Shopify protège sa plateforme, mais votre boutique n’est aussi sûre que les comptes, les apps et le code que vous lui ajoutez. La plupart des compromissions de boutiques ne piratent pas Shopify lui-même ; elles commencent par un mot de passe réutilisé, un accès d’employé oublié ou une app que personne n’a vérifiée avant de l’installer.

Ce guide passe en revue les étapes à franchir en premier et s’attarde sur la décision que les marchands prennent le plus souvent à la légère : quelles apps installer. Vous apprendrez à vérifier qui a créé une app, ce que le badge Built for Shopify garantit ou non, et quelles demandes d’autorisations doivent vous arrêter.

L’essentiel prend quelques minutes et ne demande aucun développeur.

1. Verrouillez votre connexion

Votre connexion à l’administration est la porte d’entrée vers les commandes, les données clients et les versements : elle mérite donc la protection la plus forte en premier. Ces étapes suivent les conseils de sécurité du compte de Shopify.

• Activez l’authentification en deux étapes pour vous et chaque membre de votre équipe. Une fois activée, un mot de passe volé ne suffit plus pour se connecter. Shopify l’exige pour utiliser Shopify Payments.
• Ajoutez une clé d’accès (passkey). Shopify décrit les clés d’accès comme un remplacement plus sûr des mots de passe ; vous les déverrouillez avec une empreinte digitale, la reconnaissance faciale ou le code PIN de votre appareil.
• Conservez vos codes de récupération dans un endroit sûr mais accessible, comme un gestionnaire de mots de passe. Ils vous permettent de revenir si vous perdez votre téléphone.
• Utilisez un mot de passe unique pour Shopify, jamais un mot de passe que vous employez ailleurs. Shopify verrouille les comptes dont les identifiants apparaissent dans des fuites de données publiques, et vous pouvez vérifier les vôtres sur Have I Been Pwned.
• Protégez aussi l’adresse e-mail du propriétaire. Quiconque contrôle cette boîte de réception peut lancer une réinitialisation de mot de passe : donnez-lui la même protection en deux étapes.

Ne partagez jamais votre propre identifiant avec une agence, un freelance ou un employé. Donnez plutôt à chaque personne son propre compte de membre du personnel : c’est l’étape suivante.

2. N’accordez à chacun que l’accès dont il a besoin

Chaque compte du personnel ou d’agence est une porte d’entrée de plus vers votre boutique : chacun doit donc avoir le plus petit ensemble d’autorisations qui permet de faire le travail. Les exemples de rôles de Shopify montrent ce que cela donne en pratique :

Rôle	A généralement besoin de	À garder hors de portée
Entrepôt et logistique	Commandes (consulter, traiter, expédier), Stock, Produits en lecture seule	Finances, données clients, paramètres de la boutique
Comptabilité	Finances (versements et facturation), Analyses, consulter et exporter les Commandes	Modifier, rembourser ou annuler des commandes
Développeur ou agence	Autorisations Boutique en ligne et Apps et canaux, limitées au projet	Tout ce qui sort du projet, comme les finances et les données clients

Pour les freelances et les agences, utilisez un compte collaborateur plutôt que de communiquer un identifiant. Le processus vous donne plusieurs occasions de dire non :

• Le code d’accès à 4 chiffres, c’est vous qui le contrôlez. Seuls les partenaires à qui vous donnez le code peuvent envoyer une demande. Vous le trouvez sous Paramètres > Utilisateurs > Sécurité (Settings > Users > Security) et vous pouvez en générer un nouveau à tout moment pour invalider l’ancien.
• Examinez chaque demande avant de l’accepter. Sous Paramètres > Utilisateurs (Settings > Users), filtrez sur les Demandes (Requests) et lisez les informations du partenaire, comme « Partenaire depuis » (« Partner since ») et « Demande envoyée depuis » (« Request sent from »). Si vous n’attendiez pas la demande, refusez-la et contactez directement le partenaire.
• Limitez le rôle. N’acceptez que les autorisations dont le projet a besoin et, quand c’est possible, restreignez l’accès à certaines apps et à certains canaux.
• Retirez l’accès à la fin du travail. L’accès collaborateur expire aussi tout seul après 90 jours sans connexion, mais n’attendez pas ce délai.

