Shopify exige una IP allowlist a las apps públicas. El primer riesgo llega el 12 de noviembre con las operaciones masivas; el 20 se bloquean nuevas instalaciones de apps incumplidas. Revisa dependencias, exige confirmación y prueba antes de cambiar herramientas.
Shopify anunció el 5 de noviembre de 2026 un requisito de seguridad para todas las apps públicas: una IP allowlist. Para el dueño de una tienda, la prioridad no es configurar servidores. Es saber qué apps de Shopify sostienen su operación, cuáles usan procesos masivos y qué desarrollador todavía no confirmó el cambio antes de Black Friday.
¿Qué es la IP allowlist de las apps de Shopify?
Una IP allowlist es una lista de redes autorizadas desde las que una app puede usar sus tokens para acceder a la API de administración. Shopify la exige a las apps públicas. La configura el desarrollador de la app, no el comprador ni el dueño de la tienda desde su red de oficina.
La finalidad es limitar el impacto de un token filtrado: fuera de las redes autorizadas, las solicitudes protegidas se rechazan. La documentación incluye direcciones fijas y alternativas para infraestructura con direcciones dinámicas. No necesitas pedirle a tu equipo de marketing que publique sus IP ni compartir credenciales con el proveedor.
¿Qué cambia el 12 y el 20 de noviembre?
El 12 de noviembre se bloquean las operaciones masivas de apps públicas sin allowlist. El 20 se retiran del App Store, se bloquean nuevas instalaciones y se marcan en Settings > Apps. Las instalaciones existentes siguen funcionando, salvo las restricciones ya aplicadas a operaciones masivas. No es un apagado general de tiendas.
| Fecha Guatemala | Medida confirmada | Qué revisar |
|---|---|---|
| 12 nov 2026, 22:59 | Fallan las bulk queries y bulk mutations de apps públicas sin allowlist. | Exportaciones, importaciones y sincronizaciones que el proveedor confirme que usan bulk operations. |
| 20 nov 2026, 22:59 | Retiro del App Store y bloqueo de nuevas instalaciones; app marcada en Settings > Apps. | Avisos y plan del proveedor. Una instalación existente no se desactiva por completo ese día. |
| 15 ene 2027 | Advertencia adicional en el administrador. La documentación no indica una hora. | No dejar la solución para la siguiente campaña. |
| 1 abr 2027 | Shopify rechaza solicitudes GraphQL Admin API y REST Admin API de apps incumplidas. Sin hora especificada. | Las funciones que dependen de esas APIs dejan de poder operar. |
El changelog fija los dos primeros cortes a las 23:59 de la costa este de Estados Unidos, equivalentes a las 22:59 de Guatemala en esas fechas. Enero y abril aparecen en la documentación técnica, no en el aviso breve del changelog.
Que una app siga instalada no confirma que sus tareas masivas funcionen. Que salga del App Store tampoco significa que tu checkout completo se apague el 20 de noviembre.
¿Qué apps de tu tienda entran en esta revisión?
Entran todas las apps públicas, aunque solo una parte use operaciones masivas. Las apps personalizadas y las creadas por comerciantes quedan fuera de la obligación descrita en el anuncio. La etiqueta comercial del proveedor no basta para clasificarlas: pide que confirme el tipo de distribución y cómo usa la API de Shopify.
Shopify distingue distribución pública, pensada para múltiples comerciantes, de distribución personalizada. Las operaciones masivas sirven para consultar o importar grandes conjuntos de datos. Una app de catálogo o reportes podría usarlas, pero no afirmes que una app está afectada solo por su categoría. Eso debe confirmarlo quien la desarrolla.
¿Cómo revisar las apps antes de Black Friday?
Haz un inventario por proceso, no por popularidad de la app. Identifica qué herramienta actualiza catálogo, inventario, pedidos y reportes; quién responde por ella; y qué pasa si falla. Después pide confirmación del cumplimiento y prueba los flujos críticos. Un correo que dice “todo listo” vale menos que una ejecución comprobada.
- Lista las dependencias. Anota app, responsable interno, contacto del desarrollador y proceso que sostiene. Separa apps públicas de personalizadas.
- Pregunta por el corte del 12. Solicita confirmación de si usa bulk queries o bulk mutations y si su allowlist ya está configurada y probada.
- Prueba el trabajo real. Con tu equipo técnico, valida una sincronización y una exportación que sí utilices. Registra cuándo corrió y cuál fue el resultado.
