Shopify exige el uso de listas negras de IP para aplicaciones públicas con el fin de prevenir el acceso no autorizado a la API de administración.

Shopify exige el registro de direcciones IP en la lista blanca para las aplicaciones públicas que utilizan su API de administración, añadiendo una comprobación de seguridad para limitar el uso de tokens de acceso robados. Los desarrolladores deben habilitar este control antes del 20 de noviembre de 2026 a las 23:59 (hora del este de EE. UU.). Las aplicaciones que utilizan operaciones masivas tienen una fecha límite anterior: el 12 de noviembre a la misma hora.

Este cambio convierte una función de seguridad introducida el 27 de octubre en un requisito. Shopify verificará el origen de las solicitudes a la API, en lugar de depender únicamente de un token válido. Esto aborda el riesgo descrito en la guía de seguridad de API en la nube de Cybersecuritynews.com, donde las credenciales robadas pueden dar acceso a los servicios en la nube a los atacantes.

Una vez que el registro de direcciones IP esté activo, Shopify verifica la dirección IP de origen de las solicitudes a la API de administración GraphQL y a la API de administración REST utilizando los tokens de la aplicación. Las solicitudes provenientes de direcciones o redes externas a las aprobadas reciben una respuesta HTTP 403. Shopify también rechaza las solicitudes cuando no puede confirmar la dirección de origen.

Las aplicaciones que no cumplan con la fecha límite del 20 de noviembre se eliminarán de la tienda de aplicaciones de Shopify y se bloquearán las nuevas instalaciones. Las instalaciones existentes podrán seguir funcionando hasta el 1 de abril de 2027, fecha en la que las solicitudes a la API de administración dejarán de funcionar. Sin embargo, las consultas masivas y las mutaciones se verán afectadas por la fecha límite anterior del 12 de noviembre. Los comerciantes recibirán advertencias de administración a partir del 15 de enero.

Esta política busca prevenir el uso indebido de tokens, un riesgo que quedó demostrado por el informe de Cybersecuritynews.com sobre las repetidas filtraciones de Internet Archive mediante tokens de API sin rotar. Las restricciones de red brindan protección adicional, pero los desarrolladores aún deben proteger sus credenciales. Un atacante que opere dentro de una red autorizada podría permanecer dentro de los límites permitidos.