Como Bloquear um Endereço IP na Shopify

É possível bloquear um endereço IP na Shopify?

Sim, em duas camadas. O app gratuito Fraud Control da Shopify pode bloquear finalizações de compra de um endereço IP se você usa o Shopify Payments, mas essa pessoa ainda pode navegar pela sua loja. Para recusar um IP, uma faixa ou uma rede inteira na loja, você precisa de um app bloqueador de IP, porque o admin da Shopify não tem uma configuração para isso.

Observação: As configurações, os rótulos e as regras de plano da Shopify nesta página foram verificados na documentação de ajuda da Shopify em 26 de setembro de 2026.

As duas camadas fazem trabalhos diferentes, e um bloqueio de IP que “não funciona” costuma estar mirando na camada errada:

Como encontro o endereço IP para bloquear?

Comece por um pedido, se tiver um. Quando a Shopify tem o endereço IP de onde um pedido foi feito, ela o mostra na análise de fraude do pedido. Para alguém que só navega, os relatórios da Shopify não vão fornecer um endereço IP; você precisa de uma ferramenta que registre as visitas.

A partir de um pedido

1. No seu admin da Shopify, vá em Orders e abra o pedido.
2. Na seção Order risk, clique em Order risk evaluation (em algumas lojas aparece como About this order).
3. Encontre o endereço IP. A Shopify o lista separadamente dos indicadores de fraude, e ele não é um veredito por si só (análise de fraude).

Antes de bloqueá-lo, avalie-o da forma que o guia de prevenção de fraude da Shopify sugere: o IP está longe de onde o comprador diz estar, pertence a uma empresa de hospedagem web, ou é um proxy? Se alguma resposta for sim, a orientação da Shopify é entrar em contato com o cliente antes de confiar no pedido. O Shopify Payments também sinaliza clientes que usam um serviço de proxy.

A partir de um visitante que nunca fez pedido

O relatório Sessions by location da Shopify mostra os países, regiões e cidades de onde vêm as visitas, não os endereços IP. Para ver o IP de um visitante que está navegando, você precisa de algo que o registre, como o log de visitas de um app de segurança de loja.

Se o que você está vendo são centenas de sessões em vez de uma pessoa, bloqueios de IP único não vão dar conta. Leia primeiro tráfego de bots de Singapura e da China, explicado.

Como bloqueio um IP na finalização de compra?

Crie uma regra de finalização de compra no app Fraud Control da Shopify. Ele é gratuito e feito pela Shopify, mas suas regras de finalização de compra só estão disponíveis para lojas que usam o Shopify Payments. Uma finalização de compra que corresponde à regra nunca vira um pedido, então não há pedido para cancelar.

1. Instale o Fraud Control na Shopify App Store.
2. No seu admin da Shopify, vá em Apps → Fraud Control, clique em Rules, depois em Create rule.
3. Na seção Checkout conditions, adicione o endereço IP. Uma regra pode combinar condições: o próprio exemplo da Shopify combina um endereço IP com um CEP para bloquear pedidos que tenham os dois.
4. Clique em Save. A regra é ativada imediatamente, e a Shopify a nomeia com base nas suas condições.

As tentativas bloqueadas aparecem nas suas finalizações de compra abandonadas. O comprador não é avisado de que correspondeu a uma regra de fraude (app Fraud Control).

Três limitações a conhecer:

• Ele impede finalizações de compra, não a navegação.
• A documentação da Shopify menciona filtros de endereço IP, mas não diz se faixas ou IPv6 são aceitos. Verifique o que o editor de regras aceita antes de confiar em uma faixa.
• A Shopify avisa que as regras podem bloquear finalizações de compra legítimas e não garantem proteção contra estornos.

Não usa o Shopify Payments?

Nesse caso, a Shopify não oferece nenhuma forma de impedir a própria finalização de compra por IP, mas você pode lidar com o pedido depois. O Shopify Flow, gratuito a partir do plano Basic, pode cancelar ou reter pedidos pelo endereço IP do cliente, o que os exemplos de workflow da Shopify mencionam nominalmente. As condições do Flow aceitam Starts with (condições), então um IP que começa com 203.0.113. cobre todo esse bloco de 256 endereços. Inclua o ponto final, ou a condição também vai corresponder a faixas vizinhas.

O pedido já existe nesse ponto. Se você captura pagamentos automaticamente, o comprador já foi cobrado, então cancelar significa um reembolso, e as taxas de transação do cartão não são devolvidas quando você reembolsa (cancelamento de pedidos).

Apps que adicionam uma regra de finalização de compra em Settings → Checkout → Checkout rules não ajudam aqui: a API de validação da Shopify dá a eles o e-mail do comprador, as tags do cliente e o endereço de entrega, mas nenhum endereço IP.

