Bạn đang dùng app Shopify? Hãy hỏi nhà phát triển về token trước 15/01/2027

App công khai là loại app bạn cài từ Shopify App Store, còn token truy cập offline là khoá app dùng để gọi Admin API của Shopify.

Ngày 01/01/2027 không phải ngày app đã cài trên store bạn ngừng chạy.

Ở mốc này, app chưa chuyển chỉ bị gỡ khỏi App Store và không nhận lượt cài mới, còn app đã cài sẵn trên store vẫn gọi được các API liên quan tới 01/04/2027. Bạn cũng không phải cài lại app: theo thông báo ngày 20/05/2026 của Shopify, việc đổi token cũ do code của app đảm nhận.

Lịch ba bước Shopify áp cho app còn dùng token không hết hạn, trang shopify.dev, chụp tháng 10/2026.

• Điều đã đổi: thông báo ngày 20/05/2026 nói rằng sau ngày 01/01/2027, app công khai còn dùng token không hết hạn sẽ gặp lỗi xác thực. Lịch ngày 27/10/2026 thay cách nói đó bằng ba bước, và lỗi chỉ tới ở bước cuối.
• Vì sao Shopify làm vậy: theo Shopify, token không hết hạn mà bị lộ thì vẫn dùng được mãi, còn token có hạn chỉ dùng được tối đa 60 phút rồi tự được thay bằng token mới.
• Bạn cần làm gì: hỏi nhà cung cấp các app công khai quan trọng xem họ đã chuyển chưa, vì phần đổi token là việc của bên làm app. Store chỉ dùng custom app hoặc app tự tạo thì không phải làm gì.

Ba mốc 01/01, 15/01 và 01/04/2027 tác động ra sao tới app trên store bạn?

• 01/01/2027: chính là mốc gỡ khỏi App Store đã nói ở trên. Store đã cài app vẫn dùng như cũ, chỉ là app không nhận được lượt cài mới. Bài cập nhật bảo mật của Shopify viết gọn: "Existing installs keep working" (lượt cài sẵn vẫn chạy bình thường).
• 15/01/2027: nếu store của bạn dùng app chưa chuyển, Shopify admin sẽ hiện cảnh báo về rủi ro gián đoạn dịch vụ và việc bạn có thể làm. Đây là lời nhắc dành cho người bán; lúc này app vẫn chạy bình thường.
• 01/04/2027: các yêu cầu gọi Admin API bị ảnh hưởng mà còn dùng token không hết hạn sẽ bị Shopify từ chối (mã lỗi HTTP 403). Từ ngày này, các việc của app cần gọi Admin API bằng token cũ, như xử lý đơn hay đồng bộ kho, có thể ngừng.

Đừng hiểu lịch này là Shopify lùi hạn cho bên làm app. Cũng trong bài cập nhật bảo mật ngày 27/10/2026, Shopify ghi rõ 01/01 vẫn là hạn chuyển; hai mốc sau để người bán kịp chuẩn bị, nhà phát triển không nên coi đó là thêm thời gian.

Đoạn Shopify ghi 01/01 là hạn chuyển và nêu các loại app không bị ảnh hưởng, trang shopify.dev, chụp tháng 10/2026.

Store nào có thể yên tâm bỏ qua tin này?

Theo bài cập nhật bảo mật của Shopify, custom app và app do người bán tự tạo nằm ngoài phạm vi thay đổi, token truy cập online (online access token) cũng không bị ảnh hưởng. Nếu mọi app trên store bạn là custom app hoặc app tự tạo, bạn không phải làm gì thêm.

Nên làm gì trước khi cảnh báo hiện trong admin?

1. Liệt kê các app công khai bạn dựa vào cho việc quan trọng: xử lý đơn, đồng bộ kho, gửi email.
2. Hỏi từng nhà cung cấp: app đã chuyển sang token có hạn chưa, nếu chưa thì bao giờ xong. Nên có câu trả lời trước 15/01/2027; nếu nhà cung cấp chưa có ngày, hãy để ý cảnh báo trong admin từ ngày đó, nơi Shopify nêu việc bạn có thể làm.
3. Cẩn thận nếu định cài app lên store khác sau 01/01/2027: app chưa chuyển bị chặn cài mới, nên bạn sẽ không cài được nó lên store đó. Shopify không nói riêng về trường hợp cài lại app trên cùng store, vì vậy nên hỏi thẳng nhà cung cấp cho chắc.

Việc đổi token nằm trong code của từng app, nên phần việc này thuộc bên làm app. Điều cần nhớ: app chưa chuyển vẫn chạy tới 01/04/2027, và bạn nên có câu trả lời của nhà cung cấp trước 15/01/2027.