringer, vi ville implementere først.

Ofte stillede spørgsmål

Hvad er Shopifys frist for offline-adgangstokens med udløb?

Offentlige apps, der kalder Admin API, skal migrere senest den 1. januar 2027. Ifølge Shopify bliver apps, der ikke overholder kravene, på dette trin fjernet fra App Store og blokeret for nye installationer, mens eksisterende installationer fortsat fungerer.

Holder mine eksisterende Shopify-apps op med at virke den 1. januar 2027?

Ikke i den første håndhævelsesfase, som Shopify beskriver. Eksisterende installationer fungerer fortsat på dette trin, og berørte webshopejere får vist en advarsel i administrationen fra den 15. januar. Spørg din leverandør om migreringsstatus, og tjek Shopifys fulde tidsplan for den senere håndhævelse.

Skal webshopejere selv udskifte tokens til Shopify-apps?

For offentlige tredjepartsapps håndterer app-leverandøren normalt godkendelse og adgang. Som webshopejer bør du få leverandøren til at bekræfte, om appen er omfattet, og hvad migreringsstatus er. Integrationer, der vedligeholdes internt, skal gennemgås af den ansvarlige udvikler.

Hvad gør en IP-tilladelsesliste til Shopify Admin API?

Den begrænser anmodninger med en apps tokens til bestemte IP-adresser eller CIDR-intervaller. Shopify afviser anmodninger fra adresser uden for disse intervaller med et 403-svar. Udviklerne bør teste legitim trafik, før håndhævelsen aktiveres.