Como bloqueio um IP de ver a minha loja?

Instale um app bloqueador de IP. A Shopify não tem uma configuração no admin que mantenha um endereço IP fora da sua loja. A outra opção, colocar o Cloudflare na frente da sua loja, é uma configuração que a página de solução de problemas de domínio da Shopify diz não ter suporte.

Qualquer app que você escolher, verifique se ele:

• aceita faixas CIDR e IPv6, não só endereços IPv4 únicos;
• consegue bloquear uma rede inteira pelo número AS, para tráfego de data centers;
• tem uma lista de permissões para você e uma forma de testar uma regra antes de ativá-la;
• diz claramente o que não consegue cobrir, como a finalização de compra hospedada da Shopify.

Bloqueando um IP no X Shield

O X Shield, que desenvolvemos, é um desses apps. No X Shield:

1. Verifique se a incorporação do app está ativada. Se a página Visão geral mostrar um botão Ativar no tema, clique nele e salve seu tema; nada é bloqueado até a incorporação estar ativa.
2. Abra IP e rede e ative o botão no topo da página, até aparecer Ativado.
3. Em Modo de acesso, escolha Bloquear os listados.
4. Em Endereços IP a bloquear, cole IPs únicos, faixas CIDR, faixas de início a fim ou endereços IPv6 no campo, separados por vírgulas, e clique em Adicionar. Cada entrada aparece na lista com seu Tipo: IP, CIDR ou Intervalo.
5. Clique em Save. Uma notificação confirma Configuração salva com sucesso, e a regra passa a valer a partir da próxima página que um visitante carregar.

Nos planos Enterprise e Plus você também pode adicionar Redes a bloquear (ASN), como a entrada da DigitalOcean acima. O plano Free inclui um número limitado de entradas de IP, e uma faixa CIDR conta como uma (planos e limites). A segmentação de páginas e a lista completa de campos estão em bloquear faixas de IP e redes no X Shield.

O que ele não consegue fazer: o X Shield roda como JavaScript no navegador do visitante, então scripts que nunca executam o JavaScript da sua página recebem o HTML e nunca veem a página de bloqueio. Ele também não consegue controlar a finalização de compra hospedada da Shopify, então uma pessoa bloqueada ainda pode chegar à finalização de compra por um link direto ou uma página em cache antes do bloqueio. Mantenha a regra do Fraud Control para essa camada.

Dica: X Shield, um bloqueador gratuito de países e bots para a Shopify, inclui regras de IP no plano Free, e sua simulação gratuita avalia uma regra sem bloquear ninguém.

Devo bloquear um IP, uma faixa ou uma rede inteira?

Bloqueie a coisa menor que resolve o problema. Um único IP é indicado para um endereço fixo que você já viu se comportar mal, uma faixa é indicada para endereços que mudam dentro de um mesmo bloco, e uma rede (ASN) é indicada para tráfego de data centers que compradores reais não usam. Faixas grandes de endereços residenciais ou móveis afastam clientes.

A notação CIDR é um endereço inicial mais uma barra e um número. O número indica quanto do endereço é fixo, então quanto menor ele for, maior a faixa. Os exemplos abaixo usam blocos de endereço reservados para documentação (RFC 5737, RFC 3849), então nenhum deles pertence a um visitante real.

Por que o IPv6 precisa de uma faixa

Celulares e notebooks trocam seu próprio endereço IPv6. Os endereços de privacidade definidos na RFC 8981 são substituídos cerca de uma vez por dia por padrão, enquanto a primeira metade do endereço, o prefixo /64, permanece com a conexão. Bloqueie o /64, não o endereço único.

Quando bloquear uma rede inteira

Um número de sistema autônomo (ASN) identifica a rede de um operador, escrito como AS64500 (um número reservado para exemplos pela RFC 5398). Uma única entrada cobre todo endereço que aquele operador anuncia, incluindo os que ele adicionar depois. Use para provedores de hospedagem e nuvem que enviam scrapers, nunca para um provedor de banda larga residencial ou operadora de celular, onde um único número pode cobrir todos os clientes que eles têm.

IPs compartilhados: a armadilha dos falsos positivos

Muitas pessoas podem compartilhar um único endereço IPv4 público. Operadoras de celular e alguns provedores de banda larga colocam assinantes atrás de um NAT de grau operadora, que a RFC 6888 define como um endereço compartilhado entre vários assinantes; escritórios, escolas, hotéis e Wi-Fi público fazem o mesmo. A RFC 6269, que cataloga os problemas dos endereços compartilhados, observa na seção 13.1 que penalizar um endereço compartilhado também bloqueia todos os outros atrás dele, mesmo na primeira tentativa deles. Um bloqueio em um único IP móvel pode afastar estranhos e ainda assim não pegar seu alvo no momento em que ele trocar para Wi-Fi.

