独立站|后台能查每个App拿了什么(11月9日)

Shopify 后台的 Settings > Apps 现在能看到每个 App 的最新活动、拿了哪些敏感数据权限，以及它有没有启用两项安全措施：访问令牌到期、强制 IP 限制。这一屏回答的问题很具体——哪个 App 最近还在动你的数据、它到底能看什么、那把钥匙会不会一直有效。

事件要点

• Apps 列表显示每个 App 的最新活动时间，异常或长期不用的会显眼。

• 详情页把访问、权限、活动合并在一处，敏感数据权限有标签标注。

• 能看到 App 是否采用令牌到期与强制 IP 限制，这两项直接决定 token 泄露后能撑多久。

• 入口：后台 Settings > Apps，2026 年 11 月 5 日上线。

影响解读

• 我们自己的经验线：装了 15 个以上 App、其中 5 个有客户数据权限，就该清一次。

• 永不过期的 token 等于把钥匙焊在门上，App 被拖库那天，攻击者能一直用。

• 判断有前提：只读商品数据的 App 风险低，能不查就不查；能改订单、能导客户的，逐个人工过。

• 这一屏真正的价值是把"权限"从 IT 话题变成运营话题——运营自己就能看。

• 令牌到期怎么续：在 App 详情页看状态，快过期的让服务商在后台重新授权，别自己找 token 手填。

• 强制 IP 限制没开的，问服务商能不能开；开不了，就把这个 App 的权限降到最小可行范围。

• 别把所有 App 都当成风险：真正要看的是「能读客户资料」和「能改订单金额」这两类。

• 审一次大约 20 分钟，比出事之后写公告便宜太多；建议跟大促节点走，每季度固定审一次。

行动建议

• 按最近活动排序，30 天没打开的 App 直接卸，别留"以后可能用得上"。

• 有客户数据权限但当前不用的，先撤权不卸载，权限随时能加回来。

• 逐个确认令牌到期与 IP 限制是否开启，没开的要求服务商开或换工具。

• 把离职外包与旧同事的协作者权限一并清掉，这一项通常比 App 更危险。

• 一年只用两次的大促工具，用完就卸，留着不如重装省心。

• 审完记一行结论：App 名、权限、负责人、下次复核日期，放在共享文档里，谁都能查。

这条动态对你有什么影响？评论区聊聊。