IP-tillatelseslister
Begrens en Shopify Flow-webhook til avsenderens IP-adresser eller CIDR-områder, i tillegg til tokenet eller HMAC-signaturen.
Autentisering bekrefter at den som ringer kjenner din hemmelighet. En IP-tillatelsesliste begrenser hvor samtalen kan komme fra, så et lekket token er ikke nok i seg selv. Angi dette for hver enkelt webhook under Avanserte innstillinger → IP-tillatelsesliste.
Dette gjelder i tillegg til den autentiseringsmetoden webhooken bruker, inkludert None. En forespørsel fra en hvilken som helst annen adresse avvises med feilkoden 403 og årsaken ip_not_allowed, før tokenet eller signaturen i det hele tatt blir vurdert.
Fylle ut listen
Én oppføring per linje, opptil 50:
- en enkelt IPv4- eller IPv6-adresse, for eksempel
203.0.113.10eller2001:db8::1 - et CIDR-område, for eksempel
203.0.113.0/24eller2001:db8::/32
De fleste avsendere som er verdt å sette på tillatelseslisten, offentliggjør sine utgående IP-adresser - Stripe, GitHub, Shopify og Square gjør det alle. Legg inn disse IP-adressene, og sjekk dem på nytt når avsenderen kunngjør en endring: en tillatelsesliste som aldri oppdateres, vil etter hvert begynne å avvise legitim trafikk.
Hvilke forespørsler sjekker den?
| Forespørsel | Tillatelseslisten gjelder |
|---|---|
| Et anrop til webhook-URL-en | Ja |
| Et anrop til appens proxy-URL | Nei - de kommer til oss fra Shopifys servere, ikke fra avsenderen din |
| En planlagt kjøring | Nei - vi sender forespørselen selv |
| Shopify Flow-handlingen som utløser denne webhooken | Nei |
| Send test og repriser fra historikken | Nei |
Derfor er en tillatelsesliste ikke noen erstatning for autentisering: Flere legitime tilgangsveier til webhooken går ikke gjennom den.
Adressen vi sammenligner
Vi sammenligner med adressen som forespørselen faktisk kommer fra. Hvis det er noe som ligger mellom avsenderen og oss - en bedriftsproxy, en API-gateway, en tunnel eller et CDN - er det denne adressen du må legge til på tillatelseslisten, ikke opprinnelsesserverens.
Den raskeste måten å finne den på: send én forespørsel med tillatelseslisten tom, åpne oppføringen i Historikk og feilsøking og les av adressen vi har notert.
Når det går galt
En avvist forespørsel vises fortsatt i «Historikk» med 403 og ip_not_allowed, slik at du kan se adressen som ble avvist og legge den til. Ingenting blir fjernet uten at du blir varslet.
Relatert
- Autentisering - tokens, Bearer, Basic og spørringsparametere.
- Verifisering av signerte webhooks - HMAC-verifisering for avsendere som signerer.
- Historikk og feilsøking - hver eneste forespørsel, uansett om den ble godkjent eller ikke.