Shopify Wajibkan IP Allowlisting untuk Public App, Developer Harus Patuh Sebelum 20 November 2026

Shopify memperketat keamanan platform dengan mewajibkan seluruh aplikasi publik (public app) yang menggunakan Admin API menerapkan mekanisme IP allowlisting. Kebijakan ini dirancang untuk mengurangi risiko penyalahgunaan token akses apabila kredensial aplikasi bocor atau dicuri oleh pihak yang tidak berwenang.

Pengumuman tersebut disampaikan Shopify melalui Developer Changelog pada 5 November 2026. Developer aplikasi publik harus mengaktifkan pembatasan alamat IP paling lambat 20 November 2026 pukul 23.59 waktu Eastern Time (ET). Sementara itu, aplikasi yang menggunakan fitur operasi massal atau bulk operations memiliki tenggat lebih awal, yaitu 12 November 2026 pukul 23.59 ET.

Kebijakan ini mengubah fitur IP allowlisting yang sebelumnya diperkenalkan pada 27 Oktober menjadi persyaratan wajib bagi aplikasi publik yang menggunakan Admin API.

Token API yang Bocor Tidak Bisa Digunakan dari Sembarang Lokasi

Token akses API berfungsi sebagai kredensial yang memungkinkan aplikasi berkomunikasi dengan layanan Shopify. Jika token tersebut dicuri melalui kebocoran log, dependensi yang dikompromikan, atau kesalahan konfigurasi, penyerang berpotensi menggunakannya untuk mengakses API sesuai hak akses yang dimiliki token.

Sebelum pembatasan berbasis alamat IP diterapkan, kepemilikan token yang valid dapat menjadi salah satu faktor yang memungkinkan permintaan API dilakukan dari infrastruktur lain.

Melalui IP allowlisting, Shopify menambahkan pemeriksaan terhadap sumber koneksi. Setiap permintaan GraphQL Admin API dan REST Admin API yang menggunakan token aplikasi akan diperiksa berdasarkan alamat IP atau jaringan yang telah diizinkan.

Jika permintaan berasal dari luar daftar tersebut, Shopify akan menolaknya dengan respons HTTP 403 Forbidden. Permintaan juga dapat ditolak ketika Shopify tidak dapat memverifikasi alamat sumbernya.

Dengan mekanisme ini, token yang dicuri tidak otomatis dapat digunakan dari server atau jaringan milik penyerang.

Namun, perlindungan tersebut bukan berarti token yang bocor menjadi sepenuhnya tidak berguna. Penyerang yang sudah memiliki akses ke infrastruktur atau jaringan yang diizinkan masih berpotensi menyalahgunakannya. Karena itu, IP allowlisting perlu dipadukan dengan perlindungan kredensial lainnya.

Tenggat Berbeda untuk Bulk Operations dan Aplikasi Publik Lainnya

Shopify menetapkan tahapan penegakan kebijakan berdasarkan jenis penggunaan API.

Aplikasi publik yang menjalankan operasi massal harus mengaktifkan IP allowlisting sebelum 12 November 2026. Setelah tenggat tersebut, permintaan bulk query dan bulk mutation dari aplikasi yang belum menerapkan pembatasan akan diblokir.

Sementara itu, seluruh public app lain yang menggunakan Admin API harus memenuhi persyaratan sebelum 20 November 2026.

Aplikasi yang tidak mematuhi tenggat 20 November akan menghadapi beberapa konsekuensi:

• Tidak lagi tercantum di Shopify App Store.
• Tidak dapat menerima instalasi baru.
• Ditandai dalam menu Settings > Apps pada dashboard merchant.
• Merchant akan mulai menerima peringatan di dashboard pada 15 Januari 2027.
• Permintaan Admin API dari instalasi yang sudah ada akan mulai gagal pada 1 April 2027.

Artinya, aplikasi yang terlambat melakukan migrasi tidak langsung berhenti beroperasi untuk seluruh pengguna pada 20 November. Instalasi yang sudah ada masih dapat berjalan hingga tahapan penegakan berikutnya, dengan batas akhir 1 April 2027 untuk permintaan Admin API.

Shopify juga menegaskan bahwa kebijakan ini berlaku untuk public app. Custom app serta aplikasi yang dibuat merchant melalui Dev Dashboard atau Shopify Admin tidak termasuk dalam kewajiban yang sama.

Shopify Mendukung IP Statis dan Jaringan ASN

Shopify menyediakan dua pilihan untuk menentukan sumber koneksi yang diperbolehkan.

1. Mengizinkan alamat IP atau rentang CIDR

Pilihan ini cocok untuk aplikasi yang berjalan pada server dengan alamat IP publik statis. Developer dapat memasukkan alamat IP server atau rentang jaringan dalam format CIDR.

