# Shopify richiede un’allowlist IP per le app personalizzate installate fuori dall’organizzazione proprietaria

L’11 novembre 2026 Shopify ha comunicato che le app personalizzate installate su negozi esterni all’organizzazione che ne è proprietaria devono avere un’allowlist IP. La regola vale per le nuove installazioni dal 20 novembre 2026 e per quelle esistenti dal 1° gennaio 2027.

- Pagina: https://www.cognivise.co.uk/it/news/shopify-allowlist-ip-obbligatorie-app-personalizzate
- Originale (inglese): https://www.cognivise.co.uk/news/shopify-ip-allowlists-required-custom-apps
- Argomento: Gestire il software
- Pubblicato: 2026-11-12
- Aggiornato: 2026-11-12
- Autore: Cognivise
- Fonte: Shopify dev changelog, IP allowlists are now required for custom apps installed outside your organization (https://shopify.dev/changelog/ip-allowlists-are-now-required-for-custom-apps-installed-outside-your-organization)

## Punti chiave

- Le app personalizzate di Shopify installate su negozi esterni all’organizzazione proprietaria richiedono un’allowlist IP: per le nuove installazioni dal 20 novembre 2026, per quelle esistenti dal 1° gennaio 2027.
- Gli esercenti che usano un’app personalizzata di proprietà di un’agenzia o di un freelance dovrebbero chiedere a quel fornitore di configurare l’allowlist nel Dev Dashboard.
- Le app installate solo all’interno dell’organizzazione proprietaria, le app create dagli esercenti stessi e le app pubbliche non rientrano in questa regola.

## Cosa ha annunciato Shopify per le app personalizzate

L’11 novembre 2026 Shopify ha annunciato nel suo [changelog per sviluppatori](https://shopify.dev/changelog/ip-allowlists-are-now-required-for-custom-apps-installed-outside-your-organization) che le app personalizzate devono avere un’allowlist IP quando sono installate su negozi esterni all’organizzazione che ne è proprietaria. Un’allowlist IP limita gli indirizzi di rete da cui un’app può chiamare l’Admin API di Shopify, l’API che le app usano per leggere e modificare i dati del negozio.

L’obbligo arriva in due fasi:

- dalle 23:59, ora della costa orientale degli Stati Uniti, del 20 novembre 2026, per le nuove installazioni;
- dalle 23:59, ora della costa orientale degli Stati Uniti, del 1° gennaio 2027, per le installazioni esistenti.

Il motivo indicato da Shopify sono i token di accesso trapelati: senza un’allowlist, un token rubato può essere usato da qualsiasi rete.

## Quali app e quali negozi sono interessati

Il caso più comune per un esercente è un’app personalizzata sviluppata per il tuo negozio da un’agenzia o da un freelance e di proprietà della loro organizzazione Shopify, non della tua. Quell’app è installata fuori dall’organizzazione proprietaria, quindi le serve un’allowlist. Lo stesso vale se la tua azienda fornisce un’app personalizzata ad altri esercenti.

Tre tipi di app non sono interessati: le app installate solo su negozi della stessa organizzazione proprietaria, le app create da un esercente nel Dev Dashboard o nel pannello di amministrazione di Shopify e le app pubbliche, che secondo Shopify rientrano in un requisito separato.

I partner che possiedono più app devono rispettare una regola in più. Dal 1° gennaio 2027 basta una sola app senza allowlist per compromettere la possibilità di installare qualsiasi loro app su negozi esterni alla propria organizzazione. Shopify non dice con precisione cosa succede a un’installazione esistente ancora senza allowlist dopo quella data, quindi considera il 1° gennaio una scadenza tassativa.

## Cosa fare prima del 20 novembre e del 1° gennaio

- Verifica chi è il proprietario di ciascuna app personalizzata del tuo negozio. Se l’ha sviluppata un fornitore, chiedigli se è installata dalla sua organizzazione.
- Chiedi al proprietario di configurare l’allowlist nel Dev Dashboard. Shopify offre due strade: indicare indirizzi IP fissi o intervalli di indirizzi, se l’app chiama Shopify da indirizzi statici, oppure, se i suoi indirizzi cambiano, autorizzare gli identificativi di rete del provider di hosting (ASN) e i paesi in cui l’app è in esecuzione.
- Se prevedi di installare una nuova app personalizzata di un fornitore dopo il 20 novembre, verifica prima che l’allowlist sia già configurata.
- Se sei un’agenzia o un partner, controlla tutte le app installate su negozi esterni alla tua organizzazione e configurale una per una prima del 1° gennaio 2027.

Un piccolo cambiamento di piattaforma come questo è proprio il genere di cosa che l’[assistenza dopo il lancio](https://www.cognivise.co.uk/blog/what-application-support-covers) dovrebbe intercettare senza che tu debba chiederlo. Se nessuno si occupa più della tua app personalizzata, il servizio di [assistenza e manutenzione continuativa](https://www.cognivise.co.uk/it/servizi/assistenza-e-manutenzione-software) di Cognivise può prenderla in carico.

## Leggi anche

- [Assistenza e manutenzione continuativa](https://www.cognivise.co.uk/it/servizi/assistenza-e-manutenzione-software)
- [Cosa dovrebbe coprire l’assistenza software dopo il lancio?](https://www.cognivise.co.uk/blog/what-application-support-covers)