Workflow WebhooksWorkflow Webhooks
Listy dozwolonych adresów IP

Listy dozwolonych adresów IP

Skopiuj stronę

Ogranicz dostęp do webhooka Shopify Flow wyłącznie do adresów IP lub zakresów CIDR nadawcy, oprócz weryfikacji na podstawie tokenu lub podpisu HMAC.

Uwierzytelnianie potwierdza, że osoba dzwoniąca zna Państwa hasło. Lista dozwolonych adresów IP ogranicza zakres miejsc, z których może pochodzić połączenie, więc sam wyciek tokenu nie wystarczy. Należy ją skonfigurować dla każdego webhooka w sekcji Ustawienia zaawansowane → Lista dozwolonych adresów IP.

Działa to jako dodatkowe zabezpieczenie niezależnie od sposobu uwierzytelniania stosowanego przez webhook, w tym również w przypadku braku uwierzytelniania (None). Żądanie wysłane z dowolnego innego adresu zostanie odrzucone z kodem błędu 403 i przyczyną ip_not_allowed, jeszcze przed sprawdzeniem tokenu lub podpisu.

Wypełnianie listy

Jeden wpis w każdym wierszu, maksymalnie 50:

  • pojedynczy adres IPv4 lub IPv6, na przykład 203.0.113.10 lub 2001:db8::1
  • zakres CIDR, np. 203.0.113.0/24 lub 2001:db8::/32

Większość nadawców, których warto umieścić na liście dozwolonych, publikuje swoje zakresy adresów wysyłkowych - robią to m.in. Stripe, GitHub, Shopify i Square. Proszę wkleić te zakresy i ponownie je sprawdzić, gdy nadawca ogłosi zmianę: lista dozwolonych, która nie jest nigdy aktualizowana, w końcu zacznie odrzucać prawdziwy ruch.

Które żądania są sprawdzane

Wniosek Obowiązuje lista dozwolonych adresów
Wywołanie adresu URL webhooka Tak
Wywołanie adresu URL serwera proxy aplikacji Nie - wiadomości te docierają do nas z serwerów Shopify, a nie od Państwa nadawcy
Zaplanowany przejazd Nie - sami składamy wniosek
Akcja w Shopify Flow, która wywołuje ten webhook Nie
Wysyłanie testów i powtórek z historii Nie

Właśnie dlatego lista dozwolonych adresów nie zastępuje uwierzytelniania: kilka prawidłowych ścieżek dostępu do webhooka nie przechodzi przez nią.

Adres, który porównujemy

Porównujemy ten adres z adresem, z którego faktycznie pochodzi żądanie. Jeśli między nadawcą a nami znajduje się jakikolwiek pośrednik - korporacyjny serwer proxy, brama API, tunel lub sieć CDN - to właśnie ten adres należy dodać do listy dozwolonych, a nie adres serwera źródłowego.

Najszybszy sposób, aby to sprawdzić: proszę wysłać jedno żądanie z pustą listą dozwolonych adresów, otworzyć wpis w sekcji Historia i rozwiązywanie problemów i sprawdzić zapisany tam adres.

Gdy coś idzie nie tak

Odrzucone żądanie nadal pojawia się w historii z kodem 403 i komunikatem ip_not_allowed, dzięki czemu można sprawdzić adres, który został odrzucony, i dodać go do listy. Żadne żądanie nie jest pomijane bez powiadomienia.

Powiązane