Sikkerhet i Shopify-apper: Bli klar for tokenfristen i 2027

Shopify App Security: Prepare for the 2027 Token Deadline

Sikkerhet i Shopify-apper bør nå inn i driftsplanen. Shopify har bekreftet at offentlige apper som gjør kall til Admin API, må gå over til offline-tilgangstokener med utløp innen 1. januar 2027. Som nettbutikkeier styrer du vanligvis ikke disse tokenene, men driften er avhengig av jobbene de gir tilgang til. Her viser vi hvordan du sjekker om leverandørene er klare, gir utviklerne et tydelig oppdrag og unngår å forveksle en frist i App Store med umiddelbar driftsstans.

Sikkerhet i Shopify-apper: Hva endres i januar 2027?

Shopifys sikkerhetsoppdatering fra oktober bekrefter migreringskravet og forklarer hvordan det håndheves trinnvis. Det er viktig å forstå omfanget: Den oppgitte fristen gjelder offentlige apper som gjør kall til Admin API. Ikke anta at alle integrasjoner i virksomheten har samme distribusjonsmodell eller migreringskrav.

1. januar 2027: Apper som ikke oppfyller kravene, fjernes fra Shopify App Store og sperres for nye installasjoner. Eksisterende installasjoner fortsetter å fungere på dette stadiet.
15. januar 2027: Nettbutikkeiere som bruker berørte apper, får en advarsel i Shopify-administrasjonen.

Dette er ulike konsekvenser. At en eksisterende installasjon fortsetter å kjøre i januar, er ikke et bevis på at leverandøren har fullført migreringen. Shopifys sikkerhetskunngjøring beskriver også senere håndheving. Be utvikleren sjekke hele den gjeldende tidsplanen før en utrullingsplan godkjennes.

Vi anbefaler å innhente dokumentasjon på at leverandørene er klare før fristen, i stedet for å vente på en advarsel i administrasjonen. Å bytte en forretningskritisk app under tidspress er sjelden enkelt, særlig når dataene også må flyttes.

Hva er et offline-tilgangstoken med utløp?

Et offline-tilgangstoken lar en app få tilgang til Shopifys Admin API uten at en nettbutikkeier bruker appen aktivt. Bakgrunnsjobber, som planlagt datasynkronisering, kan være avhengige av denne tilgangen.

Et offline-tilgangstoken med utløp har begrenset levetid. Appen må håndtere fornyelse av autorisert tilgang, fremfor å anta at den samme legitimasjonen vil fungere på ubestemt tid. For nettbutikkeiere er det praktiske spørsmålet om automatiserte jobber fortsatt kjører når legitimasjonen utløper.

Shopifys kunngjøring om migreringen beskriver også en ny tilgangsmåte med klientlegitimasjon. En backend kan bruke en forespørsel signert med appens private nøkkel til å hente et nytt, kortvarig tilgangstoken uten et oppdateringstoken. Shopify presenterer dette som en måte å gjenopprette tilgang på uten å vente på at nettbutikkeieren åpner appen igjen.

Det er nyttig, men at det finnes en mekanisme for å gjenopprette tilgang, beviser ikke at appen har implementert den riktig. En vellykket innloggingstest sier lite om en jobb som kjører om natten. Be utviklerne teste appen mens ingen har den åpen.

Appsammenligninger må også ta opp sikkerhet

Nye guider til valg av apper legger fortsatt gjerne størst vekt på funksjoner og pris. AiTrillions sammenligning viser for eksempel vurderinger, hovedfunksjoner og startpriser side om side. Dette er nyttige kriterier i en første vurdering, selv om en leverandørskrevet sammenligning ikke er en uavhengig test.

For en app som trenger tilgang til Admin API, bør du legge til et krav ved innkjøp: dokumentasjon på at leverandøren kan opprettholde tilgangen på en sikker måte gjennom Shopifys sikkerhetsendringer. En lang funksjonsliste svarer ikke på det spørsmålet. Det gjør heller ikke en høy brukervurdering.

Vi ville ikke avvist en leverandør fordi migreringen fortsatt pågår. Vi ville derimot blitt bekymret hvis leverandøren ikke kunne identifisere den berørte autentiseringsmetoden eller legge frem en plan for utrulling og testing. Et ærlig teknisk svar er mer verdt enn en generell forsikring om at alt er under kontroll.

