Shopify impose une liste d’adresses IP autorisées aux applications personnalisées installées hors de l’organisation propriétaire

Ce que Shopify a annoncé pour les applications personnalisées

Le 11 novembre 2026, Shopify a annoncé dans son journal des modifications pour les développeurs que les applications personnalisées doivent disposer d’une liste d’adresses IP autorisées lorsqu’elles sont installées sur des boutiques extérieures à l’organisation qui en est propriétaire. Une liste d’adresses IP autorisées limite les adresses réseau depuis lesquelles une application peut appeler l’Admin API de Shopify, que les applications utilisent pour lire et modifier les données de la boutique.

L’obligation s’applique en deux temps :

• à partir de 23 h 59, heure de l’Est des États-Unis, le 20 novembre 2026, pour les nouvelles installations ;
• à partir de 23 h 59, heure de l’Est des États-Unis, le 1er janvier 2027, pour les installations existantes.

Shopify invoque les jetons d’accès divulgués : sans liste d’adresses autorisées, un jeton volé peut être utilisé depuis n’importe quel réseau.

Quelles applications et quelles boutiques sont concernées

Le cas le plus courant pour un marchand est celui d’une application personnalisée développée pour sa boutique par une agence ou un freelance, et détenue par l’organisation Shopify de ce prestataire plutôt que par la sienne. Cette application est installée hors de l’organisation qui en est propriétaire : elle doit donc disposer d’une liste d’adresses autorisées. Il en va de même si votre entreprise fournit une application personnalisée à d’autres marchands.

Trois types d’applications ne sont pas concernés : les applications installées uniquement sur des boutiques de l’organisation propriétaire, les applications créées par un marchand dans le Dev Dashboard ou dans l’administration Shopify, et les applications publiques, qui relèvent selon Shopify d’une obligation distincte.

Les partenaires qui détiennent plusieurs applications sont soumis à une règle supplémentaire. À partir du 1er janvier 2027, une seule application sans liste d’adresses autorisées compromet leur capacité à installer l’une quelconque de leurs applications sur des boutiques extérieures à leur organisation. Shopify ne précise pas ce qu’il advient exactement d’une installation existante toujours dépourvue de liste après cette date : considérez donc le 1er janvier comme une échéance ferme.

Ce qu’il faut faire avant le 20 novembre et le 1er janvier

• Identifiez le propriétaire de chaque application personnalisée installée sur votre boutique. Si un prestataire l’a développée, demandez-lui si elle est installée depuis son organisation.
• Demandez au propriétaire de configurer la liste d’adresses autorisées dans le Dev Dashboard. Shopify propose deux options : lister des adresses IP fixes ou des plages d’adresses si l’application appelle Shopify depuis des adresses statiques, ou, si ses adresses changent, autoriser les identifiants réseau (ASN) de l’hébergeur et les pays où l’application s’exécute.
• Si vous prévoyez d’installer une nouvelle application personnalisée fournie par un prestataire après le 20 novembre, vérifiez d’abord que la liste d’adresses autorisées est en place.
• Si vous êtes une agence ou un partenaire, passez en revue toutes les applications installées sur des boutiques extérieures à votre organisation et configurez chacune d’elles avant le 1er janvier 2027.

Une petite évolution de plateforme comme celle-ci fait partie de ce que le support après le lancement devrait prendre en charge sans que vous ayez à le demander. Si plus personne ne s’occupe de votre application personnalisée, le service Support et maintenance continus de Cognivise peut la reprendre.