Shopify expiring token 2027: verplichte migratie voor publieke apps

De deadline die technische teams niet kunnen negeren

Vanaf 1 januari 2027 moeten alle publieke apps die de Admin API van Shopify gebruiken overstappen op expiring offline access tokens. Apps die blijven werken met niet-verlopende tokens krijgen authenticatiefouten. Dit is geen aanbeveling: het is een infrastructurele wijziging met een vaste datum en directe operationele gevolgen.

De verandering is niet volledig nieuw. Vanaf 1 april 2026 geldt de regel al voor publieke apps die na die datum zijn aangemaakt. De uitbreiding naar bestaande apps — inclusief die ontwikkeld vóór april 2026 — is de nieuwigheid die een dringende herziening van roadmaps vereist.

Waarom niet-verlopende tokens een beveiligingsprobleem zijn

Een traditioneel access token blijft, eenmaal uitgegeven, voor onbepaalde tijd geldig. Als het wordt gecompromitteerd — via een datalek, een blootgesteld logbestand of een per ongeluk publiek geworden repository — heeft de aanvaller permanent toegang tot de Admin API van de merchant.

Expiring offline access tokens werken fundamenteel anders:

• Automatische ongeldigverklaring na 60 minuten na uitgifte
• Automatische rotatie: bij elke refresh wordt een nieuw token uitgegeven
• Drastisch verkleind risicovenster: zelfs bij compromittering is het token snel onbruikbaar

Het gaat er niet om OAuth-compliant te zijn. Het gaat om het concrete verschil tussen een inperkt, detecteerbaar en beheersbaar lek en een stille compromittering die jarenlang onopgemerkt kan blijven.

Welke apps zijn betrokken

Het is belangrijk de scope correct af te bakenen voordat je met aanpassingen begint:

• Publieke apps verspreid via de Shopify App Store of via een directe installatielink: betrokken
• Apps aangemaakt na 1 april 2026: al onderworpen aan de regel
• Publieke apps aangemaakt vóór 1 april 2026: onderworpen aan de deadline van 1 januari 2027
• Custom apps (apps gemaakt voor één specifieke merchant): niet betrokken
• Apps rechtstreeks aangemaakt door merchants vanuit hun Partner-dashboard: niet betrokken

Als je een of meer publieke apps beheert, is het verifiëren van de tokenstatus de eerste operationele stap.

Wat technische teams moeten doen

1. Audit van actieve tokens

De eerste stap is in kaart brengen welke publieke apps nog niet-verlopende tokens gebruiken. Dit vereist een controle van de huidige OAuth-configuratie en het type token dat is opgeslagen in je database of opslagsysteem.

2. Implementeer de token exchange-flow

De migratie vereist geen herinstallatie van de app door de merchant. Shopify biedt een token exchange-flow waarmee je een bestaand niet-verlopend token via een server-side API-aanroep kunt omzetten naar een expiring token. De operatie is volledig transparant voor de merchant.

De belangrijkste stappen van de flow zijn:

• Doe een aanroep naar het token exchange-endpoint met het bestaande offline token
• Ontvang het nieuwe expiring token en het bijbehorende refresh token
• Vervang het token in de opslag zonder enige onderbreking van de dienst

3. Werk de opslaglogica bij

Expiring tokens vereisen dat je infrastructuur ook het refresh token beheert. Je moet het databaseschema of het geheimbeheersysteem bijwerken om zowel het huidige token als het refresh token op te slaan, inclusief de bijbehorende vervaldatum.

4. Controleer het gebruik van officiële libraries

Als je de officiële Shopify-libraries gebruikt (zoals @shopify/shopify-api voor Node.js of het equivalente Ruby gem), is automatisch refreshbeheer al ingebouwd. In dat geval beperkt het werk zich tot het uitvoeren van de initiële token exchange voor bestaande tokens. De libraries beheren de verdere levenscyclus zelfstandig.

Tijdlijn en prioriteiten

De deadline van 1 januari 2027 lijkt misschien ver weg, maar de technische tijd die nodig is voor audit, ontwikkeling, testen en productie-uitrol loopt snel op. Deze taak in december 2026 aan de roadmap toevoegen betekent werken onder druk met een verhoogd risico op fouten.

Teams die meerdere publieke apps beheren of complexe infrastructuren hebben, zouden de planning in de eerste helft van 2026 moeten starten, met voldoende tijd voor regressietests en het afhandelen van randgevallen (al verlopen tokens, merchants met zeer lange actieve sessies, integraties met systemen van derden).

Voor een inschatting van de benodigde resources en migratiekosten kun je onze pagina prijzen en plannen voor Shopify-ontwikkelaars raadplegen.

Operationele samenvatting

De overgang naar expiring offline access tokens is geen routineaanpassing. Het vereist wijzigingen in de OAuth-flow, updates aan de opslag, verificatie van gebruikte libraries en een uitrolstrategie die actieve merchants niet verstoort. Correct uitgevoerd is het ook een kans om de beveiligingspositie van de volledige integratie met het Shopify-ecosysteem te versterken.