Dos fechas con consecuencias distintas
Shopify publicó el requisito el 5 de noviembre de 2026. Las aplicaciones públicas que usan operaciones bulk de la Admin API deben configurar y activar una lista de IP antes del 12 de noviembre a las 23:59, hora del Este de Estados Unidos. Después, se bloquearán las consultas y mutaciones bulk de las aplicaciones públicas no configuradas. Las demás aplicaciones públicas que llaman a la Admin API tienen hasta el 20 de noviembre a las 23:59 ET; las que sigan sin lista se retirarán de App Store y no admitirán nuevas instalaciones. Shopify afirma que las instalaciones existentes funcionarán hasta el 1 de abril de 2027; a partir de entonces fallarán las solicitudes Admin API de las aplicaciones afectadas.
El 20 de noviembre no amplía el plazo de las operaciones bulk: para ellas ya se aplica el bloqueo anterior del día 12. Shopify también prevé marcar las aplicaciones afectadas en los ajustes del comerciante desde el 20 de noviembre y enviar avisos a partir del 15 de enero de 2027. Son etapas distintas; que una instalación existente siga funcionando temporalmente no demuestra que la migración haya terminado.
Aplicaciones públicas y aplicaciones personalizadas
El requisito afecta a las aplicaciones públicas, incluidas las distribuidas mediante Shopify App Store. Shopify indica que las aplicaciones personalizadas y las creadas por comerciantes en Dev Dashboard o en el panel de administración no están sujetas a este mandato específico para aplicaciones públicas. Eso no las hace inmunes a credenciales expuestas: cuando la plataforma lo permite, restringir las redes autorizadas también puede limitar el uso de un token filtrado.
El comerciante debería preguntar al proveedor si la aplicación llama a la Admin API, ejecuta operaciones bulk y ya aplica la lista. Normalmente, el comerciante no puede proporcionar en nombre del desarrollador las direcciones de salida de su servicio. La actualización corresponde al propietario de la aplicación, aunque el comerciante quizá deba probar sus propios flujos después de cambios de alojamiento o red.
Direcciones fijas y redes serverless
Las aplicaciones con direcciones IP de salida estables pueden registrar esas direcciones o sus rangos CIDR en Dev Dashboard. Un servicio serverless puede usar direcciones variables, por lo que una lista de IP individuales resulta frágil. La actualización de Shopify del 5 de noviembre incorpora la opción Networks: el desarrollador puede permitir los números de sistema autónomo (ASN) de un proveedor, limitar los países, probar la selección con tráfico reciente y activar después el control. Shopify documenta un máximo de diez ASN y diez países; las solicitudes desde redes externas reciben HTTP 403.
Las reglas ASN cubren más que una dirección fija y requieren elegir cuidadosamente proveedor y geografía. No justifican permitir cualquier proveedor o país. Antes de activarlas, confirmar que incluyen las regiones de producción y los trabajos en segundo plano legítimos y revisar el tráfico reciente. Shopify orienta a los equipos con salida dinámica hacia ASN, no hacia direcciones adivinadas.
Lista de migración para equipos de aplicaciones
Primero, inventariar todas las aplicaciones públicas, integraciones Admin API, procesos en segundo plano y operaciones bulk. Registrar la salida de red real de cada entorno sin confundir desarrollo o vista previa con producción. Después, elegir IP/CIDR estáticas o una regla acotada de ASN y países según el alojamiento. Probarla con tráfico reciente, validar los flujos normales y bulk y activar la aplicación solo entonces.
Tras el despliegue, vigilar respuestas 403 y errores API, mantener la lista alineada con los cambios de infraestructura y asignar una persona responsable. Probar el procedimiento de recuperación antes de la fecha límite. Los comerciantes deberían contactar pronto con los proveedores de sus aplicaciones y revisar pedidos, sincronización de inventario y funciones críticas después de la migración.
Fuentes y lecturas adicionales
¿Quieres señalar un error factual o sugerir una fuente? Contactar con la redacción.
