Workflow WebhooksWorkflow Webhooks
IP-tillåtelselistor

IP-tillåtelselistor

Kopiera sidan

Begränsa en Shopify Flow-webhook till avsändarens IP-adresser eller CIDR-intervall, utöver dess token eller HMAC-signatur.

Autentisering bevisar att den som ringer känner till din hemlighet. En IP-tillåtelselista begränsar varifrån samtalet kan komma, så ett läckt token räcker inte i sig. Ställ in den per webhook under Avancerade inställningar -> IP-tillåtelselista.

Den tillämpas utöver den autentisering som webhooken använder, inklusive ”None”. En begäran från någon annan adress avvisas med felkoden 403 och orsaken ip_not_allowed, innan token eller signaturen ens granskas.

Fylla i listan

Ett inlägg per rad, upp till 50:

  • en enskild IPv4- eller IPv6-adress, till exempel 203.0.113.10 eller 2001:db8::1
  • ett CIDR-intervall, till exempel 203.0.113.0/24 eller 2001:db8::/32

De flesta avsändare som är värda att läggas till på en tillåtelselista offentliggör sina utgående IP-intervall - Stripe, GitHub, Shopify och Square gör det alla. Kopiera in dessa intervall och kontrollera dem på nytt när avsändaren meddelar en ändring: en tillåtelselista som aldrig uppdateras kommer så småningom att börja avvisa legitim trafik.

Vilka förfrågningar den kontrollerar

Förfrågan Allowlist gäller
Ett anrop till webhook-URL:en Ja
Ett anrop till appens proxy-URL Nej - de kommer till oss från Shopifys servrar, inte från din avsändare
En schemalagd körning Nej - vi lämnar in ansökan själva
Shopify Flow-åtgärden som anropar denna webhook Nej
Skicka test och repriser från historiken Nej

Därför kan en tillåtelselista inte ersätta autentisering: flera legitima vägar till webhooken går inte via den.

Den adress vi jämför

Vi jämför med den adress som förfrågan faktiskt kommer ifrån. Om det finns något mellan avsändaren och oss - en företagsproxy, en API-gateway, en tunnel eller ett CDN - är det den adressen du måste lägga till i tillåtna listan, inte ursprungsserverns.

Det snabbaste sättet att hitta den: skicka en förfrågan med en tom tillåtelselista, öppna posten i Historik och felsökning och läs av den adress som vi har sparat.

När det går snett

En avvisad begäran visas fortfarande i historiken med 403 och ip_not_allowed, så att du kan se vilken adress som avvisades och lägga till den. Ingenting tas bort utan att du får veta det.

Relaterat