Script tags, tokens que caducan y nueva arquitectura de temas: qué revisar en tu tienda Shopify antes de 2027

Qué ha anunciado Shopify y con qué fechas

En la sección para desarrolladores de Editions Fall '26 hay tres mensajes que importan a quien gestiona una tienda: las apps ya no pueden crear ni actualizar script tags y deben pasar a extensiones de app de tema o a píxeles web; las apps deben migrar a tokens que caducan antes de enero de 2027 para seguir en la Shopify App Store; y cada app puede limitar desde qué direcciones IP se hacen llamadas a la API.

El changelog de shopify.dev concreta el calendario. Desde el 1 de octubre de 2026 las apps no pueden crear ni actualizar script tags en ninguna versión de la API, aunque los que ya existen siguen ejecutándose. El 1 de marzo de 2027 Shopify dejará de insertar script tags en el escaparate. En la página de estado del pedido los script tags ya dejaron de funcionar el 26 de agosto de 2026.

Para los tokens, el aviso de seguridad de octubre de 2026 fija el 1 de enero de 2027 como fecha límite para las apps públicas que llaman a la Admin API. A partir de ahí van sumándose consecuencias hasta el 1 de abril de 2027, cuando las peticiones con tokens que no caducan empezarán a fallar.

• 26 de agosto de 2026: los script tags dejan de funcionar en la página de estado del pedido
• 1 de octubre de 2026: las apps ya no pueden crear ni actualizar script tags
• 1 de enero de 2027: las apps públicas sin tokens que caducan salen de la App Store y no admiten instalaciones nuevas
• 15 de enero de 2027: aviso en el admin a los comerciantes que usan una app sin migrar
• 1 de marzo de 2027: Shopify deja de insertar script tags en el escaparate
• 1 de abril de 2027: la Admin API devuelve error 403 a las peticiones con tokens que no caducan

Qué es un script tag y qué deja de funcionar en tu tienda

Un script tag es un fragmento de JavaScript que una app registra en tu tienda a través de la API para que Shopify lo cargue en todas las páginas. Fue durante años la forma habitual de que una app añadiera un widget de reseñas, un chat, un pop-up o un código de seguimiento sin tocar el tema. Shopify ofrece desde 2021 las extensiones de app de tema como sustituto, pero muchas apps antiguas o poco mantenidas siguen usando script tags.

El 1 de marzo de 2027 esos scripts dejarán de cargarse. Lo que dependa de ellos simplemente desaparecerá del escaparate: un widget que ya no se muestra, un botón que no responde o, lo más delicado, un píxel de conversión que deja de enviar datos sin que nadie lo note durante semanas. Ese último caso es el que más dinero cuesta, porque las campañas siguen gastando mientras la medición se rompe.

Shopify indica dos sustitutos. Para scripts que cargan JavaScript en el escaparate, un bloque de app embed dentro de una extensión de app de tema, que el comerciante activa en el editor de temas. Para analítica y seguimiento de conversiones, un píxel web, que según Shopify no requiere ninguna acción por parte de quien usa la app. Para personalizar la página de estado del pedido, las extensiones de interfaz de cuentas de cliente.

Tokens que caducan: qué cambia y a quién afecta

Cuando instalas una app, Shopify le entrega un token de acceso offline para que pueda trabajar con tus datos aunque tú no estés conectado. Hasta ahora ese token no caducaba nunca, así que si se filtraba seguía siendo válido indefinidamente. Los nuevos tokens offline caducan a los 60 minutos y se renuevan de forma automática, lo que reduce mucho el daño de una filtración.

El cambio afecta a las apps públicas, las que se instalan desde la App Store o mediante un enlace del desarrollador, que llaman a la Admin API con tokens que no caducan. Shopify deja claro que las apps personalizadas, las apps creadas por el propio comerciante y los tokens de acceso online no están afectados. Tampoco hace falta que reinstales nada: la app cambia su token antiguo por uno nuevo desde su propio código.

Para ti, como comerciante, el riesgo real es tener instalada una app pública cuyo desarrollador no migre a tiempo. Desde el 1 de enero de 2027 esa app saldrá de la App Store y no aceptará instalaciones nuevas, el 15 de enero verás un aviso en el admin y el 1 de abril sus peticiones a la Admin API empezarán a fallar. Shopify insiste en que esas fechas posteriores sirven para que los comerciantes se preparen y no son tiempo extra para migrar.

Qué integraciones pueden romperse: seguimiento, ERP y apps a medida

Lo primero que conviene revisar es el seguimiento. Si algún píxel de publicidad, herramienta de analítica o código de afiliación llega a tu tienda a través de una app antigua y no mediante la configuración de eventos de clientes o una integración oficial, puede depender de script tags. Lo mismo ocurre con widgets de reseñas, chats, pop-ups de captación o selectores de tallas instalados hace años.

