Shopify coupe les opérations groupées des apps sans liste d’IP dès le 13 novembre

Depuis le 5 novembre 2026, toute app publique doit activer une IP allowlist Shopify, c’est-à-dire une liste d’adresses IP autorisées. Celles qui lancent des opérations groupées ont jusqu’au 12 novembre, 23 h 59, heure de l’Est américain. Soit le 13 novembre à 5 h 59 à Paris, alors que les autres apps ont jusqu’au 20 novembre.

Pour un e-commerçant, le calendrier tombe mal, car le Black Friday arrive le 27 novembre. Une app de stock ou de synchronisation non conforme peut alors cesser ses traitements de masse en pleine préparation. Shopify ne publie aucune liste d’apps à risque, donc la vérification vous revient.

Une IP allowlist Shopify pour neutraliser les jetons volés

Chaque app installée sur votre boutique accède à vos données grâce à un jeton d’accès, une sorte de clé numérique. Jusqu’ici, un jeton dérobé pouvait servir depuis n’importe quel serveur. Avec la liste d’IP, la clé ne fonctionne plus que depuis les adresses ou réseaux déclarés par l’éditeur. Une requête venue d’ailleurs reçoit donc un refus (erreur 403), même avec un jeton valide.

Le 27 octobre, Shopify présentait encore cette protection comme « recommandée ». Neuf jours plus tard, elle devient obligatoire, avec des délais d’une à deux semaines. L’entreprise s’en explique sur son blog développeurs. « Les semaines les plus chargées de l’année arrivent pour les marchands, nous la demandons donc maintenant », écrit-elle. Elle ne mentionne toutefois aucun incident précis à l’origine de ce durcissement.

Les éditeurs dont l’hébergement change sans cesse d’adresse, dit « serverless », gagnent aussi une option. Ils peuvent déclarer un réseau entier via son identifiant (ASN), dans la limite de 10 réseaux répartis sur 10 pays. Shopify leur permet également de tester ce réglage sur leur trafic récent avant de l’activer.

Dès le 13 novembre, les synchronisations massives en première ligne

Les opérations groupées, ou « bulk operations », servent à lire ou modifier un grand volume de données en une seule tâche. Sans IP allowlist Shopify active, ces requêtes et modifications groupées échouent après le 12 novembre au soir, heure américaine. Shopify l’écrit noir sur blanc dans son annonce.

L’entreprise ne précise pas quelles apps s’en servent. D’après notre lecture technique, ces tâches alimentent notamment l’export complet du catalogue et les mises à jour massives de prix ou de stocks. Elles servent aussi aux connexions avec un ERP, un logiciel de caisse, une marketplace ou un flux Google Shopping. Si l’une de ces apps cale, vos stocks en ligne peuvent alors diverger de la réalité au pire moment.

Une zone d’ombre demeure. Sous son tableau, Shopify indique que les installations existantes continuent de fonctionner jusqu’au 1er avril 2027. Mais le blocage du 12 novembre vise les opérations groupées des apps publiques, sans distinction. Par prudence, considérez donc que vos apps déjà installées entrent dans le périmètre, tant que l’éditeur ou Shopify ne vous affirme pas le contraire.

20 novembre, 15 janvier, 1er avril : le calendrier complet

Deuxième échéance le 20 novembre à 23 h 59, heure de l’Est, soit le 21 à 5 h 59 à Paris. D’après le changelog de Shopify, toute app publique sans liste d’IP quitte alors l’App Store. Plus personne ne peut l’installer, et Shopify la signale dans Paramètres > Applications. Ceux qui l’utilisent déjà la conservent, puisque l’échec des appels à l’API Admin n’intervient que le 1er avril 2027.

Entre-temps, le 15 janvier 2027, un avertissement s’affichera dans l’administration des marchands qui utilisent une app non conforme. Un second chantier court en parallèle : les apps publiques doivent adopter des jetons d’accès qui expirent avant le 1er janvier 2027. Sinon, elles quittent l’App Store ce jour-là, puis suivent le même calendrier de signalement et de blocage.

Deux catégories échappent à l’obligation : les apps personnalisées et celles que le marchand crée lui-même. Cela vaut pour le Dev Dashboard comme pour l’administration. Une app qui appelle l’API depuis l’infrastructure du marchand peut aussi demander une prolongation, mais on ignore comment Shopify traite ces demandes. Enfin, Shopify annonce sans date une autorisation dédiée à chaque opération groupée. Il l’accordera d’office aux apps qui en ont lancé une ces 180 derniers jours.

IP allowlist Shopify : les apps à contrôler avant le 12 novembre

Vous n’avez rien à paramétrer dans votre boutique, car la mise en conformité revient à chaque éditeur. En revanche, c’est à vous de savoir où en sont vos apps avant le jeudi 12 novembre.

1. Ouvrez Paramètres > Applications : Shopify y montre désormais comment chaque app se protège, jetons expirants et liste d’IP compris.
2. Isolez les apps qui touchent au catalogue, aux stocks, aux commandes, aux flux produits ou aux imports et exports.
3. Écrivez à chaque éditeur concerné avant jeudi. Posez deux questions : l’app lance-t-elle des opérations groupées, et sa liste d’IP fonctionne-t-elle déjà ?
4. Demandez aussi où en est sa migration vers les jetons qui expirent, attendue avant le 1er janvier 2027.
5. Gelez les nouvelles installations jusqu’après le Black Friday, puisque les apps non conformes deviennent impossibles à installer dès le 21 novembre.

Sans réponse claire d’un éditeur, prévoyez une solution de repli pour vos tâches critiques, comme un export manuel du catalogue. Notez ensuite le 1er janvier, le 15 janvier et le 1er avril 2027 dans votre agenda. Si vous hésitez sur l’organisation de vos synchronisations, notre équipe sites et e-commerce peut vous aider à faire le tri.