Lista de Permissões de IP da Shopify agora obrigatória para aplicações públicas: prazos e o que fazer
Por Eoin Villarin, 2026-11-07
A Shopify agora exige uma lista de IPs permitidos para todas as aplicações públicas que chamam a API de Administração, com prazos em 12 e 20 de novembro de 2026. Aqui está o que muda, o que quebra se você perder e como se preparar.
Quando é que a lista de permissões de IP da Shopify é obrigatória?
A Shopify exige uma lista de permissões de IP para todas as aplicações públicas que chamam a API Admin até 20 de novembro de 2026, às 23h59 ET. As aplicações que utilizam operações em massa devem adicionar uma até 12 de novembro de 2026. As aplicações sem uma são removidas da App Store em 20 de novembro, e as suas solicitações da API Admin falham a partir de 1 de abril de 2027.
Principais conclusões
- Todo aplicativo público que chama a API de Admin da Shopify precisa de uma lista de IPs permitida até 20 de novembro de 2026.
- Os aplicativos que usam operações em massa têm um prazo mais cedo de 12 de novembro de 2026, após o qual as consultas e mutações em massa são bloqueadas.
- Perder o prazo significa remoção da App Store, avisos de comerciantes a partir de 15 de janeiro de 2027 e pedidos de API de Administração falhados a partir de 1 de abril de 2027.
- Os aplicativos em hospedagem serverless podem permitir a lista de IPs de toda a rede por ASN em vez de endereços IP individuais.
- Separadamente, as aplicações devem mudar para tokens de acesso offline expiratórios antes de 1 de janeiro de 2027.
A Shopify agora exige uma lista de IPs permitidos para todas as aplicações públicas que chamam a API de Administração. O prazo principal é 20 de novembro de 2026, e as aplicações que usam operações em massa têm apenas até 12 de novembro. Se você cria ou executa uma aplicação da Shopify, ou se a sua loja depende de uma, aqui está o que muda, o que quebra se você perder e como se preparar a tempo.
O que é uma lista de IPs permitidos da Shopify?
Uma lista de IPs permitidos é uma lista de endereços IP ou redes que os servidores do seu aplicativo usam. Uma vez ativada, os tokens de acesso do seu aplicativo só funcionam quando a solicitação vem de um desses endereços. Em palavras da Shopify, uma lista de IPs permitida significa "um token vazado não pode ser usado em lugar nenhum, exceto nos seus próprios servidores." Portanto, se um token de acesso vazia por meio de um arquivo de log, um bug ou uma violação, um atacante não pode usá-lo a partir da sua própria máquina.
Quais aplicações necessitam de uma lista de IPs permitidos?
O anúncio da Shopify aplica-se a todas as aplicações públicas que chamam a API de Administração. A Shopify dá a razão claramente: as semanas mais movimentadas do ano dos comerciantes estão quase aqui, e ela quer que os tokens vazados sejam inúteis antes da corrida de férias.
O anúncio não diz se as aplicações personalizadas criadas para uma única loja estão incluídas. Se você executa uma aplicação personalizada, verifique as definições da sua aplicação no painel de desenvolvedor e na documentação da Shopify, porque adicionar uma lista de permitidos é uma boa ideia de qualquer forma.
Prazos da lista de IPs permitidos da Shopify
| Data (23:59 ET) | O que acontece |
|---|---|
| 12 de novembro de 2026 | As consultas e mutações em massa de aplicativos públicos sem uma lista de IPs permitida são bloqueadas. |
| 20 de novembro de 2026 | As aplicações públicas sem uma lista de IPs permitidos são removidas da App Store, por isso não há novas instalações, e sinalizadas nas Definições > Aplicações dos comerciantes. |
| 15 de janeiro de 2027 | Os comerciantes veem um aviso no admin da Shopify. |
| 1 de abril de 2027 | As solicitações de API de Admin de aplicativos sem uma lista de IPs permitida falham. |
As instalações existentes continuam funcionando até 1 de abril de 2027, mas um aplicativo excluído com um aviso no admin é uma venda difícil para os comerciantes, então as datas de novembro são as que importam.
Como preparar seu aplicativo
- Mapeie todos os locais que chamam a API de Administração. Inclua seu servidor principal, trabalhadores em segundo plano, trabalhos cron, filas, manipuladores de webhook e qualquer script que seja executado em CI.
- Encontre os endereços IP de saída. O seu fornecedor de alojamento pode dizer-lhe quais endereços os seus servidores utilizam para fazer pedidos de saída. Se eles mudarem frequentemente, configure IPs estáticos de saída.
