Lista de permitidos de IP de Shopify ahora obligatoria para aplicaciones públicas: plazos y qué hacer
Por Eoin Villarin, 2026-11-07
Shopify ahora requiere una lista de允许 de IP para cada aplicación pública que llama a la API de administración, con plazos el 12 y 20 de noviembre de 2026. Aquí está lo que cambia, qué se rompe si te lo pierdes y cómo prepararte.
¿Cuándo se requiere la lista de permitidos de IP de Shopify?
Shopify requiere una lista de permitidos de IP para cada aplicación pública que llame a la API de administración antes del 20 de noviembre de 2026, a las 23:59 ET. Las aplicaciones que utilicen operaciones masivas deben agregar una antes del 12 de noviembre de 2026. Las aplicaciones sin ella se eliminan de la tienda de aplicaciones el 20 de noviembre, y sus solicitudes de API de administración fallan a partir del 1 de abril de 2027.
Aspectos clave
- Toda aplicación pública que llame a la API de administración de Shopify necesita una lista de direcciones IP permitidas antes del 20 de noviembre de 2026.
- Las aplicaciones que usan operaciones en masa tienen una fecha límite anterior del 12 de noviembre de 2026, después de la cual se bloquean las consultas y mutaciones en masa.
- Perder la fecha límite significa eliminación de la App Store, advertencias a los comerciantes a partir del 15 de enero de 2027 y solicitudes fallidas de la API de administración a partir del 1 de abril de 2027.
- Las aplicaciones en alojamiento sin servidor pueden permitir la lista de direcciones IP de toda la red por ASN en lugar de direcciones IP individuales.
- Por separado, las aplicaciones deben cambiar a tokens de acceso fuera de línea que expiran antes del 1 de enero de 2027.
Shopify ahora requiere una lista de允许 de IP para cada aplicación pública que llama a la API de administración. El plazo principal es el 20 de noviembre de 2026, y las aplicaciones que usan operaciones masivas solo tienen hasta el 12 de noviembre. Si creas o ejecutas una aplicación de Shopify, o tu tienda depende de una, esto es lo que cambia, qué se rompe si te lo pierdes y cómo estar listo a tiempo.
¿Qué es una lista de direcciones IP permitidas de Shopify?
Una lista de direcciones IP permitidas es una lista de direcciones IP o redes que usan los servidores de tu aplicación. Una vez que esté activada, los tokens de acceso de tu aplicación solo funcionan cuando la solicitud proviene de una de esas direcciones. En palabras de Shopify, una lista de direcciones IP permitidas significa "un token filtrado no se puede usar en ningún lugar excepto en tus propios servidores." Por lo tanto, si un token de acceso se filtra alguna vez a través de un archivo de registro, un error o una brecha, un atacante no puede usarlo desde su propia máquina.
Qué aplicaciones necesitan una lista de direcciones IP permitidas
El anuncio de Shopify se aplica a todas las aplicaciones públicas que llaman a la API de administración. Shopify da la razón claramente: las semanas más ocupadas del año de los comerciantes están casi aquí, y quiere que los tokens filtrados sean inútiles antes de la oleada de fiestas.
El anuncio no dice si se incluyen aplicaciones personalizadas creadas para una sola tienda. Si ejecutas una aplicación personalizada, verifica la configuración de tu aplicación en el panel de desarrollador y la documentación de Shopify, porque agregar una lista de允许 es una buena idea de todos modos.
Plazos de la lista de允许 de IP de Shopify
| Fecha (11:59 PM ET) | What happens |
|---|---|
| 12 de noviembre de 2026 | Las consultas y mutaciones en masa de aplicaciones públicas sin una lista de direcciones IP permitidas se bloquean. |
| 20 de noviembre de 2026 | Las aplicaciones públicas sin una lista de允许 de IP se eliminan de la App Store, por lo que no hay nuevas instalaciones, y se marcan en Configuración > Aplicaciones de los comerciantes. |
| 15 de enero de 2027 | Los comerciantes ven una advertencia en su administración de Shopify. |
| 1 de abril de 2027 | Las solicitudes de API de administración de aplicaciones sin una lista de direcciones IP permitidas fallan. |
Las instalaciones existentes siguen funcionando hasta el 1 de abril de 2027, pero una aplicación eliminada con una advertencia en la administración es una venta difícil para los comerciantes, por lo que las fechas de noviembre son las que importan.
Cómo preparar tu aplicación
- Registra cada lugar que llama a la API de administración. Incluye tu servidor principal, trabajadores en segundo plano, trabajos cron, colas, controladores de webhook y cualquier script que se ejecute en CI.
- Encuentra las direcciones IP de salida. Tu proveedor de alojamiento puede indicarte qué direcciones utilizan tus servidores para realizar solicitudes salientes. Si cambian con frecuencia, configura direcciones IP estáticas salientes.
