Shopify exige tokens offline con caducidad a sus apps públicas

Las aplicaciones públicas de Shopify que utilizan la Admin API deben pasar a tokens de acceso offline con caducidad antes del 1 de enero de 2027. Si tienes una tienda, corresponde al proveedor adaptar su aplicación, pero necesitas comprobar que lo hará. Si mantienes una app pública, debes completar la migración para evitar que pierda acceso a la API.

Shopify publicó el calendario el 27 de octubre de 2026, junto con nuevas medidas de seguridad para aplicaciones. La fecha de enero es el límite para migrar, aunque las consecuencias se aplicarán progresivamente.

Tres fechas que afectan a las aplicaciones de Shopify

El calendario oficial distingue entre la retirada de aplicaciones de la tienda, los avisos a comercios y el bloqueo técnico de las peticiones.

Estas fechas figuran en el changelog oficial de Shopify y en su comunicado de seguridad para desarrolladores.

El 1 de enero no supone que una tienda deje de funcionar ni que se desinstalen automáticamente sus aplicaciones. Sin embargo, tampoco conviene interpretar los meses posteriores como una ampliación del plazo de migración.

Si tienes una tienda, revisa las aplicaciones instaladas

El primer paso es entrar en el administrador de Shopify y revisar la lista de aplicaciones. Identifica cuáles son públicas y qué operaciones realiza cada una.

Presta especial atención a las que utilizan la Admin API para intercambiar información con sistemas externos. Una aplicación que sincroniza existencias o gestiona pedidos puede afectar a operaciones habituales si pierde acceso.

No necesitas modificar los tokens desde el panel del comercio. La migración corresponde al desarrollador de cada aplicación, pero puedes solicitarle una confirmación escrita.

La consulta debería incluir tres cuestiones:

• Si la aplicación utiliza tokens offline para acceder a la Admin API.
• Si ya cumple el requisito de caducidad o cuándo finalizará la migración.
• Qué funciones podrían verse afectadas si no llega a tiempo.

Las dependencias con proveedores merecen una revisión anticipada, especialmente cuando una aplicación participa en procesos comerciales habituales.

Si el proveedor no confirma que cumplirá, identifica una alternativa y comprueba las dependencias antes de sustituirla. El aviso del 15 de enero debe servir para actuar sobre un problema pendiente, no para empezar a investigar qué aplicación lo provoca.

Este tipo de revisión encaja con mantener un calendario de soporte para el stack tecnológico.

No todas las aplicaciones están afectadas

La obligación se aplica a las apps públicas que utilizan la Admin API.

Shopify aclara que quedan fuera las aplicaciones personalizadas, las creadas por el propio comercio y los tokens de acceso online.

Además, las aplicaciones públicas creadas desde el 1 de abril de 2026 ya estaban obligadas a utilizar tokens offline con caducidad.

Conviene distinguir el tipo de aplicación antes de exigir cambios al proveedor. Que una tienda tenga varias integraciones no significa que todas estén sujetas al mismo requisito.

En proyectos con funcionalidades específicas, como un configurador 3D de producto, también interesa documentar qué aplicaciones intervienen y de qué servicios dependen.

Si desarrollas una app pública, la migración debe estar terminada antes de enero

Para quien mantiene una aplicación pública existente, el trabajo consiste en sustituir el uso de tokens offline sin caducidad por el modelo con caducidad de Shopify.

La comunicación oficial remite a la documentación de migración para actualizar la obtención de tokens, adaptar las instalaciones existentes y verificar su almacenamiento y renovación.

No basta con que las instalaciones nuevas funcionen. Las tiendas que ya utilizan la aplicación también deben quedar cubiertas por el cambio.

Antes de cerrar la actualización, comprueba que las llamadas necesarias a la Admin API continúan funcionando y que los procesos de recuperación de acceso están contemplados.

Shopify incorpora controles de seguridad adicionales

El blog de desarrolladores de Shopify anunció otras funciones que conviene revisar al mantener una aplicación:

• Lista de IP permitidas: permite restringir el acceso a la Admin API a direcciones autorizadas. Las peticiones desde otras IP se rechazan aunque presenten un token válido.
• Declaración de acceso a red: la sección [network_access] de shopify.app.toml permite declarar los servidores y sitios con los que interactúa la aplicación.
• Client credentials: facilita recuperar acceso desde el backend cuando se pierde un refresh token.
• Verificación de identidad: se exige antes de instalar aplicaciones en tiendas de desarrollo y de transferencia.
• Comprobación de seguridad: el comando shopify app security check permite revisar prácticas de seguridad antes de publicar una versión.

Estas medidas requieren evaluar cómo está desplegada la aplicación. Por ejemplo, antes de restringir direcciones IP, hay que identificar desde qué servidores se realizan realmente las peticiones.

La protección de una integración también forma parte del mantenimiento general de una tienda, junto con otras obligaciones como la accesibilidad del comercio electrónico en España.

Esta semana, inventaría las apps públicas de tu tienda y solicita a los proveedores una confirmación de cumplimiento. Si mantienes una aplicación, revisa su migración y sus controles de acceso. Si necesitas evaluar una integración comercial o desarrollar una alternativa, cuéntanos qué aplicación o proceso quieres revisar en Contrast 3D.