Apps moeten vóór januari 2027 overstappen op verlopende toegangstokens

Wat is er veranderd

Alle openbare apps die de Admin API aanroepen, moeten uiterlijk 1 januari 2027 overstappen op verlopende offline toegangstokens. Offline tokens zijn de langlevende sleutels waarmee een app de gegevens van een winkel leest en wijzigt wanneer de handelaar niet is ingelogd. Als een app vóór de deadline niet is overgestapt, wordt hij verwijderd uit de Shopify App Store en kan hij niet meer worden geïnstalleerd in nieuwe winkels. Bestaande installaties blijven voorlopig werken.

Er volgen later nog stappen. Op 15 januari 2027 zien handelaars die een niet-bijgewerkte app gebruiken een waarschuwing in hun Shopify-admin. Op 1 april 2027 mislukken verzoeken die nog niet-verlopende tokens gebruiken met een HTTP 403-fout.

1 januari is de migratiedeadline

Aangepaste apps, apps die je zelf voor je eigen winkel maakt, en online toegangstokens worden niet getroffen.

Waarom het belangrijk is voor je winkel

Je hoeft vandaag niets aan je winkel te veranderen. Toch kan een app waar je op vertrouwt worden verwijderd of een waarschuwing tonen als de ontwikkelaar de overstap niet op tijd afrondt. Shopify heeft ook beveiligingstools voor ontwikkelaars toegevoegd, zoals een IP-allowlist en een lijst met de servers waarmee een app verbinding maakt. De IP-allowlist weigert Admin API-verzoeken van IP-adressen die niet op de lijst staan. Met de serverlijst kan een app aangeven van welke servers hij laadt of naar welke servers hij verzoeken stuurt. De lijst kan ook sites noemen waarnaar de app klanten doorverwijst, zodat die links de waarschuwing overslaan die klanten normaal zien voordat ze de winkel verlaten.

Wat je deze week kunt doen

• Maak een lijst van de apps die je winkel gebruikt.
• Vraag elke ontwikkelaar of hij uiterlijk 1 januari 2027 is overgestapt op verlopende tokens.
• Plan een vervanging voor elke app waarvan de ontwikkelaar geen plan heeft, zodat je klaar bent als hij wordt verwijderd.