- Use a lista de ASN permitida para hospedagem serverless. Os aplicativos em plataformas serverless ou IPs dinâmicos podem permitir a lista de IPs de toda a rede pelo seu ASN em vez de endereços individuais. A Shopify adicionou suporte ASN exatamente para este caso.
- Adicione a lista de IPs no painel de desenvolvedor. O painel de desenvolvedor da Shopify permite restringir o acesso à API de Administração com uma lista de IPs permitidos.
- Faça operações em massa primeiro. Se o seu aplicativo executa consultas ou mutações em massa, o prazo mais cedo de 12 de novembro se aplica.
- Teste em uma loja de desenvolvimento. O teste de acesso de rede da Shopify em visualizações de loja de desenvolvimento sinaliza sites e servidores que a sua aplicação fala e que você não declarou.
- Monitore os registros da API após a alteração. Um endereço de IP perdido aparece como solicitações falhas, então verifique os logs antes e depois de cada implantação.
Uma nota de experiência: permitir a lista de IPs de toda a rede de um provedor de nuvem por ASN é melhor do que nada, mas qualquer pessoa alugando um servidor do mesmo provedor compartilha essa rede. Para segurança mais rigorosa, envie chamadas de API de Admin por meio de um pequeno proxy com um endereço IP fixo e permita apenas esse endereço.
O outro prazo: tokens de acesso offline expiratórios
A Shopify também está a mudar as aplicações para tokens de acesso offline expiratórios, com um cronograma separado. As aplicações que ainda usam tokens offline não expiratórios são removidas e sinalizadas nas definições do comerciante em 1 de janeiro de 2027, os comerciantes veem um aviso a partir de 15 de janeiro de 2027, e os pedidos falham a partir de 1 de abril de 2027. Você pode encontrar tokens não expiratórios filtrando os registros de API do seu painel de desenvolvedor por tipo de token. A Shopify também disse que as consultas e mutações em massa precisarão de seu próprio escopo de acesso em breve. As aplicações que executaram uma operação em massa nos últimos 180 dias receberão esses escopos automaticamente, mas você deve adicioná-los à configuração da sua aplicação antes da próxima implantação, uma vez que estejam ativos.
O que os proprietários de lojas devem fazer
- Depois de 20 de novembro, abra Configurações > Aplicativos no seu admin da Shopify e procure aplicativos sinalizados.
- Pergunte aos desenvolvedores de qualquer aplicativo sinalizado quando eles adicionarão uma lista de IPs permitida, especialmente para aplicativos que lidam com pedidos, clientes ou estoque.
- Se você tiver um aplicativo personalizado criado por um freelancer ou agência, peça que eles adicionem uma lista de IPs permitida e verifiquem a alteração do token também.
Se precisar de ajuda para proteger um aplicativo personalizado da Shopify ou uma integração antes dos prazos, dê uma olhada no meu Desenvolvimento Shopify serviços ou contactar-me.
Perguntas frequentes
Quando é que a lista de permissões de IP da Shopify é obrigatória?
Até 20 de novembro de 2026, às 23h59 ET para todas as aplicações públicas que chamam a API Admin, e até 12 de novembro de 2026, para aplicações que utilizam operações em massa.
O que acontece se a minha aplicação perder o prazo de 20 de novembro?
A aplicação é removida da Shopify App Store, por isso não recebe novas instalações, e é sinalizada nas Definições > Aplicações dos comerciantes. Os comerciantes veem um aviso a partir de 15 de janeiro de 2027, e as solicitações da API Admin falham a partir de 1 de abril de 2027.
Os comerciantes existentes perdem a aplicação imediatamente?
Não. As instalações existentes continuam a funcionar até 1 de abril de 2027, a menos que a aplicação utilize operações em massa, que são bloqueadas após 12 de novembro de 2026.
O requisito aplica-se a aplicações personalizadas?
O anúncio da Shopify cobre aplicações públicas que chamam a API Admin e não diz se as aplicações personalizadas estão incluídas. Adicionar uma lista de permissões a uma aplicação personalizada é ainda um bom passo de segurança.
A minha aplicação é executada em alojamento sem servidor. Como adiciono uma lista de permissões?
A Shopify suporta a lista de permissões por ASN, que cobre toda uma rede de alojamento em vez de endereços IP individuais. Para um controlo mais apertado, encaminhe as chamadas da API Admin através de um proxy com um endereço IP fixo.
Como relato um token vazado ou atividade suspeita de uma aplicação?
A Shopify pede aos desenvolvedores que relatem atividades suspeitas para [email protected]. Os desenvolvedores de aplicações são responsáveis por corrigir problemas e notificar os comerciantes afetados.