Shopify richiede un’allowlist IP per le app personalizzate installate fuori dall’organizzazione proprietaria

Cosa ha annunciato Shopify per le app personalizzate

L’11 novembre 2026 Shopify ha annunciato nel suo changelog per sviluppatori che le app personalizzate devono avere un’allowlist IP quando sono installate su negozi esterni all’organizzazione che ne è proprietaria. Un’allowlist IP limita gli indirizzi di rete da cui un’app può chiamare l’Admin API di Shopify, l’API che le app usano per leggere e modificare i dati del negozio.

L’obbligo arriva in due fasi:

• dalle 23:59, ora della costa orientale degli Stati Uniti, del 20 novembre 2026, per le nuove installazioni;
• dalle 23:59, ora della costa orientale degli Stati Uniti, del 1° gennaio 2027, per le installazioni esistenti.

Il motivo indicato da Shopify sono i token di accesso trapelati: senza un’allowlist, un token rubato può essere usato da qualsiasi rete.

Quali app e quali negozi sono interessati

Il caso più comune per un esercente è un’app personalizzata sviluppata per il tuo negozio da un’agenzia o da un freelance e di proprietà della loro organizzazione Shopify, non della tua. Quell’app è installata fuori dall’organizzazione proprietaria, quindi le serve un’allowlist. Lo stesso vale se la tua azienda fornisce un’app personalizzata ad altri esercenti.

Tre tipi di app non sono interessati: le app installate solo su negozi della stessa organizzazione proprietaria, le app create da un esercente nel Dev Dashboard o nel pannello di amministrazione di Shopify e le app pubbliche, che secondo Shopify rientrano in un requisito separato.

I partner che possiedono più app devono rispettare una regola in più. Dal 1° gennaio 2027 basta una sola app senza allowlist per compromettere la possibilità di installare qualsiasi loro app su negozi esterni alla propria organizzazione. Shopify non dice con precisione cosa succede a un’installazione esistente ancora senza allowlist dopo quella data, quindi considera il 1° gennaio una scadenza tassativa.

Cosa fare prima del 20 novembre e del 1° gennaio

• Verifica chi è il proprietario di ciascuna app personalizzata del tuo negozio. Se l’ha sviluppata un fornitore, chiedigli se è installata dalla sua organizzazione.
• Chiedi al proprietario di configurare l’allowlist nel Dev Dashboard. Shopify offre due strade: indicare indirizzi IP fissi o intervalli di indirizzi, se l’app chiama Shopify da indirizzi statici, oppure, se i suoi indirizzi cambiano, autorizzare gli identificativi di rete del provider di hosting (ASN) e i paesi in cui l’app è in esecuzione.
• Se prevedi di installare una nuova app personalizzata di un fornitore dopo il 20 novembre, verifica prima che l’allowlist sia già configurata.
• Se sei un’agenzia o un partner, controlla tutte le app installate su negozi esterni alla tua organizzazione e configurale una per una prima del 1° gennaio 2027.

Un piccolo cambiamento di piattaforma come questo è proprio il genere di cosa che l’assistenza dopo il lancio dovrebbe intercettare senza che tu debba chiederlo. Se nessuno si occupa più della tua app personalizzata, il servizio di assistenza e manutenzione continuativa di Cognivise può prenderla in carico.