Shopify mTLS: certificato obbligatorio per il vault carte

Cosa cambia con l'obbligo mTLS su Shopify

A partire dal 15 ottobre 2026, Shopify rende obbligatorio un client certificate emesso direttamente da Shopify per ogni chiamata all'endpoint /sessions di deposito dati carta. L'endpoint in sé non subisce modifiche tecniche: rimane lo stesso URL, la stessa struttura di chiamata. Ciò che cambia radicalmente è il controllo di accesso: da quella data, solo i chiamanti autenticati tramite certificato mTLS potranno interagire con il sistema di vaulting delle carte.

Questa modifica si inserisce in un percorso più ampio di irrigidimento della sicurezza sui flussi di pagamento, ma ha una particolarità che la rende urgente per chi sviluppa o gestisce app di pagamento: la scadenza coincide deliberatamente con il periodo pre-BFCM 2026, il momento di picco per l'ecommerce globale.

Chi è realmente coinvolto

Non tutte le integrazioni sono interessate allo stesso modo. È fondamentale distinguere due scenari:

• App coinvolte: quelle che utilizzano le mutation customerPaymentMethodCreditCardCreate o customerPaymentMethodCreditCardUpdate per salvare dati carta direttamente nel vault di Shopify. Queste app dovranno obbligatoriamente ottenere e presentare il certificato mTLS.
• App escluse: quelle che si limitano a usare customerPaymentMethodRemoteCreate per importare riferimenti da gateway esterni come Stripe, Braintree, Adyen o PayPal. In questo caso non è richiesta alcuna azione, poiché il flusso non tocca l'endpoint di deposito diretto.

La distinzione è tecnica ma decisiva: molte app potrebbero pensare di essere coinvolte quando in realtà operano solo tramite riferimenti esterni, oppure viceversa, sottovalutare l'impatto perché non hanno ancora mappato con precisione quali mutation vengono effettivamente chiamate nel proprio codice.

Perché la tempistica è critica

Il punto più rilevante di questo cambiamento non è tanto la complessità tecnica dell'implementazione, quanto la tempistica scelta da Shopify. Fissare la scadenza a ridosso del Black Friday Cyber Monday 2026 significa che un certificato scaduto, non richiesto o non ancora emesso al momento giusto blocca immediatamente i nuovi depositi di carte.

Le conseguenze pratiche di un blocco in questo periodo sono severe:

• Interruzione degli abbonamenti ricorrenti che richiedono nuovi metodi di pagamento
• Blocco dei flussi di billing B2B che si affidano al vaulting diretto
• Impossibilità di registrare nuove carte durante il picco di traffico e conversioni dell'anno

Chi gestisce revenue basata su subscription o su pagamenti B2B non può permettersi di scoprire il problema a ottobre 2026.

Le azioni operative da intraprendere subito

Per chi sviluppa o mantiene un'app con vaulting di carte su Shopify, il percorso di migrazione richiede alcuni passaggi precisi:

1. Verificare quale mutation viene effettivamente usata dalla propria app, distinguendo tra deposito diretto e riferimento remoto.
2. Contattare Shopify all'indirizzo shopify-mtls-partnerships@shopify.com, fornendo l'API client ID e un referente tecnico dell'organizzazione.
3. Considerare i tempi di emissione: il primo certificato viene firmato manualmente da Shopify, quindi il processo richiede giorni, non ore. È il collo di bottiglia principale dell'intera migrazione.
4. Aggiornare il flusso di chiamata: il certificato va presentato sulla chiamata /sessions, mentre il session identifier continua a essere passato alle mutation di vaulting esattamente come avveniva prima.
5. Impostare un monitoraggio sulla scadenza annuale del certificato. La rotazione è self-serve ma non automatica, quindi serve un alert interno per evitare interruzioni future dovute a certificati scaduti.

Impatto su team tecnici e roadmap di sviluppo

Per i team che gestiscono integrazioni di pagamento personalizzate, questo cambiamento richiede una revisione del ciclo di manutenzione delle app Shopify, includendo verifiche periodiche sulla validità dei certificati e procedure di rinnovo documentate. Chi si affida a competenze esterne per la gestione di queste integrazioni può valutare risorse dedicate come quelle descritte nella pagina prezzi per sviluppatori Shopify, utile per pianificare interventi di adeguamento tecnico prima della scadenza.

Conclusione

Le app che non avranno completato la migrazione entro il 15 ottobre 2026 perderanno la capacità di depositare nuovi dati carta nel vault Shopify una volta attivato l'enforcement. Dato che la fase più lenta dell'intero processo è l'emissione del primo certificato da parte di Shopify, chi gestisce app con vaulting di carte dovrebbe avviare la procedura di richiesta ben prima della scadenza, evitando di trovarsi impreparato durante il periodo più delicato dell'anno per l'ecommerce.