Dette påvirker også valg av apper ved lansering av en ny nettbutikk. En app som allerede er installert i en eksisterende butikk, kan fortsette å fungere i den første håndhevingsfasen, mens en ny installasjon kan bli blokkert. Hvis ekspansjonen er avhengig av de samme appene, må du få uttrykkelig bekreftet at de er klare for nye butikker.

Lag en oversikt over sikkerhetsstatusen til Shopify-appene

Start med integrasjonene der en feil ville forstyrret driften. Prioriter integrasjonen for ordrebehandling og vareutsending foran en dekorativ widget i nettbutikken. Dette handler om driftskontinuitet, ikke om å bytte ut hele appoppsettet.

Bruk et delt dokument med en navngitt ansvarlig for hver integrasjon. Registrer:

Betydning for driften: Hva stopper eller blir feil hvis integrasjonen mister API-tilgang?
Teknisk ansvar: Leverandøren eller den interne utvikleren som har ansvar for autentisering.
Om kravet gjelder: Om integrasjonen er en offentlig app som gjør kall til Admin API, bekreftet av den ansvarlige.
Dokumentasjon på migreringen: Leverandørens skriftlige status, planlagt utrulling og relevante testresultater.
Reserveplan: Den godkjente manuelle prosessen eller fremgangsmåten for gjenoppretting hvis bakgrunnsjobber stopper opp.

Gjør usikkerheten synlig. «Venter på bekreftelse fra leverandøren» er en nyttig status. «Sannsynligvis i orden» er det ikke. Hvis en integrasjon faller utenfor det oppgitte kravet til offentlige apper, bør du spørre utvikleren hvilke sikkerhetsregler som faktisk gjelder, fremfor å behandle integrasjonen som unntatt fra all gjennomgang.

Send leverandørene et spørsmål de kan svare på

Gjør appen deres kall til Shopify Admin API med offline-tilgangstokener, og gjelder migreringskravet i januar 2027 for den? Hvis ja, ber vi dere bekrefte status for migreringen, hvordan bakgrunnsjobber gjenoppretter tilgang uten at nettbutikkeieren åpner appen, og hvilke tester som dekker vår eksisterende installasjon og nye installasjoner.

Be om et skriftlig svar og legg det ved i integrasjonsoversikten. Driftsteamet trenger en kontaktvei til support og en reserveplan. Det trenger ikke tilgang til private nøkler eller selve tokenene.

Gi utviklerne akseptansetester, ikke bare en frist

«Oppdater autentiseringen» er for vagt for en forretningskritisk integrasjon. Bli enige om resultater som kan verifiseres, før utvikleren erklærer arbeidet ferdig.

Test jobber uten brukeraktivitet

Be utvikleren demonstrere en bakgrunnsoperasjon etter at tokenet har utløpt, uten å åpne appen for å gjenopprette tilgang. Velg en operasjon som er viktig for nettbutikken, for eksempel synkronisering av lagerbeholdning. Bekreft at den fullføres, og at eventuelle feil varsles til noen som kan følge dem opp.

Test avbrutte jobber

Autentisering kan feile underveis i en jobb, ikke bare før den starter. Spør hva som skjer med arbeid som er delvis utført. Kan jobben fortsette uten å opprette duplikater eller hoppe over endringer? Dette er vårt anbefalte akseptansekriterium, ikke en påstand om at Shopifys kunngjøring krever en bestemt løsning for nye forsøk.

Test gjenoppretting av tilgang og nøkkelhåndtering

Hvis appen bruker den nylig kunngjorte gjenopprettingsmetoden med signering via privat nøkkel, bør du spørre hvor nøkkelen lagres, og hvem som kan rotere den. Legitimasjon skal ikke deles i supportsaker eller skjermbilder. Be utvikleren dokumentere hvordan teamet gjenoppretter tilgangen hvis signeringslegitimasjonen blir utilgjengelig eller må byttes ut.

For en tredjepartsapp kan du få en testoppsummering fra leverandøren i stedet for å utføre kontrollene selv. Det er helt rimelig. Be om dokumentasjon som står i forhold til hvor avhengig driften er av appen. En kritisk lagerintegrasjon fortjener grundigere kontroll enn en valgfri funksjon.

IP-tillatelseslister gir ekstra beskyttelse, men kan også stoppe legitim trafikk

Shopify har også innført IP-tillatelseslister for Admin API. Utviklere kan legge inn serveradresser eller CIDR-områder i Dev Dashboard, teste dem mot nylig trafikk og aktivere håndheving. Shopify avviser GraphQL- og REST Admin API-forespørsler fra adresser utenfor de tillatte områdene med et 403-svar.

