Una ruta de app proxy que lee logged_in_customer_id pero nunca comprueba el parámetro signature permite que cualquiera la llame directamente y lea los puntos, la lista de deseos o los pedidos de otro cliente. Una ruta de webhook que nunca comprueba X-Shopify-Hmac-Sha256 acepta eventos falsos de orders/create y customers/redact de cualquiera que encuentre la URL. Un VITE_SHOPIFY_ADMIN_API_TOKEN entrega tu token de Admin a cada visitante. Esta skill encuentra esos errores y otros diez errores de apps de Shopify antes de que despliegues, y te explica cómo corregir cada uno.

Tu agente ejecuta un escáner sobre shopify.app.toml y shopify.app.*.toml, shopify.extension.toml y shopify.theme.toml, archivos .env, YAML y JSON de configuración de Shopify (para prefijos de tokens), y código JavaScript, TypeScript, Python, Ruby y PHP que menciona Shopify (plantillas de React Router y Remix, Express, Next.js, Flask, Rails, Laravel). Sabe lo que las bibliotecas oficiales verifican por ti (authenticate.webhook, authenticate.public.appProxy, shopify.webhooks.validate, processWebhooks, validateHmac con el signator appProxy, ShopifyApp::WebhookVerification y AppProxyVerification, Registry::process de PHP, el antiguo Shopify.Webhooks.Registry.process y receiveWebhook de Koa), indica REVIEW en lugar de BLOCK cuando una comprobación puede estar en un middleware o en un router que no puede leer, y al escanear una carpeta sigue un helper de verificación definido en otro archivo, ya sea llamado, pasado como middleware de ruta o usado como decorador. Comprueba las versiones de la API frente a la ventana de soporte de 12 meses de Shopify usando la fecha del escaneo. Lee .gitignore, así que un secreto en un archivo .env que git ignora se cuenta en una sola línea en lugar de reportarse. Los comentarios y los archivos de test se omiten, y no se ejecuta nada ni se envía nada a Shopify. Devuelve BLOCK, REVIEW o NOT FLAGGED, con el archivo, la línea, el motivo y una alternativa más segura. Los tokens y los secretos nunca se muestran.

Qué comprueba

BLOCK (corregir antes de publicar)

• H01: tokens shpat_, shpca_, shppa_, shpss_, shprt_ o shptka_, secretos de cliente y tokens de Admin o de Storefront privados escritos en código, configuración o archivos env que git subiría (formas de JavaScript, TypeScript, Python, Ruby y PHP), incluidos valores literales de respaldo para variables de entorno
• H02: un archivo que construye toda la ruta de la solicitud y gestiona webhooks de Shopify sin nada que compruebe X-Shopify-Hmac-Sha256
• H03: lo mismo para handlers de app proxy que nunca comprueban el parámetro signature
• H04: tokens de Admin, tokens de Storefront privados o el secreto de cliente en variables expuestas al navegador (NEXT_PUBLIC_, VITE_, PUBLIC_, REACT_APP_, EXPO_PUBLIC_ y otras)

REVIEW (revisar antes del lanzamiento)

• H11: una configuración de app de producción que no se suscribe a los tres webhooks de cumplimiento obligatorios mientras la app enumera algunos de ellos, gestiona uno en el código o declara distribución en la App Store (el valor predeterminado de la plantilla, que el hallazgo indica)
• H12: scopes restringidos o que requieren aprobación: read_all_orders, write_themes, read_users, scopes de payment mandate, gateway y session, read_customer_payment_methods, scopes propios de contratos de suscripción
• H13: versiones de la API de Admin, de Storefront o de webhooks que Shopify ya no admite, o unstable
• H14: use_legacy_install_flow = true
• H15: localhost, túneles de Cloudflare o ngrok, o URL http sin cifrar en una configuración de app desplegada
• H16: handlers de webhook o de app proxy cuya comprobación de firma, si existe, está en un middleware, un router o un helper que el escaneo no puede seguir
• H17: comprobaciones HMAC hechas a mano que comparan con == o firman JSON re-serializado en lugar del cuerpo sin procesar
• H18: callbacks OAuth hechos a mano sin comprobación visible de hmac, de nonce de state o de dominio de tienda anclado (las solicitudes de client credentials, token exchange y refresh token no se tocan)
• H19: script tags obsoletos (write_script_tags, scriptTagCreate, scriptTagUpdate, REST ScriptTag)

Qué incluye

• El escáner (Python 3.9+, solo biblioteca estándar)
• Una guía de reglas con el motivo, la alternativa más segura y un enlace a la documentación de Shopify para cada regla
• Una app de Shopify de ejemplo arriesgada y otra segura (configuración de la app, configuración de la extensión, archivo de servidor de React Router, backend de Express, router, helper y archivo env), y el informe real que el escáner genera sobre la arriesgada

Limitaciones

Lee cada archivo tal como está escrito: no se ven los ajustes hechos en el Dev Dashboard o en el Partner Dashboard, los valores de entorno ni los middlewares o helpers fuera de la carpeta escaneada. El código que nunca nombra Shopify, una cabecera de Shopify o logged_in_customer_id no se lee. Los archivos de temas Liquid y las apps en Go o Java no se comprueban, y los archivos YAML o JSON solo se leen para buscar prefijos de tokens. Si una app está publicada en la App Store no se puede saber a partir de los archivos, así que la comprobación de cumplimiento necesita indicios del proyecto. Los resultados sobre versiones de la API cambian a medida que Shopify las retira. NOT FLAGGED no es una garantía.

Contenido

Un archivo ZIP con 25 archivos: SKILL.md, el escáner en scripts/ (8 archivos de Python), references/rules.md (cada regla con su motivo y la alternativa más segura) y examples/ (14 archivos de ejemplo más report.md, la salida real del escáner sobre el ejemplo arriesgado).

Cómo usarlo: Esta es una skill para agentes: una carpeta con un archivo SKILL.md y scripts de Python que un agente de programación con IA como Claude Code, Cursor o Codex CLI puede ejecutar. Descomprímela en la carpeta de skills de tu agente (para Claude Code: ~/.claude/skills/) y luego pide a tu agente que revise tu proyecto. Los scripts también funcionan por sí solos con Python 3.9 o posterior, sin instalar nada. Solo leen tus archivos: sin acceso a la red, y no se envía nada a ningún sitio.