Shopify, Yetkisiz Yönetici API Erişimini Önlemek için Genel Uygulamalar için IP İzin Listesini Zorunlu Kıldı

Shopify, çalıntı erişim belirteçlerinin kullanımını sınırlamak için bir güvenlik kontrolü ekleyerek, Yönetici API'sini çağıran herkese açık uygulamalar için IP izin listelemesini zorunlu kılıyor. Geliştiriciler, kontrolü 20 Kasım 2026 'ya kadar saat 23:59' a kadar etkinleştirmelidir. Toplu işlemleri kullanan uygulamalar aynı zamanda 12 Kasım gibi daha erken bir son tarihle karşı karşıya. Değişiklik, 27 Ekim'de tanıtılan bir güvenlik özelliğini bir zorunluluğa dönüştürüyor. Shopify, yalnızca geçerli bir token'a güvenmek yerine API isteklerinin nereden geldiğini kontrol edecektir. Bu, çalınan kimlik bilgilerinin saldırganlara bulut hizmetlerine erişim sağlayabileceği Cybersecuritynews.com'un bulut API'si güvenlik kılavuzunda yer alan riski ele almaktadır. İzin listesi etkinleştirildikten sonra Shopify, uygulamanın belirteçlerini kullanarak GraphQL Admin API ve REST Admin API isteklerinin kaynak IP'sini kontrol eder. Onaylanmış dış adreslerden veya ağlardan gelen istekler bir http 403 yanıtı alır. Shopify, kaynak adresini onaylayamadığında istekleri de reddeder. 20 Kasım tarihini kaçıran uygulamalar Shopify App Store'dan kaldırılır ve yeni kurulumlar engellenir. Mevcut kurulumlar, Yönetici API isteklerinin başarısız olacağı 1 Nisan 2027 tarihine kadar çalışmaya devam edebilir. Bununla birlikte, toplu sorgular ve mutasyonlar 12 Kasım'da sona erecek. Dükkânlar 15 Ocak'tan itibaren yönetici uyarıları alacak. Politika, Cybersecuritynews.com'un İnternet Arşivi'nin döndürülmemiş API tokenleri aracılığıyla tekrarlanan ihlaline ilişkin raporunda gösterilen bir risk olan token kötüye kullanımını hedefliyor. Ağ kısıtlamaları koruma sağlar, ancak geliştiricilerin yine de kimlik bilgilerini güvence altına almaları gerekir. Onaylanmış bir ağ içinde çalışan bir saldırgan izin verilen sınır dahilinde kalabilir. Shopify IP İzin Listesini Zorunlu Kıldı

Shopify'ın kurulum kılavuzu, statik altyapı için belirli genel IP adreslerini ve adres aralıklarını destekler. Adresleri değişen uygulamalar, otonom sistem numaraları veya ASN'ler aracılığıyla ev sahipliği ağlarını onaylayabilir. Geliştiriciler en fazla 10 ASN listeleyebilir ve 10 ülkeye kadar erişimi daraltabilir.