Shopify setzt Token-Frist für 2027: Fragen Sie App-Entwickler nach bestehenden Installationen

Shopify hat erläutert, was passiert, wenn öffentliche Apps die Umstellungsfrist auf ablaufende Offline-Zugriffstokens verpassen. Shopbetreiber sollten ihre App-Entwickler jetzt nach bestehenden Installationen fragen: Eine App kann noch eine Zeit lang funktionieren, nachdem ihr App Store-Eintrag entfernt wurde.

Die Entwicklermitteilung vom 27. Oktober 2026 verlangt die Umstellung betroffener öffentlicher Apps vor dem 1. Januar 2027. Es geht um die Authentifizierung der App, nicht um eine Einstellung, die Händler durch Bearbeiten ihres Shops beheben können. Benutzerdefinierte und von Händlern erstellte Apps sind ausgenommen.

Drei Termine mit unterschiedlichen Folgen

Ab dem 1. Januar 2027 werden nicht konforme Apps ausgelistet und für Neuinstallationen gesperrt. Bestehende Installationen können die betroffenen API-Anfragen bis zum 1. April weiter ausführen. Ab dem 15. Januar sehen Händler mit nicht konformen Apps Warnungen im Shopify-Adminbereich über mögliche Unterbrechungen.

Am 1. April 2027 liefern betroffene Admin API-Anfragen mit unbegrenzt gültigen Offline-Tokens HTTP 403 zurück. Das ist der technische Abschalttermin für diese Anfragen. Es bedeutet weder, dass jede Shopify-App ausfällt, noch dass jede Funktion einer betroffenen App zwangsläufig auf dieselbe Weise scheitert.

Shopifys ergänzendes Sicherheitsupdate erklärt ausdrücklich, dass die späteren Maßnahmen keine zusätzliche Migrationszeit gewähren. Januar bleibt die Frist. Wer auf die Warnung im Januar wartet, hat möglicherweise weniger Zeit, Abhängigkeiten zu untersuchen oder eine Alternative vorzubereiten.

Fragen Sie nach Ihrer Installation, nicht nur nach der nächsten Version

Erstellen Sie eine kurze Bestandsliste der Apps für Bestellungen, Lagerbestand, Auftragsabwicklung, Abonnements oder digitale Auslieferung. Notieren Sie jeweils den unterstützten Ablauf und die zuständige Person. Priorisieren Sie Abhängigkeiten, deren Ausfall verhindern würde, dass Kunden bereits gekaufte Leistungen erhalten.

Fragen Sie den Entwickler, ob die App betroffene Tokens verwendet, ob Ihre bestehende Installation bereits umgestellt wurde und wie Erneuerung und Wiederherstellung geprüft wurden. Bitten Sie bei offenen Arbeiten um einen Abschlusstermin. Die Zusage, neue Installationen verwendeten den richtigen Mechanismus, beantwortet nicht, was mit der Installation passiert, die Ihren Shop bereits versorgt.

Shopify beschreibt außerdem Client Credentials Access: Ein Backend kann mit einer durch den privaten App-Schlüssel signierten Anfrage ein neues kurzlebiges Token ohne Refresh-Token erhalten. Das bietet Entwicklern einen weiteren Wiederherstellungsweg. Es ersetzt nicht die klare Auskunft zur Migration, die Händler benötigen.

Prüfen Sie den Geschäftsablauf nach der Änderung

Vereinbaren Sie mit dem Entwickler eine praktische Prüfung, etwa ob eine Bestellung im zuständigen Auslieferungssystem ankommt. Nutzen Sie ein abgestimmtes Testverfahren und deinstallieren Sie eine wichtige App nicht beiläufig zur Fehlersuche. Eine Neuinstallation kann eine weitere Änderung verursachen, während Sie die erste noch untersuchen.

Trennen Sie die Token-Umstellung von den Versand-, Bestands- und Bestellprüfungen für API 2026-10. Beides ist wichtig, aber das Bestehen der einen Prüfung belegt nicht die Bereitschaft für die andere. Shops mit Downloads sollten auch ihre Kontrollen zur digitalen Produktauslieferung prüfen. Entscheidend ist, ob die bestehende Installation ihre Aufgabe nach den Durchsetzungsterminen weiterhin vollständig erfüllt.