- Revisa los avisos. A partir del corte del 20, comprueba Settings > Apps. Antes de esa fecha no supongas que la ausencia de marca demuestra cumplimiento.
- Prepara contingencia. Define qué tarea puedes hacer de forma manual, quién autoriza una sustitución y cómo volver al estado anterior sin perder datos.
Ruta de decisión propuesta por MAS Digital
- Inventario de apps públicas
- Confirmación del desarrollador
- Prueba del proceso crítico
- Mantener, corregir o sustituir
¿Cuándo conviene mantener, cambiar o dejar de instalar una app?
Mantén una app cuando el proveedor confirme cumplimiento y el flujo funcione en tus pruebas. Exige una fecha y evidencia si la adaptación está pendiente. Evalúa reemplazo cuando una función crítica no tenga solución verificable, pero no migres a ciegas antes de una campaña. Evita nuevas instalaciones sin respuesta clara sobre este requisito.
| Situación | Decisión propuesta por MAS | Evidencia mínima |
|---|---|---|
| Cumple y pasa las pruebas | Mantener y monitorear. | Confirmación técnica y resultado del flujo. |
| Pendiente, con responsable y fecha | Exigir cierre antes del corte que afecte su función. | Plan escrito y prueba agendada. |
| Crítica, sin respuesta del proveedor | Preparar alternativa y contingencia. | Validación de datos, integración y reversibilidad antes de migrar. |
| Nueva app sin claridad | No instalar todavía. | Respuesta concreta sobre allowlist y funciones que usa. |
¿Qué recomendamos hacer primero en una tienda de Guatemala?
En MAS recomendamos revisar primero las apps que mueven datos necesarios para vender y entregar pedidos. Después, las que alimentan reportes o campañas. El orden depende de tu operación, no del precio de la app. Deja por escrito quién decide ante una falla y qué prueba permite declarar resuelto el riesgo.
No desinstales todas las apps marcadas por reflejo. Primero valida el impacto, conserva la información necesaria y confirma cómo sustituir su función sin afectar los pedidos.
Completa la revisión con nuestra guía de abandono de carrito y checkout en Shopify y la guía de CRO para ecommerce en Guatemala. Son revisiones complementarias: este aviso trata de seguridad y continuidad de apps, no de un rediseño del checkout.
¿No sabes qué app sostiene cada proceso? Revisemos las dependencias de tu tienda y el plan de pruebas antes de cambiar herramientas.
¿Qué dudas quedan sobre el calendario de apps?
Las dudas prácticas son quién configura la allowlist, qué pasa con las instalaciones existentes y dónde aparecerán los avisos. Las respuestas siguientes resumen el calendario oficial, no el estado de ninguna app concreta. Para decidir sobre una herramienta instalada, contrasta estas reglas con la confirmación escrita de su desarrollador.
¿Tengo que configurar la IP de mi tienda?
No. El desarrollador configura las redes desde las que su app accede a la API de administración de Shopify.
¿El 20 de noviembre dejan de funcionar todas las apps incumplidas?
No. Las instalaciones existentes siguen funcionando, salvo las restricciones previas a operaciones masivas. El rechazo de solicitudes Admin API está previsto para el 1 de abril de 2027.
¿Las apps personalizadas tienen la misma obligación?
No según el anuncio. Shopify recomienda las allowlists para apps personalizadas, pero no las exige con este calendario.
¿Dónde veré las apps marcadas?
La documentación indica Settings > Apps a partir del corte del 20 de noviembre de 2026 para las apps públicas incumplidas.
¿Dónde publicó Shopify estos requisitos?
El changelog de Shopify confirma el anuncio y los dos cortes de noviembre. Su documentación técnica añade la marca en el administrador, la advertencia de enero y el rechazo de solicitudes de abril. Otras dos guías explican las operaciones masivas y la distribución de apps. Consultamos todo el 8 de noviembre de 2026.
- Shopify Changelog: requisito de IP allowlists, 5 nov 2026 (consulta: 8 de noviembre de 2026)
- Shopify: Restrict API access with an IP allowlist (consulta: 8 de noviembre de 2026)
- Shopify: Perform bulk operations with the GraphQL Admin API (consulta: 8 de noviembre de 2026)
- Shopify: About app distribution (consulta: 8 de noviembre de 2026)
Cómo revisamos este contenido: contrastamos los anuncios y la documentación enlazada. No usamos cifras de desempeño ni casos de clientes.
Descubre por qué
somos la agencia que necesitas.
