E-commerce · Ciberseguridad
¿Tus apps de Shopify seguirán en la tienda? Fecha límite: 12 y 20 de noviembre
Por Cristian Parada, Fundador & CEO
Publicado el
¿Usas apps públicas en tu tienda Shopify? Desde el 12 de noviembre de 2026, las que llaman a la API de administración deben configurar una lista de IP permitidas. Qué revisar hoy.
Si tu tienda Shopify usa apps públicas que se conectan a la API de administración, tienes hasta el 12 de noviembre de 2026 para que sus desarrolladores configuren una lista de IP permitidas (IP allowlist) si la app hace operaciones masivas, y hasta el 20 de noviembre para el resto. Si la app no lo tiene a tiempo, Shopify puede retirarla de la App Store y bloquear nuevas instalaciones. Hoy puedes revisar qué apps tienes y quién las mantiene.
Resumen rápido
- Qué pide Shopify: que las apps públicas que llaman a la Admin API solo acepten conexiones desde direcciones IP autorizadas.
- Fecha para apps con operaciones masivas: 12 de noviembre de 2026, 11:59 p. m. (hora del este de EE. UU.), según el changelog de desarrolladores de Shopify.
- Fecha para el resto de apps públicas: 20 de noviembre de 2026, a la misma hora.
- Qué no cambia: las apps personalizadas (custom apps) y las creadas por el comercio desde el Dev Dashboard o el admin no entran en esta exigencia.
Qué es el IP allowlist y para qué sirve
Una lista de IP permitidas le indica al servidor que solo debe atender peticiones de una app desde las direcciones que el desarrollador registró. Si alguien logra robar un token de acceso, no puede usarlo desde cualquier computador. Por eso Shopify lo exige ahora a las apps públicas, que son las que tienen más tiendas conectadas y más datos de clientes.
Qué revisar hoy en tu tienda
No necesitas tocar código para saber si te afecta. La revisión toma menos de una hora:
- Revisa las apps instaladas en tu admin de Shopify, en Configuración > Apps y canales de venta. Separa las que son públicas (de la App Store) de las personalizadas.
- Pregunta a cada proveedor de una app pública si ya tiene el IP allowlist configurado y en qué fecha. Un proveedor serio tendrá la respuesta por escrito.
- Identifica las apps con operaciones masivas, como exportaciones de catálogo, actualizaciones de inventario en lote o sincronizaciones con tu ERP o contabilidad. Esas son las que tienen la fecha del 12 de noviembre.
- Si tienes una app personalizada hecha por tu equipo o una agencia, no necesitas cambiarla por esta exigencia, pero sí confirma que sus integraciones externas siguen funcionando.
Qué pasa si la app no cumple
| Tipo de app | Fecha límite | Si no cumple |
|---|---|---|
| Pública con operaciones masivas | 12 de noviembre de 2026 | Las operaciones masivas no se ejecutan |
| Pública, resto de apps | 20 de noviembre de 2026 | Retirada de la App Store y sin nuevas instalaciones |
| Personalizada o creada en el Dev Dashboard | No aplica | Sin cambio por esta exigencia |
Las instalaciones que ya existen pueden seguir funcionando un tiempo más. La documentación de seguridad de apps de Shopify indica que, a partir del 1 de abril de 2027, las peticiones a sus APIs de administración dejan de funcionar para las apps que no cumplan. Confirma la fecha exacta en la documentación oficial, porque los reportes de terceros no siempre coinciden.
Si la app corre en servicios serverless
Si tu proveedor aloja la app en servicios serverless con IP dinámicas, una lista de IP fija no siempre resuelve el problema. La pregunta correcta para el proveedor es cómo va a cumplir con la exigencia desde esa infraestructura. La guía de seguridad de apps de Shopify describe las opciones disponibles.
Cómo lo hacemos en Zero Azul
En Zero Azul trabajamos con tiendas Shopify en Colombia y revisamos el stack de apps antes de que una fecha límite afecte las ventas. Para una pyme, el trabajo incluye un inventario de apps con su tipo, la confirmación con cada proveedor, la prueba de las operaciones masivas (catálogo e inventario) y un plan de respaldo si una app queda fuera de la tienda. Si las apps también sincronizan tu contabilidad o tu WhatsApp, validamos esas conexiones en la misma revisión. Puedes ver el alcance en nuestro servicio de soporte para Shopify.
Si quieres repasar el tema con calma, también te puede servir nuestra guía sobre cómo revisar las apps de tu tienda ante un checkout falso y el resumen de qué apps necesita una tienda Shopify en Colombia.
Preguntas frecuentes
¿Qué es el IP allowlist de Shopify?
Es una lista de direcciones IP desde las que una app pública puede llamar a la API de administración de tu tienda. Las peticiones desde una IP que no está en la lista se rechazan.
¿Qué pasa si mi app de Shopify no configura el IP allowlist?
Shopify puede retirarla de la App Store y bloquear nuevas instalaciones. Las operaciones masivas de apps públicas sin lista no se ejecutan. Las instalaciones existentes pueden seguir funcionando hasta el 1 de abril de 2027, según la documentación de Shopify.
¿Cuánto tiempo tiene mi proveedor para configurarlo?
Hasta el 12 de noviembre de 2026 para las apps con operaciones masivas y hasta el 20 de noviembre de 2026 para el resto de apps públicas, a las 11:59 p. m. hora del este de EE. UU.