Shopify บังคับแอปสาธารณะเปิด IP allowlist ก่อนเรียก Admin API ภายใน 20 พ.ย. 2569 — คำขอจาก IP นอกรายการถูกปฏิเสธ แม้ token ถูกต้อง ลดผลของ token ที่ถูกขโมย
Shopify บังคับให้แอปสาธารณะที่เรียก Admin API เปิด IP allowlist ภายใน 20 พ.ย. 2569 เวลา 23:59 น. ตามเวลาฝั่งตะวันออกสหรัฐฯ ส่วนแอปที่ใช้ bulk operation มีเส้นตายเร็วกว่า คือ 12 พ.ย. เมื่อเปิดใช้ คำขอ GraphQL และ REST Admin API ที่ใช้ token ของแอปจากนอกที่อยู่ที่อนุมัติจะได้ HTTP 403 แม้ token ถูกต้อง มาตรการนี้ลดผลของ token ที่ถูกขโมย แต่ไม่กันผู้โจมตีที่อยู่ในเครือข่ายที่อนุมัติ แอปที่พลาดเส้นตายจะถูกถอดจาก App Store นักพัฒนาควรตั้งค่าใน Dev Dashboard และทดสอบกับทราฟฟิกจริงก่อนบังคับใช้