El 5 de noviembre de 2026 Shopify hizo obligatoria la lista blanca de IP (IP allowlist) para todas las apps públicas que acceden a la Admin API de tu tienda. Hay dos fechas: el 12 de noviembre se bloquean las operaciones masivas de las apps que no la tengan, y el 20 de noviembre esas apps salen de la App Store y ya no se pueden instalar. Las que tienes instaladas siguen funcionando hasta el 1 de abril de 2027, cuando Shopify rechazará sus llamadas. Tú no tienes que configurar nada técnico, pero sí revisar qué apps de las que te sostienen el negocio cumplen, sobre todo las de inventario, ERP y catálogo, porque todo esto cae a dos semanas del Black Friday.
Qué ha anunciado Shopify sobre la lista blanca de IP
Ha ido en tres pasos y en menos de tres semanas:
- 20 de octubre: Shopify pidió a todos los desarrolladores de apps que revisaran la seguridad de sus apps esa misma semana. Fue justo después del caso de las tres apps que mandaban a los compradores a checkouts falsos, que ya contamos en qué hacer tras el aviso de apps de Shopify hackeadas.
- 27 de octubre: en su actualización de seguridad de octubre, Shopify puso en marcha la lista blanca de IP como recomendación y confirmó otra fecha: antes del 1 de enero de 2027, las apps públicas tienen que pasar a tokens de acceso que caducan.
- 5 de noviembre: la recomendación pasa a ser obligatoria. Lo dice el changelog oficial de Shopify y lo detalla el anuncio en la comunidad de desarrolladores.
Cómo funciona: el desarrollador indica desde qué direcciones IP (o desde qué red, si su app está en servidores sin IP fija) salen las peticiones de su app. Si alguien roba el token de acceso de esa app e intenta usarlo desde otro sitio, Shopify rechaza la petición aunque el token sea válido. Es un candado más contra lo que ha pasado este otoño: tokens filtrados con los que se podía leer o tocar los datos de miles de tiendas.
Calendario: qué pasa con las apps de Shopify en cada fecha
| Fecha (23:59 hora de Nueva York) | Qué ocurre | Qué notas en tu tienda |
|---|---|---|
| 12 de noviembre de 2026 | Las operaciones masivas (bulk operations) de apps públicas sin lista blanca dejan de ejecutarse | Pueden fallar sincronizaciones de stock, importaciones de productos, exportaciones de pedidos o feeds |
| 20 de noviembre de 2026 | Las apps públicas sin lista blanca se retiran de la App Store y no admiten instalaciones nuevas | En Configuración > Apps verás marcadas las apps que no cumplen |
| 1 de enero de 2027 | Las apps que sigan con tokens que no caducan también se retiran de la App Store | Lo mismo, pero por el segundo requisito |
| 15 de enero de 2027 | Shopify muestra avisos a los comerciantes | Te aparecerá una advertencia en el panel |
| 1 de abril de 2027 | Shopify rechaza las llamadas a la Admin API de las apps que no cumplan | La app deja de funcionar |
Un detalle: en algunos textos de Shopify la fecha de las operaciones masivas aparece como el 11 de noviembre y en otros como el 12, según recoge TrustList. Cuenta con la primera. Shopify también permite a los desarrolladores pedir una prórroga, así que es posible que alguna app que hoy no cumple consiga más tiempo. Pero eso no lo decides tú.
Qué significa la lista blanca de IP para tu tienda Shopify
La obligación es del desarrollador de cada app, no tuya. Aun así, el riesgo lo corres tú, por tres motivos:
- Las operaciones masivas son el corazón de muchas integraciones. Las apps que sincronizan stock con un almacén o un ERP, importan catálogos con miles de referencias, generan feeds para Google Shopping o exportan pedidos a contabilidad suelen trabajar con bulk operations. Si su desarrollador no ha hecho los deberes, desde el 12 de noviembre pueden fallar sin que nadie te avise, en plena preparación del Black Friday (que este año es el 27 de noviembre).
- Si desinstalas una app que no cumple, puede que no la puedas volver a instalar. A partir del 20 de noviembre esas apps no admiten instalaciones nuevas. No uses el truco de quitarla y ponerla otra vez para arreglar un fallo sin comprobar antes si cumple.
- Una app que no cumple es una señal de cómo se mantiene. Si a estas alturas un proveedor no ha metido un cambio de seguridad que Shopify lleva pidiendo desde octubre, apúntalo como candidato a sustituir antes de abril.
Qué apps de Shopify quedan fuera de la obligación
Según el changelog de Shopify, no les afecta a las apps personalizadas (custom apps) ni a las que crea el propio comerciante desde el admin o desde el Dev Dashboard. Esto toca de lleno a muchas pymes, porque las integraciones a medida con un ERP, con un flujo de n8n o con un asistente de IA interno se montan casi siempre como app personalizada.
| Tipo de app | ¿Le afecta la lista blanca obligatoria? | Qué hacer |
|---|---|---|
| App pública de la App Store (reseñas, envíos, feeds, upsell, ERP...) | Sí | Confirmar con el proveedor que la ha activado |
| App personalizada creada en tu admin o en el Dev Dashboard | No | Revisar permisos y dónde está guardado el token (más abajo) |
| Conector de un ERP o CRM que instalas desde la App Store | Sí, porque es una app pública | Preguntar al fabricante o al partner que te lo implantó |
| Flujos de n8n, Make o scripts con token de una app personalizada | No | Buenas prácticas: permisos mínimos, rotación de tokens, IP fija si es posible |
Qué hacer esta semana: checklist para tu tienda
1. Haz inventario de apps en Configuración > Apps
Shopify ya muestra en esa pantalla los ajustes de seguridad de cada app: si usa tokens que caducan y si tiene lista blanca de IP. Haz una tabla sencilla con nombre de la app, para qué la usas, si toca stock, pedidos o precios, y qué dice esa pantalla. En una tienda de tamaño medio suelen salir entre 10 y 30 apps, y seguro que alguna ni la recuerdas.