Después están las integraciones con sistemas externos: conectores con el ERP, con el almacén logístico, con la facturación o con herramientas de marketing. Si el conector es una app pública de la App Store, depende de que su desarrollador migre a tokens que caducan. Si es una app personalizada creada para tu tienda, el requisito de tokens no le aplica según Shopify, pero sí le afecta el fin de los script tags si inserta código en el escaparate.

Por último, revisa cualquier desarrollo a medida antiguo. Es habitual encontrar tiendas con una app privada hecha por un freelance hace años que nadie mantiene y que añade un script al escaparate. Esa pieza no recibirá avisos de nadie y dejará de funcionar en silencio en marzo de 2027.

• Píxeles de publicidad y analítica instalados por apps antiguas
• Widgets de reseñas, chat, pop-ups o recomendaciones
• Conectores con ERP, almacén, facturación o CRM
• Apps privadas o personalizadas sin mantenimiento
• Personalizaciones en la página de estado del pedido

Cómo hacer la auditoría de tus apps paso a paso

No necesitas leer código para empezar. Haz un inventario de todas las apps instaladas en Configuración, en el apartado de apps, y anota cuáles son públicas, cuáles son personalizadas y cuáles ya no usas. Desinstalar lo que sobra es la medida más sencilla y la que más riesgo elimina, porque cada app abandonada es una pieza menos que revisar.

Después abre el editor de temas y mira la sección de app embeds. Las apps que ya funcionan con extensiones de app de tema aparecen ahí como interruptores. En Configuración, en Eventos de clientes, verás los píxeles web que tienes activos. Si una app inserta algo visible en tu tienda y no aparece en ninguno de esos dos sitios, pregunta a su desarrollador cómo lo hace.

Con la lista hecha, escribe a cada desarrollador con dos preguntas concretas: si su app usa script tags en el escaparate y si ya usa tokens offline que caducan. Para las integraciones hechas a medida, pregunta a la agencia o al freelance que las construyó. Guarda las respuestas con fecha, porque te servirán para decidir qué sustituir antes de marzo.

• Lista todas las apps instaladas y elimina las que no uses
• Separa apps públicas, apps personalizadas y desarrollos propios
• Revisa los app embeds en el editor de temas
• Revisa los píxeles activos en Eventos de clientes
• Pregunta a cada desarrollador por script tags y tokens que caducan
• Comprueba en un tema duplicado que reseñas, chat y pop-ups siguen funcionando
• Verifica conversiones en tus plataformas de publicidad tras cada cambio

Seguridad: credenciales de cliente y listas de IP por app

El aviso de seguridad de octubre de 2026 trae otras novedades pensadas para desarrolladores que también te protegen como comerciante. Con el acceso por credenciales de cliente, si una app pierde su token de renovación, su servidor puede pedir un token nuevo firmado con la clave privada de la app sin esperar a que vuelvas a abrirla.

La lista de IP permitidas deja que el desarrollador indique las direcciones de sus servidores, y Shopify rechaza las peticiones a la Admin API que vengan de cualquier otra, aunque usen un token válido. Editions lo resume como una forma de bloquear accesos no autorizados con tokens vulnerados. Además, las apps pueden declarar en su configuración los servidores con los que se comunican, y Shopify usa esa lista para detectar peticiones inesperadas.

No tienes que activar nada de esto tú, pero sí puedes preguntar a los desarrolladores de las apps que manejan datos sensibles, como pedidos o clientes, si ya lo aplican. Es una buena señal de que la app está bien mantenida.

Nueva arquitectura de temas y páginas más rápidas

En la parte de temas, Editions presenta una nueva arquitectura en la que las páginas se escriben en Liquid con bloques, contratos tipados y actualizaciones parciales, con guías en Markdown para orientar a los agentes de IA y estilos de Tailwind integrados. Shopify también indica que las páginas de las tiendas cargan más rápido porque sirve solo el CSS que cada tienda necesita.

Para una tienda en marcha esto no exige nada antes de 2027. Sí es una razón más para mover cualquier script insertado por una app a extensiones de app de tema: el código que vive en bloques y app embeds encaja con la forma en que Shopify está evolucionando los temas, mientras que los scripts añadidos por fuera quedan cada vez más aislados.

Para proyectos headless, Shopify anuncia que Hydrogen permite desplegar en Vercel con un solo clic y presenta Vercel Shop, una plantilla de Next.js construida sobre el nuevo SDK de Hydrogen. Solo es relevante si ya trabajas con un escaparate a medida fuera del tema.

Cómo te ayuda Weblineo con esta revisión

En Weblineo trabajamos solo con Shopify desde 2016 y somos Shopify Plus Partner. Revisamos las apps e integraciones de tu tienda, identificamos qué depende de script tags o de apps sin migrar y te entregamos una lista priorizada de qué mantener, sustituir o eliminar.

Cuando una funcionalidad depende de un script antiguo o de una app que no se va a actualizar, la rehacemos como código propio dentro del tema o en una extensión de app de tema, y movemos el seguimiento a píxeles web. Todo con precio cerrado y probado en un tema duplicado antes de publicarlo.