摘要：11 月 12 日，一大批 Shopify 公共应用的批量接口会先停下来。11 月 20 日之后，没开 IP 白名单的应用直接从应用商店下架、禁止新装。到 2027 年 4 月 1 日，连已经装上的应用都会彻底断掉 Admin API。

Shopify 公共应用 IP 白名单 11 月 20 日成硬门槛：批量接口 12 日先停，逾期应用下架禁装

11 月 12 日，一大批 Shopify 公共应用的批量接口会先停下来。11 月 20 日之后，没开 IP 白名单的应用直接从应用商店下架、禁止新装。到 2027 年 4 月 1 日，连已经装上的应用都会彻底断掉 Admin API。

很多卖家还不知道这件事。ERP 不同步、库存对不上账，第一反应是查服务商，很少有人想到是平台改了接口规则。这次不一样，规则是白纸黑字写在开发者文档里的，日期一天天逼近，该确认的事得赶紧确认。

一、两条硬线

Shopify 把 IP 白名单从可选功能变成了公共应用的硬性要求。据网易科技等媒体报道，这项控制最初在 10 月 27 日作为安全功能上线，如今明确转为强制：所有调用 Admin API 的公共应用，必须在 2026 年 11 月 20 日 23:59（美东时间）前开启 IP 允许列表。

跑批量操作的应用要更早。bulk queries 和 bulk mutations 的截止时间是 11 月 12 日 23:59。也就是说，11 月 12 日之后，没有配置白名单的应用，批量查询和批量变更直接执行失败。

验证逻辑也变了。以前 Shopify 只看令牌是否有效，现在还要看请求从哪来：携带应用令牌的 GraphQL Admin API 和 REST Admin API 请求，来源 IP 不在批准名单内，一律返回 403。无法确认来源地址的请求，同样会被拒。

错过 11 月 20 日这个节点，后果是阶梯式的。第一步，应用从 Shopify 应用商店下架，禁止新的安装。

第二步，2027 年 1 月 15 日起，商户在后台 Settings > Apps 里会看到安全标记，提示该应用未达到平台要求。已安装的应用此时还能跑。

第三步，也是真正断掉的那一刀：2027 年 4 月 1 日起，未合规应用的 Admin API 请求直接失败，存量安装也停。到那时，ERP 拉不了订单、改不了库存，整个链路一起停摆。

另有一条并行的时间线：公共应用须在 2027 年 1 月 1 日前迁移到会过期的离线令牌。白名单管来源，令牌有效期管时长，两层加在一起，长效凭证的滥用空间被压到很小。

核心数据一览

有开发者会问：应用跑在云函数上，出口 IP 天天变，怎么写白名单？Shopify 给了两条路。

静态基础设施，直接填公网 IP 地址和地址段。动态场景，可以用自治系统号（ASN）批准托管网络，最多列 10 个 ASN，并把访问范围收窄到最多 10 个国家。对 serverless 架构来说，ASN 加国家列表是官方认可的替代方案。

配置入口在 Dev Dashboard 的 Settings 里。注意 IP 地址和网络规则是二选一，保存其中一种会替换另一种。Shopify 建议开发者先拿近期流量做测试，确认合法请求不会被拦，再验证外部请求确实失败，最后才正式启用。

官方给的理由很直接：令牌泄露后，攻击者只能从开发者自己的服务器地址调用，令牌在黑市上就不值钱了。此前未轮换的 API 令牌曾让攻击者反复突破 Internet Archive 的防线，这次的网络限制是往同一道伤口上又加了一层绷带。

对卖家来说，真正的麻烦在于失败是静默的。批量操作失败不会在后台弹错误提示，它的第一个表现往往是超卖或者库存不同步——等发现的时候，损失已经发生了。

要留意的一个反面：白名单不是万能的。攻击者如果已经在获批网络内部活动，依然停留在允许边界之内。凭证本身的安全，还是要开发者自己看管。

趋势与结构拆解

ERP、OMS、PIM、库存对账、评价管理、建站插件，卖家日常用的工具大多是公共应用，全部在这条规则覆盖范围内。

平台不会替你逐家通知服务商。商户能做的是主动出击：向每一家服务商书面确认两件事——是否已开启 IP 白名单，生效日期是哪天。拿到书面回复再安心，口头说「在弄了」不算数。

自建应用和自定义应用不受这轮限制影响，但用的服务商工具多，就多一分暴露。距离 11 月 12 日的批量接口截止只剩几天，先问批量功能重度依赖的那几家，再覆盖其余。

规则本身不复杂，复杂的是链路上的每一个环节都要有人去确认。你的服务商清单，今天过一遍了吗？

卖家应对与观察方向