2. Prioriza por impacto en ventas
Primero, las que mueven dinero o stock: sincronización de inventario, ERP, logística y envíos, facturación, feeds de marketplaces y Google Shopping, e importadores de catálogo. Después, las de marketing y reseñas. Por último, las que no usas, que conviene desinstalar ya: cada una es una puerta más con acceso a tus datos.
3. Escribe a los proveedores con una pregunta concreta
No te quedes en un "¿estáis al día?". Pregunta exactamente esto:
¿Vuestra app tiene activada la lista blanca de IP que Shopify exige desde el 20 de noviembre de 2026? ¿Usa operaciones masivas y, si es así, estará lista antes del 12 de noviembre? ¿Habéis migrado ya a tokens de acceso caducables antes del 1 de enero de 2027?
Si en 48 horas no contestan o la respuesta es vaga, prepárate para el peor caso.
4. Ten un plan B para las apps críticas
Mira si hay una app alternativa que ya cumpla, o si te compensa sustituirla por una integración propia. Una sincronización de stock o de pedidos montada como app personalizada con automatizaciones con n8n no depende de que un tercero haga sus deberes y no paga cuota por pedido. Si la pieza crítica es tu ERP, revisa cómo está conectado. Lo tienes explicado en nuestra guía de integración de Odoo con Shopify, y si estás valorando implantar uno, en la página de implantación de Odoo ERP.
5. Congela cambios en apps hasta después del Black Friday
Una vez hecha la revisión, no instales ni desinstales apps entre el 20 de noviembre y el Cyber Monday salvo que sea imprescindible. Si quieres preparar el resto de la campaña, tienes la lista en qué hacer antes del Black Friday tras la Shopify Fall '26 Edition.
Tus apps personalizadas: no te obligan, pero revísalas igual
Que tus integraciones a medida estén exentas no quiere decir que estén seguras. El riesgo que Shopify intenta tapar, un token con acceso a tu tienda que acaba donde no debe, también vale para ellas. Revisa estos puntos:
- Permisos mínimos: si un flujo solo lee pedidos, el token no debería poder modificar productos ni clientes.
- Dónde está guardado el token: nunca en una hoja de cálculo, en un correo ni en código publicado. Tampoco pegado en ChatGPT para "que te ayude con la integración", un problema que tratamos en el artículo sobre shadow AI y datos de empresa.
- Rotación: si un empleado o una agencia que tenía acceso ya no trabaja contigo, regenera los tokens.
- IP fija: si tu n8n está en un servidor propio, tiene una IP estable. Es la mejor base para limitar el acceso si Shopify amplía estas medidas a las apps personalizadas, algo que hoy no ha anunciado.
Pasa lo mismo con los asistentes de IA conectados a tu catálogo o a tus pedidos. Si montas un asistente corporativo con IA que consulta Shopify, lo correcto es que acceda con una app personalizada, permisos de solo lectura y un registro de lo que consulta. Y si llevas también una tienda en Magento, el principio es el mismo con sus tokens de integración. Nuestro equipo de mantenimiento y seguridad de Magento 2 lo revisa en cada auditoría.
Lo que viene en enero y abril de 2027
La lista blanca de IP es la primera de dos exigencias. La segunda, los tokens caducables, tiene fecha límite el 1 de enero de 2027, con avisos a los comerciantes desde el 15 de enero y corte definitivo el 1 de abril. Shopify ya avisó en octubre de que esas fechas posteriores no son margen extra para migrar: lo que no esté hecho el 1 de enero queda fuera de la App Store.
Si a esto le sumas el fin de los script tags, que explicamos en qué deja de funcionar en marzo de 2027, el primer trimestre de 2027 llega cargado. Lo sensato es aprovechar la revisión de ahora para limpiar apps de una vez y no tener que repetirla en enero.
Preguntas frecuentes
¿Tengo que configurar yo la lista blanca de IP en mi tienda Shopify?
No. La configura el desarrollador de cada app pública en su panel. Tu trabajo es comprobar en Configuración > Apps qué apps la tienen y pedir explicaciones a las que no.
¿Mis integraciones con n8n u Odoo dejarán de funcionar el 20 de noviembre?
Si están montadas como app personalizada creada en tu admin o en el Dev Dashboard, no les afecta. Si usas un conector que instalaste desde la App Store, es una app pública y depende de que su fabricante cumpla.
¿Qué pasa si una app que uso no cumple?
Desde el 12 de noviembre fallarán sus operaciones masivas. Desde el 20 desaparece de la App Store y no se puede instalar de nuevo. Las instalaciones existentes siguen funcionando hasta el 1 de abril de 2027, salvo que el proveedor consiga una prórroga de Shopify.
¿Esto protege mi tienda de apps hackeadas como las de octubre?
Reduce mucho el riesgo de que un token robado se use desde fuera, pero no invalida un token ya filtrado ni protege de una app comprometida desde su propio servidor. Sigue siendo clave instalar pocas apps, de proveedores fiables, y vigilar el checkout.
Si no tienes claro qué apps de tu tienda pueden fallar o quieres cambiar las integraciones críticas por otras propias antes del Black Friday, en Guznel Flow revisamos tu tienda, hablamos con los proveedores y montamos la alternativa si hace falta. Cuéntanos tu caso en nuestra página de agencia Shopify y te diremos qué conviene tocar antes de esta semana y qué puede esperar.