Shopify ha establecido que el filtrado de direcciones IP (allowlisting) será obligatorio para las aplicaciones públicas que utilicen su API de Administración. Esta medida busca reforzar la seguridad y limitar el uso de tokens de acceso robados. Los desarrolladores tienen hasta el 20 de noviembre de 2026 para implementar este control, aunque las aplicaciones que realicen operaciones masivas (bulk operations) cuentan con un plazo más corto, venciendo el 12 de noviembre.

Shopify está haciendo que la lista blanca de IP (IP allowlisting) sea obligatoria para las aplicaciones públicas que llaman a su API de Administración, añadiendo un control de seguridad para limitar el uso de tokens de acceso robados. Debes activar este control antes del 20 de noviembre de 2026, a las 11:59 PM ET. Las aplicaciones que utilicen operaciones masivas (bulk operations) se enfrentan a una fecha límite anterior, el 12 de noviembre a la misma hora.

Este cambio convierte una función de seguridad introducida el 27 de octubre en un requisito. Shopify comprobará de dónde provienen las solicitudes de la API, en lugar de confiar únicamente en un token válido. Esto aborda el riesgo detallado en la guía de seguridad de API en la nube, donde las credenciales robadas pueden dar a los atacantes acceso a servicios cloud.

Una vez que la lista blanca esté activa, Shopify comprobará la IP de origen de las solicitudes de la API de Administración de GraphQL y de la API de Administración REST que utilicen los tokens de la aplicación. Las solicitudes procedentes de direcciones o redes no aprobadas recibirán una respuesta HTTP 403. Shopify también rechazará las solicitudes cuando no pueda confirmar la dirección de origen.

Las aplicaciones que no cumplan con la fecha límite del 20 de noviembre se enfrentan a la eliminación de la Shopify App Store y al bloqueo de nuevas instalaciones. Las instalaciones existentes podrán seguir operando hasta el 1 de abril de 2027, momento en el que las solicitudes a la API de Administración fallarán. Sin embargo, las consultas y mutaciones masivas tienen el corte anterior del 12 de noviembre. Los comerciantes recibirán advertencias de administración a partir del 15 de enero.

La política tiene como objetivo el mal uso de los tokens, un riesgo ilustrado por el informe sobre la brecha repetida del Internet Archive a través de tokens de API no rotados. Las restricciones de red añaden protección, pero tú, como desarrollador, sigues necesitando asegurar tus credenciales. Un atacante que opere dentro de una red aprobada podría permanecer dentro del límite permitido.

Shopify Obliga el Uso de Listas Blancas de IP

La guía de configuración de Shopify admite direcciones IP públicas específicas y rangos de direcciones para infraestructuras estáticas. Las aplicaciones con direcciones cambiantes pueden aprobar redes de alojamiento a través de números de sistema autónomo, o ASN. Puedes listar hasta 10 ASN y restringir el acceso a un máximo de 10 países. Estas reglas de red son más amplias que las direcciones de servidores individuales.

Configura el control en la sección de Ajustes del Panel de Desarrollador y pruébalo con el tráfico reciente antes de activar la aplicación obligatoria. Shopify te recomienda comprobar si se bloquearían solicitudes legítimas y luego confirmar que una solicitud externa falla. Debes elegir entre direcciones IP o redes, ya que guardar un tipo reemplaza al otro.

El anuncio oficial de Shopify menciona el 12 de noviembre en sus instrucciones detalladas de operaciones masivas, a pesar de que el 11 de noviembre aparece en su resumen. Por separado, las aplicaciones públicas deben migrar a tokens offline con fecha de expiración antes del 1 de enero de 2027, añadiendo límites de tiempo junto con las restricciones de red.

Fuentes:
https://cybersecuritynews.com/shopify-mandates-ip-allowlisting/