Shopify: apps sem lista de IPs saem da App Store a 20 de novembro

A Shopify anunciou a 5 de novembro de 2026 que todas as apps públicas da sua App Store passam a ser obrigadas a configurar uma lista de IPs autorizados (IP allowlist) para aceder à API de administração das lojas. Os prazos são curtos: 12 de novembro para as apps que usam operações em massa e 20 de novembro para todas as outras. Quem falhar o prazo é retirado da App Store, em plena época de Black Friday. Explicamos o que muda, o que acontece às apps que já tem instaladas e o que deve verificar na sua loja online.

O que a Shopify anunciou

Segundo o registo de alterações oficial da Shopify, a lista de IPs torna-se um requisito para as apps públicas, isto é, as apps de terceiros que qualquer comerciante pode instalar a partir da App Store. A 27 de outubro, a Shopify tinha apenas recomendado esta medida; agora passou a obrigatória. A empresa justifica a pressa assim: «With the busiest weeks of the year for merchants almost here, we're asking for it now» (com as semanas de maior movimento do ano para os comerciantes quase a chegar, estamos a pedi-lo agora), lê-se no anúncio no blogue de programadores.

A ideia é simples. Quando instala uma app, a loja entrega-lhe um token de acesso, uma espécie de chave que permite à app ler e alterar dados como encomendas, produtos ou clientes. Se esse token for roubado, pode ser usado a partir de qualquer ponto da internet. Com a lista de IPs ativa, o token só funciona a partir dos endereços ou redes que o programador da app declarou. Nas palavras da Shopify, «a leaked token can't be used anywhere but your own servers» (um token divulgado não pode ser usado em lado nenhum a não ser nos seus próprios servidores).

O calendário completo

A documentação da Shopify define estas datas para as apps públicas sem lista de IPs:

• 12 de novembro de 2026 (23h59, hora da costa leste dos EUA, ou seja, 04h59 de dia 13 em Lisboa): as consultas e alterações em massa (bulk operations) feitas por essas apps deixam de ser executadas.
• 20 de novembro de 2026 (23h59 ET, 04h59 de dia 21 em Lisboa): as apps são retiradas da App Store, deixam de poder ser instaladas em novas lojas e passam a ser assinaladas aos comerciantes em Definições > Apps. As instalações existentes continuam a funcionar.
• 15 de janeiro de 2027: os comerciantes que usam a app passam a ver um aviso no painel de administração.
• 1 de abril de 2027: a Shopify rejeita os pedidos dessas apps às APIs de administração (GraphQL e REST). Na prática, a app deixa de funcionar.

Há uma segunda regra em paralelo: as apps públicas têm de passar a usar tokens de acesso que expiram até 1 de janeiro de 2027, também sob pena de saírem da App Store, de acordo com a página de segurança de apps da Shopify.

Quem é afetado (e quem não é)

A obrigação recai sobre os programadores das apps públicas, não sobre os comerciantes. A Shopify indica expressamente que ficam de fora as apps personalizadas (custom apps) e as apps criadas pelo próprio comerciante no Dev Dashboard ou no painel de administração, embora recomende a lista de IPs também nesses casos.

Mesmo assim, o dono de uma loja Shopify tem motivos para prestar atenção. Se uma app de que depende (avaliações, envios, faturação, sincronização de stock, marketing por email) não cumprir o prazo:

• pode ter funções em massa, como importações ou atualizações de preços, a falhar já a partir de 12 de novembro, mesmo antes da Black Friday, que este ano calha a 27 de novembro;
• deixa de a conseguir reinstalar ou instalar numa segunda loja depois de 20 de novembro;
• arrisca que deixe de funcionar a 1 de abril de 2027, se o programador nunca fizer a alteração.

O que deve verificar já na sua loja

A Shopify informa que os comerciantes já conseguem ver a configuração de segurança de cada app em Definições > Apps, incluindo se usa tokens que expiram e lista de IPs. Recomendamos estes passos:

1. Faça o inventário das apps instaladas. Abra Definições > Apps e liste todas as apps, indicando para que serve cada uma e quem a usa na empresa.
2. Veja o estado de segurança de cada app. Anote as que ainda não mostram lista de IPs nem tokens que expiram.
3. Desinstale o que não usa. Cada app instalada tem um token com acesso aos dados da loja. Menos apps significa menos chaves que podem ser roubadas, com ou sem estas regras.
4. Contacte o suporte das apps críticas. Pergunte diretamente se a app vai cumprir os prazos de 12 e 20 de novembro. Uma resposta vaga a duas semanas do prazo é um sinal de alerta.
5. Prepare alternativas antes da Black Friday. Para apps essenciais ao checkout, aos envios ou à faturação, identifique já uma alternativa. Trocar de app em plena época alta é arriscado.
6. Reveja as apps personalizadas. Se a sua loja usa uma integração feita à medida (por exemplo, com o ERP ou o software de faturação), não é obrigatória a lista de IPs, mas a Shopify recomenda-a. Fale com quem desenvolveu a integração.

Porque é que isto importa para a segurança

A Shopify enquadra esta mudança num esforço mais amplo de segurança das apps. No mesmo anúncio, refere novas ferramentas para programadores, como filtros nos registos da API por tipo de token, testes de acesso à rede antes de publicar uma versão e verificações automáticas de segurança. Pede também que qualquer atividade suspeita seja comunicada à equipa de segurança de parceiros e lembra que é o programador quem tem de corrigir o problema e avisar os comerciantes afetados.

A Shopify não liga publicamente esta decisão a nenhum incidente concreto: a justificação oficial é reduzir o impacto de uma eventual fuga de credenciais. O risco é real em qualquer plataforma. Já escrevemos sobre dados expostos em apps criadas sem a devida configuração de acessos e sobre chaves e credenciais divulgadas por engano. Uma chave de API sem restrições é das portas de entrada mais fáceis para um atacante.

E se a sua loja não for Shopify?

O princípio aplica-se a qualquer loja online. Em WooCommerce, PrestaShop ou numa loja à medida, as chaves de API de plugins, transportadoras e serviços de pagamento também dão acesso a dados sensíveis. Vale a pena rever quem tem chaves ativas, revogar as que já não são usadas e, sempre que o serviço o permita, restringir o acesso por IP. Se usa WordPress, veja também o nosso artigo sobre a falha no processo de atualização explorada por atacantes.

Para preparar a época alta, consulte o nosso guia Black Friday e Natal 2026: como preparar a loja online e as regras sobre o preço mais baixo dos últimos 30 dias.

Em resumo

As apps públicas da Shopify sem lista de IPs perdem as operações em massa a 12 de novembro e saem da App Store a 20 de novembro. As instalações existentes mantêm-se até 1 de abril de 2027. O trabalho técnico cabe aos programadores das apps, mas é o comerciante que sofre se uma app essencial falhar em plena Black Friday. Reveja hoje as apps da sua loja.

Quer saber como está a segurança do seu site ou loja online? Faça uma auditoria gratuita em audit.marcaweb.pt ou fale com a MarcaWeb para rever as integrações e apps da sua loja antes da época alta.