Como garanto que meu próprio IP nunca seja bloqueado?

Coloque seu IP em uma lista de permissões que sobrepõe todas as regras, e mantenha uma segunda forma de entrar, porque seu IP muda assim que você troca de rede. No X Shield, isso significa IPs na lista de permissões para o escritório e um link de acesso privado para todo o resto.

• Bypass global → IPs na lista de permissões: clique em Adicionar meu IP, dê um rótulo como “Escritório” e salve. Tudo nessa lista ignora todas as proteções, então adicione só redes que você controla.
• Segurança e testes → Seu link de acesso privado: clique em Criar link e depois salve. Abrir sua loja com esse link ignora todas as regras em qualquer rede e qualquer dispositivo. Trate-o como uma senha.
• Enquanto você edita regras, um aviso Estas regras bloqueariam você aparece se sua conexão atual corresponder a alguma. Clientes na mesma conexão também seriam bloqueados.

Não use Permitir apenas os listados na página IP e rede para se deixar entrar. Nesse modo, só os endereços listados passam, e todo outro visitante é bloqueado.

Antes de uma nova regra bloquear alguém, execute-a em Simulação (Apenas observar), que registra quem teria sido bloqueado sem bloquear ninguém (os planos pagos listam cada um em Análises), e verifique sua conexão com Testar minha própria conexão. Os detalhes estão em modo de simulação e seu link de acesso privado.

Por que o bloqueio do IP não funcionou?

Geralmente porque o IP da pessoa mudou, ou porque ela nunca passou pela camada que você bloqueou. Percorra estes pontos em ordem:

1. O endereço dela mudou. Conexões residenciais recebem novos IPs, celulares trocam entre Wi-Fi e dados móveis, e endereços de privacidade IPv6 giram diariamente. Bloqueie a faixa ou a rede, ou adicione uma regra de finalização de compra pelo e-mail dela.
2. Ela está em uma VPN ou proxy. Cada sessão pode vir de um novo IP de saída. Bloquear redes de VPN como um todo também afasta compradores honestos preocupados com privacidade; bloqueio de VPN, proxy e redes de scrapers explica essa troca.
3. Ela foi direto para a finalização de compra. Um bloqueio na loja não cobre a finalização de compra hospedada da Shopify. Adicione uma regra do Fraud Control para essa camada.
4. É um script, não um navegador. Qualquer coisa que não execute JavaScript nunca vê a página de um bloqueador de loja.
5. Seu teste foi contornado. Um IP na lista de permissões, uma aba aberta com um link de acesso privado, ou o modo de simulação deixado ativo vão deixar você passar. Teste em uma nova janela privada com dados móveis.
6. O app não está rodando. No X Shield, isso geralmente é a incorporação do app; o X Shield não está bloqueando lista todas as verificações.

Para impedir uma pessoa específica em vez de um endereço, combine vários sinais, como em bloquear um cliente específico.

Perguntas frequentes

Posso banir um endereço IP da minha loja Shopify permanentemente?

Uma regra dura até você excluí-la, mas o endereço não fica preso a uma pessoa. Provedores reatribuem IPs, então um banimento antigo pode acabar bloqueando um estranho enquanto a pessoa que você queria bloquear já seguiu em frente. Revise as regras de IP a cada poucos meses e use redes, não IPs únicos, para tráfego de data centers.

A Shopify tem uma lista de permissões de IP?

Não para a loja. Se apenas certas pessoas devem ver a loja, o Private mode da Shopify (Online Store → Preferences, em Store access) coloca toda a loja atrás de uma senha e a esconde dos mecanismos de busca (proteção por senha). Em um app bloqueador, uma lista de permissões como as IPs na lista de permissões do X Shield deixa passar apenas os endereços escolhidos por todas as regras.

Por que o IP de um cliente está em uma lista de bloqueio temporária?

A análise de fraude da Shopify bloqueia um endereço IP por um tempo quando muitos pedidos ou pagamentos recusados vêm dele em pouco tempo. O bloqueio se encerra sozinho entre 6 e 24 horas, você não consegue removê-lo antes, e cada nova tentativa reinicia o cronômetro. Para registrar o pedido nesse meio-tempo, crie um pedido em rascunho (solução de problemas de análise de fraude).

Posso ver se um IP bloqueado ainda faz pedidos?

Sim, se o seu bloqueador verifica pedidos além de visitas. A proteção de pedidos do X Shield, nos planos pagos, sinaliza novos pedidos cujo IP suas regras de loja bloquearam nos últimos sete dias e adiciona essa evidência à análise de fraude do pedido na Shopify. Ela nunca cancela um pedido por você.