Shopify anbefaler dette sikkerhetstiltaket på det sterkeste for apper som gjør kall fra statiske IP-adresser. Vår vurdering: Det er verdt å se på dette samtidig med tokenmigreringen, men ikke aktiver det ukritisk. En ufullstendig tillatelsesliste kan blokkere legitime bakgrunnsprosesser like effektivt som uønsket trafikk.

Be utvikleren kartlegge bakgrunnsprosesser i produksjon og infrastrukturen for gjenoppretting før håndhevingen aktiveres. Hvis driftsmiljøet bruker skiftende utgående IP-adresser, må dere først etablere en støttet nettverksløsning. Ikke anta at en IP-adresse observert under testing vil forbli uendret.

Be utviklerne skille mellom forespørsler som blokkeres på grunn av nettverkstilgang, og feil som skyldes utløpte tokener, i feilsøkingsdokumentasjonen. Ellers kan teamet bruke tid på å bytte legitimasjon når det egentlige problemet er hvor forespørselen kommer fra.

Deklarasjoner for nettverkstilgang løser et annet problem

Den nye delen for nettverkstilgang i shopify.app.toml lar utviklere deklarere eksterne verter og servere. Navigasjon til deklarerte verter kan hoppe over Shopifys advarsel om ekstern navigasjon, mens serverdeklarasjoner hjelper Shopify med å identifisere mistenkelig aktivitet.

Disse deklarasjonene erstatter verken tokenmigrering eller en IP-tillatelsesliste for Admin API. Be utvikleren forklare hvilket sikkerhetstiltak som endres, og hvorfor. For navigasjonsverter bør dere bare godkjenne destinasjoner appen faktisk trenger. Å fjerne en advarsel bør bygge på en vurdering av tillit, ikke et ønske om færre varsler ved alle utgående lenker.

Dette bør du ta med deg

Offentlige apper som gjør kall til Admin API, må gå over til offline-tilgangstokener med utløp innen 1. januar 2027.
At appene først fjernes fra App Store og sperres for nye installasjoner, betyr ikke at eksisterende installasjoner slutter å fungere umiddelbart.
Be leverandørene om dokumentasjon og test jobber uten brukeraktivitet, særlig for kritiske integrasjoner.
Gå nøye gjennom IP-tillatelseslister, og behandle nettverksdeklarasjoner som et eget sikkerhetstiltak.

Kilder

Vil du ha hjelp med dette?

Vi er Shopify Premier Partner og jobber med dette hver dag: ytelse, konverteringsoptimalisering og utvikling av nettbutikker som lønner seg. Bestill en gratis gjennomgang av nettbutikken, så viser vi deg de tre forbedringene vi ville gjennomført først.

Ofte stilte spørsmål

Hva er Shopifys frist for offline-tilgangstokener med utløp?

Offentlige apper som gjør kall til Admin API, må migrere innen 1. januar 2027. Shopify opplyser at apper som ikke oppfyller kravene, da fjernes fra App Store og sperres for nye installasjoner, mens eksisterende installasjoner fortsetter å fungere.

Vil Shopify-appene jeg allerede bruker, slutte å fungere 1. januar 2027?

Ikke i den første håndhevingsfasen som beskrives i Shopifys kunngjøring. Eksisterende installasjoner fortsetter å fungere på dette stadiet, og berørte nettbutikkeiere får en advarsel i administrasjonen fra 15. januar. Spør leverandøren om status for migreringen, og sjekk Shopifys fullstendige tidsplan for senere håndheving.

Må nettbutikkeiere bytte tilgangstokener for Shopify-apper selv?

For offentlige tredjepartsapper håndterer appleverandøren normalt autentiseringen. Nettbutikkeiere bør få leverandøren til å bekrefte om kravet gjelder, og hva status for migreringen er. Integrasjoner som vedlikeholdes internt, må gjennomgås av den ansvarlige utvikleren.

Hva gjør en IP-tillatelsesliste for Shopify Admin API?

Den begrenser forespørsler som bruker appens tokener, til bestemte IP-adresser eller CIDR-områder. Shopify avviser forespørsler fra adresser utenfor disse områdene med et 403-svar. Utviklere bør teste legitim trafikk før håndhevingen aktiveres.