Connessione API Shopify: OAuth, Custom App o token privato? Confronto chiaro per scegliere il metodo di autenticazione giusto nel 2026.
Cercare "shopify connessione" su Google restituisce quasi unicamente tutorial per riconnettersi all'account admin. Il vero problema, per la maggior parte degli sviluppatori che approdano su questa pagina, non ha nulla a che vedere con una password dimenticata: stanno cercando di connettere un'applicazione di terze parti all'API Shopify, e si perdono tra tre metodi di autenticazione che non si assomigliano affatto.
Questa confusione costa tempo. Molto tempo. Questo articolo confronta i tre modi di connettere un'app a Shopify, custom app, OAuth pubblico, token legacy, e dice chiaramente quale usare secondo la vostra situazione.
I tre metodi di connessione all'API Shopify
Shopify storicamente offre diversi percorsi per ottenere accesso all'Admin API. Non sono interscambiabili, e la documentazione ufficiale li mescola spesso in pagine diverse senza mai confrontarli frontalmente.
La custom app (applicazione admin-only)
È il metodo consigliato per un uso interno: un'integrazione sviluppata per una singola boutique, senza intenzione di pubblicarla su Shopify App Store. Il commerciante genera lui stesso un token di accesso dal suo pannello di amministrazione, definendo gli scope necessari (lettura degli ordini, scrittura dei prodotti, ecc.).
Nessun flow OAuth, nessun reindirizzamento, nessuna review Shopify. Si genera il token, lo si usa. È diretto.
Il flow OAuth (public app)
Necessario se l'applicazione deve funzionare su più boutique diverse, tipicamente un'app destinata a essere elencata nello Store. Il commerciante autorizza l'accesso tramite una schermata di consenso, Shopify reindirizza al vostro callback con un codice di autorizzazione, il vostro server scambia questo codice con un token.
È più pesante da implementare. Ma è l'unica opzione praticabile se non controllate la boutique target.
Il token privato legacy
Metodo obsoleto, ancora presente in una parte del codice in produzione presso i clienti che abbiamo controllato. Shopify sta spingendo attivamente verso le custom app da diversi anni. Un progetto che ancora utilizza un "private app" classico merita di essere migrato, non è più il percorso consigliato dalla piattaforma.
La tabella comparativa
| Criterio | Custom App | OAuth (Public App) | Token legacy |
|---|---|---|---|
| Uso previsto | Una singola boutique | Multi-boutiche, App Store | Deprecato |
| Implementazione | Semplice, pochi minuti | Complesso, flow completo da codificare | Semplice ma obsoleto |
| Review Shopify | Non richiesta | Richiesta se pubblicata nello Store | Non richiesta |
| Rotazione token | Manuale | Gestita dal flow OAuth | Manuale |
| Consigliato nel 2026 | Sì | Sì, se multi-merchant | No |
L'errore più frequente che vediamo nei nostri clienti
La maggior parte dei team sceglie il metodo di autenticazione prima di sapere quante boutique dovrà servire la loro app. Risultato: cominciano con un flow OAuth completo, webhook di callback, gestione del state, storage sicuro dei token per merchant, per un progetto che non servirà mai più di una singola boutique interna.
È tre o quattro volte più codice del necessario.
Con un cliente e-commerce che abbiamo accompagnato, l'integrazione esistente girava ancora su un token legacy risalente a diversi anni fa. Gli scope erano molto troppo ampi, accesso completo agli ordini e ai clienti per uno strumento che doveva solo leggere i magazzini. Abbiamo migrato a una custom app con scope precisi. Risultato immediato: superficie di attacco ridotta, e nessun alert di sicurezza su questa integrazione nei controlli successivi.
Un limite onesto da conoscere: la custom app funziona solo sulla boutique dove è stata creata. Se il vostro cliente cambia piano Shopify o migra a una nuova boutique, bisogna rigenerare il token. Non è automatico.
Proteggere la connessione una volta ottenuto il token
Scegliere il metodo giusto non basta. Il token stesso deve essere trattato come un segreto critico, mai committato in un repo, mai loggato in chiaro.
Tre pratiche riducono davvero il rischio:
- Conservare il token in un gestore di segreti (variabili d'ambiente cifrate, vault dedicato), mai nel codice sorgente.
- Limitare gli scope al necessario stretto sin dalla creazione dell'app, piuttosto che spuntare tutto "per il caso".
- Implementare una rotazione regolare, anche manuale, invece di mantenere lo stesso token per anni.
E se il vostro team conta meno di tre sviluppatori sul progetto Shopify, la custom app rimane quasi sempre la scelta giusta di default. Il flow OAuth completo ha senso solo se diversi merchant indipendenti dovessero installare la vostra app un giorno.
Cosa ricordare
Tre metodi esistono, ma una sola domanda determina la scelta giusta: la vostra app dovrà servire una boutique o più di una? Per una singola boutique, la custom app è sufficiente e si implementa in pochi minuti. Per multi-merchant, direzione OAuth, nonostante la sua complessità.
Il token legacy, invece, non ha più posto in un nuovo progetto nel 2026.
Se la vostra integrazione Shopify attuale si basa ancora su un metodo di autenticazione obsoleto, o se esitate su l'architettura da adottare per una nuova app, il team fstck può controllare il vostro setup attuale e proporre una migrazione pulita. Abbiamo già scritto su argomenti di architettura simili nella nostra guida sulla creazione di un server MCP, dove la logica di gestione degli accessi a tool esterni segue principi molto similari.
Domande frequenti
Come ottenere un token di accesso Admin API senza passare per il flow OAuth completo?
Creando una custom app direttamente dall'interfaccia di amministrazione Shopify del commerciante. Il token viene generato immediatamente dopo aver definito gli scope necessari, senza reindirizzamento o schermata di consenso.
Perché il mio token Shopify restituisce un errore 401 dopo diversi mesi di utilizzo?
Le cause più comuni sono una revoca manuale del token da parte del commerciante, un cambio di scope sull'app, o una disinstallazione seguita da reinstallazione che genera un nuovo token. Verificate innanzitutto lo stato dell'app nell'admin Shopify del commerciante interessato.
Qual è la differenza tra una custom app e un'app privata legacy su Shopify?
La custom app è il metodo attualmente consigliato da Shopify per un uso mono-boutique, con una gestione degli scope più granulare. Il termine "private app" designava il vecchio sistema, oggi deprecato a favore delle custom app.
Serve un flow OAuth per connettere una singola boutique Shopify a uno strumento interno?
No. Il flow OAuth apporta valore solo se la vostra applicazione deve essere installata da più merchant indipendenti, tipicamente per una pubblicazione su Shopify App Store. Per un uso interno mono-boutique, la custom app è più veloce e sufficiente.
Gli scope di una custom app Shopify possono essere modificati dopo la creazione?
Sì, ma qualsiasi modifica di scope richiede generalmente di rigenerare il token di accesso. È proprio l'occasione per verificare che i permessi concessi corrispondono ancora al bisogno stretto dell'integrazione.