Metode ini lebih spesifik karena akses token hanya dapat digunakan dari alamat yang telah ditentukan.

2. Mengizinkan jaringan berdasarkan ASN

Bagi aplikasi yang menggunakan infrastruktur serverless atau layanan hosting dengan alamat IP dinamis, Shopify menyediakan dukungan Autonomous System Number (ASN).

ASN merupakan identitas jaringan yang dikelola oleh suatu organisasi, seperti penyedia layanan hosting atau operator jaringan.

Developer dapat mengizinkan hingga 10 ASN dan membatasi akses berdasarkan maksimal 10 negara. Permintaan API hanya diterima jika sumber koneksinya memenuhi aturan ASN dan negara yang telah ditentukan.

Meski lebih fleksibel, metode ASN memiliki cakupan lebih luas daripada daftar alamat IP individual. Infrastruktur penyedia hosting biasanya digunakan bersama oleh banyak pelanggan. Karena itu, Shopify menyarankan penggunaan alamat IP spesifik jika memungkinkan dan pembatasan negara ketika menggunakan ASN.

Developer juga harus memilih salah satu jenis daftar, yaitu alamat IP atau jaringan ASN. Menyimpan salah satu jenis akan menggantikan daftar jenis lainnya.

Cara Mengaktifkan IP Allowlisting di Shopify

Pengaturan IP allowlisting tersedia melalui Dev Dashboard Shopify. Developer dapat mengaktifkannya dengan tahapan berikut:

1. Buka aplikasi melalui Shopify Dev Dashboard.
2. Masuk ke menu Settings.
3. Temukan bagian IP allowlist, lalu pilih Manage.
4. Pilih metode IP addresses atau Networks (ASN).
5. Masukkan alamat IP, rentang CIDR, atau ASN sesuai infrastruktur aplikasi.
6. Gunakan fitur Run test untuk memeriksa lalu lintas terbaru.
7. Pastikan koneksi sah milik aplikasi tidak ikut terblokir.
8. Aktifkan Enforcement dan simpan konfigurasi.

Shopify menyediakan pengujian terhadap lalu lintas 30 hari terakhir agar developer dapat mengetahui apakah ada alamat sumber yang seharusnya diizinkan tetapi berpotensi terblokir.

Setelah konfigurasi diterapkan, developer dapat menguji permintaan Admin API dari luar daftar yang diizinkan. Respons yang diharapkan adalah HTTP 403.

Pengujian sebelum mengaktifkan enforcement penting untuk mencegah gangguan operasional akibat alamat IP server yang belum dimasukkan ke daftar.

IP Allowlisting Bukan Pengganti Rotasi dan Masa Berlaku Token

Shopify juga menekankan bahwa pembatasan alamat IP perlu dipadukan dengan pengelolaan token akses yang baik.

Dalam pembaruan keamanan terpisah, Shopify mewajibkan public app yang menggunakan Admin API bermigrasi ke expiring offline access tokens paling lambat 1 Januari 2027.

Kedua mekanisme tersebut memiliki fungsi berbeda. IP allowlisting membatasi lokasi jaringan tempat token dapat digunakan, sedangkan token yang memiliki masa berlaku membatasi berapa lama kredensial dapat digunakan.

Menggabungkan keduanya dapat mempersempit peluang penyalahgunaan apabila kredensial aplikasi terekspos.

Developer juga perlu memantau log API secara berkala untuk menemukan permintaan dari alamat yang tidak dikenal serta memastikan perubahan infrastruktur tidak membuat koneksi aplikasi yang sah terblokir.

Keamanan Ekosistem Aplikasi Menjadi Prioritas Shopify

Kebijakan baru ini memperlihatkan bahwa keamanan platform e-commerce tidak hanya bergantung pada perlindungan akun merchant. Aplikasi pihak ketiga yang memperoleh akses ke Admin API juga menjadi bagian penting dari rantai keamanan.

Token API yang bocor dapat menjadi pintu masuk penyalahgunaan data dan fungsi administratif apabila tidak dilindungi dengan pembatasan tambahan.

Dengan mewajibkan IP allowlisting, Shopify berupaya memastikan token aplikasi hanya dapat digunakan dari infrastruktur yang telah dikenali dan disetujui.

Bagi developer, perubahan ini bukan sekadar penyesuaian konfigurasi. Mereka perlu mengevaluasi arsitektur hosting, jalur komunikasi API, pengelolaan token, serta prosedur pemantauan agar aplikasi tetap berfungsi tanpa mengorbankan keamanan data merchant.