- Usar la lista de允许 de ASN para alojamiento sin servidor. Las aplicaciones en plataformas sin servidor o direcciones IP dinámicas pueden permitir la lista de direcciones IP de toda la red por su ASN en lugar de direcciones individuales. Shopify agregó soporte ASN para exactamente este caso.
- Agrega la lista de direcciones IP en el panel de desarrollador. El panel de desarrollador de Shopify te permite restringir el acceso a la API de administración con una lista de允许 de IP.
- Haz operaciones en masa primero. Si tu aplicación ejecuta consultas o mutaciones en masa, se aplica la fecha límite anterior del 12 de noviembre.
- Probar en una tienda de desarrollo. La prueba de acceso de red de Shopify en vistas de tienda de desarrollo marca sitios y servidores con los que habla tu aplicación que no has declarado.
- Verifica los registros de API después del cambio. Una dirección incorrecta aparece como solicitudes fallidas, así que revisa los registros antes y después de cada implementación.
Una nota basada en la experiencia: permitir la lista de direcciones IP de toda la red de un proveedor de nube por ASN es mejor que nada, pero cualquier persona que alquile un servidor del mismo proveedor comparte esa red. Para una seguridad más estricta, envía llamadas de API de administración a través de un pequeño proxy con una dirección IP fija y solo permite la lista de direcciones IP.
El otro plazo: tokens de acceso fuera de línea que expiran
Shopify también está moviendo aplicaciones a tokens de acceso fuera de línea que expiran, con un cronograma separado. Las aplicaciones que aún usan tokens no expirantes se eliminan y se marcan en la configuración del comerciante el 1 de enero de 2027, los comerciantes ven una advertencia a partir del 15 de enero de 2027, y las solicitudes fallan a partir del 1 de abril de 2027. Puedes encontrar tokens no expirantes filtrando los registros de API de tu panel de desarrollador por tipo de token. Shopify también ha dicho que las consultas y mutaciones masivas necesitarán su propio alcance de acceso pronto. Las aplicaciones que ejecutaron una operación masiva en los últimos 180 días recibirán esos alcances automáticamente, pero debes agregarlos a la configuración de tu aplicación antes de tu próximo despliegue una vez que estén en vivo.
Qué deben hacer los propietarios de tiendas
- Después del 20 de noviembre, abre Configuración > Aplicaciones en tu administración de Shopify y busca aplicaciones marcadas.
- Pregúntale a los desarrolladores de cualquier aplicación marcada cuándo agregarán una lista de direcciones IP permitidas, especialmente para aplicaciones que manejan pedidos, clientes o inventario.
- Si tienes una aplicación personalizada creada por un autónomo o una agencia, pídeles que agreguen una lista de direcciones IP permitidas y revisen el cambio de token también.
Si necesitas ayuda para asegurar una aplicación personalizada de Shopify o una integración antes de las fechas límite, mira mi Desarrollo en Shopify servicios o contáctame.
Preguntas frecuentes
¿Cuándo se requiere la lista de permitidos de IP de Shopify?
Antes del 20 de noviembre de 2026, a las 23:59 ET para todas las aplicaciones públicas que llamen a la API de administración, y antes del 12 de noviembre de 2026, para las aplicaciones que utilicen operaciones masivas.
¿Qué sucede si mi aplicación pierde el plazo del 20 de noviembre?
La aplicación se elimina de la tienda de aplicaciones de Shopify, por lo que no obtiene nuevas instalaciones, y se marca en la configuración de los comerciantes > Aplicaciones. Los comerciantes ven una advertencia a partir del 15 de enero de 2027, y las solicitudes de API de administración fallan a partir del 1 de abril de 2027.
¿Los comerciantes existentes pierden la aplicación de inmediato?
No. Las instalaciones existentes siguen funcionando hasta el 1 de abril de 2027, a menos que la aplicación utilice operaciones masivas, que se bloquean después del 12 de noviembre de 2026.
¿El requisito se aplica a las aplicaciones personalizadas?
El anuncio de Shopify cubre aplicaciones públicas que llaman a la API de administración y no dice si las aplicaciones personalizadas están incluidas. Agregar una lista de permitidos a una aplicación personalizada sigue siendo un buen paso de seguridad.
Mi aplicación se ejecuta en alojamiento sin servidor. ¿Cómo agrego una lista de permitidos?
Shopify admite la lista de permitidos por ASN, que cubre toda una red de alojamiento en lugar de direcciones IP individuales. Para un control más estricto, enruta las llamadas de API de administración a través de un proxy con una dirección IP fija.
¿Cómo informo de un token filtrado o actividad sospechosa de la aplicación?
Shopify solicita a los desarrolladores que informen actividad sospechosa a [email protected]. Los desarrolladores de aplicaciones son responsables de solucionar problemas y notificar a los comerciantes afectados.