Ideas clave
- Las apps personalizadas de Shopify instaladas en tiendas fuera de la organización propietaria necesitan una lista de IP permitidas: las nuevas instalaciones desde el 20 de noviembre de 2026 y las existentes desde el 1 de enero de 2027.
- Los comerciantes que usen una app personalizada que pertenezca a una agencia o a un freelance deberían pedir a ese proveedor que configure la lista de IP permitidas en el Dev Dashboard.
- Las apps instaladas solo dentro de la organización propietaria, las apps que los propios comerciantes crearon y las apps públicas no están cubiertas por esta norma.
Qué ha anunciado Shopify para las apps personalizadas
El 11 de noviembre de 2026, Shopify anunció en su registro de cambios para desarrolladores que las apps personalizadas deben tener una lista de IP permitidas cuando se instalan en tiendas fuera de la organización a la que pertenecen. Una lista de IP permitidas limita las direcciones de red desde las que una app puede llamar a la Admin API de Shopify, que las apps usan para leer y modificar los datos de la tienda.
El requisito llega en dos fases:
- desde las 23:59, hora del este de Estados Unidos, del 20 de noviembre de 2026, para las nuevas instalaciones;
- desde las 23:59, hora del este de Estados Unidos, del 1 de enero de 2027, para las instalaciones existentes.
El motivo que da Shopify son los tokens de acceso filtrados: sin una lista de IP permitidas, un token robado puede usarse desde cualquier red.
Qué apps y tiendas se ven afectadas
El caso habitual para un comerciante es una app personalizada que una agencia o un freelance desarrolló para tu tienda y que pertenece a su organización de Shopify, no a la tuya. Esa app está instalada fuera de la organización propietaria, así que necesita una lista de IP permitidas. Lo mismo ocurre si tu empresa ofrece una app personalizada a otros comerciantes.
Hay tres tipos de app que no se ven afectados: las apps instaladas solo en tiendas de la propia organización del propietario, las apps que un comerciante creó en el Dev Dashboard o en el panel de administración de Shopify, y las apps públicas, que según Shopify están sujetas a un requisito distinto.
Los partners que tienen varias apps se enfrentan a una norma adicional. Desde el 1 de enero de 2027, basta con que una sola app no tenga lista de IP permitidas para que se vea afectada su capacidad de instalar cualquiera de sus apps en tiendas fuera de su organización. Shopify no detalla qué ocurre exactamente con una instalación existente que siga sin lista de IP permitidas después de esa fecha, así que conviene tratar el 1 de enero como un plazo firme.
Qué hacer antes del 20 de noviembre y del 1 de enero
- Averigua a quién pertenece cada app personalizada de tu tienda. Si la desarrolló un proveedor, pregúntale si está instalada desde su organización.
- Pide al propietario que configure la lista de IP permitidas en el Dev Dashboard. Shopify ofrece dos vías: indicar direcciones IP fijas o rangos, si la app llama a Shopify desde direcciones estáticas, o, si sus direcciones cambian, permitir los identificadores de red del proveedor de hosting (ASN) y los países desde los que se ejecuta la app.
- Si piensas instalar una nueva app personalizada de un proveedor después del 20 de noviembre, comprueba antes que la lista de IP permitidas esté configurada.
- Si eres una agencia o un partner, revisa todas las apps instaladas en tiendas fuera de tu organización y configura cada una antes del 1 de enero de 2027.
Un cambio pequeño de la plataforma como este es justo lo que el soporte después del lanzamiento debería detectar sin que tengas que pedirlo. Si ya nadie se ocupa de tu app personalizada, el servicio de Soporte y mantenimiento continuos de Cognivise puede hacerse cargo de ella.
Relacionados
Fuente
- Shopify dev changelog: IP allowlists are now required for custom apps installed outside your organization
Escrito por Cognivise a partir de la fuente citada arriba, con ayuda de IA, y verificado con esa fuente antes de publicarse.
Traducido del original en inglés.