Enfin, mettez un rappel récurrent dans votre agenda pour passer en revue la liste des utilisateurs chaque trimestre. Retirez les anciens employés et les prestataires dont la mission est terminée, et réexaminez les personnes disposant d’autorisations sensibles.

3. Évaluez chaque app avant de l’installer

Une app peut lire et souvent modifier vos commandes et vos clients, et beaucoup ajoutent aussi du code à votre boutique en ligne : deux minutes de vérification avant de cliquer sur Installer constituent donc la meilleure habitude de sécurité que vous puissiez adopter. Suivez ces étapes dans l’ordre.

1. Découvrez qui l’a créée. Ouvrez le nom et le site web du développeur depuis la fiche. Cherchez une vraie entreprise avec un site qui fonctionne, une équipe identifiable, une adresse de support sur son propre domaine (pas une messagerie gratuite) et un historique d’autres apps. Si vous ne pouvez pas savoir qui se cache derrière une app, ne l’installez pas.
2. Cherchez le badge Built for Shopify. C’est un signal positif fort, mais lisez d’abord le tableau ci-dessous pour voir ce qu’il couvre et ce qu’il ne couvre pas. Vous pouvez filtrer les résultats de l’App Store pour n’afficher que les apps Built for Shopify.
3. Lisez les autorisations sur l’écran d’installation. Shopify les regroupe en « Afficher les données personnelles » et « Afficher et modifier les données de la boutique » (en anglais « View personal data » et « View and edit store data »), et vous pouvez déplier chaque groupe. Demandez-vous si chaque autorisation a du sens pour ce que fait l’app. Une app de wishlist qui veut modifier les commandes, ou un outil de SEO qui veut les données clients, mérite une question au développeur. Shopify examine les apps qui demandent l’accès à toutes les commandes, ce qui rend cette autorisation digne d’un regard plus attentif.
4. Ouvrez la politique de confidentialité. Chaque fiche doit renvoyer vers une politique qui explique quelles données l’app collecte, comment elles sont utilisées et conservées, où elles sont traitées et comment joindre le développeur. Une politique absente, copiée ou vague est un signal d’alarme.
5. Lisez les avis récents, pas seulement la moyenne. Repérez les schémas dans les avis à 1 et 2 étoiles et vérifiez si le développeur répond. Shopify interdit les faux avis et les avis incités : une avalanche d’avis courts et enthousiastes publiés la même semaine est donc un motif de prudence.
6. Méfiez-vous des installations qui démarrent hors de l’App Store. Shopify exige que l’installation commence depuis une surface Shopify et interdit de demander aux marchands de saisir à la main le domaine de leur boutique. Un e-mail ou un message de chat qui vous pousse à installer une app précise est un signe d’arnaque.
7. Essayez-la d’abord sur un thème dupliqué ou une boutique de développement, et profitez de l’essai gratuit pour voir ce qu’elle change. Les apps qui utilisent des extensions d’application de thème laissent moins de traces à la désinstallation.

Un seul « non » met fin à l’installation. Si toutes les réponses sont oui, installez d’abord sur un thème dupliqué et ajoutez l’app à votre audit trimestriel.

Ce que le badge Built for Shopify vous apprend

Le badge signifie qu’une app a satisfait aux standards de performance, de design et d’intégration de Shopify. Shopify réexamine ce statut au moins une fois par an, et les apps peuvent le perdre. Il n’est pas décrit comme une certification de sécurité ou de protection des données : considérez-le donc comme un élément d’appréciation, pas comme un verdict.

Ce que le badge vérifie	Ce que le badge ne promet pas
Impact sur la boutique en ligne : l’app ne peut pas faire baisser le score de performance Lighthouse de plus de 10 points	Un audit de sécurité ou une certification de protection des données
Bonne réputation : au moins 50 installations nettes de boutiques actives sur un forfait payant, au moins 5 avis et aucune infraction en cours au programme Partenaires	Que l’app convienne à votre boutique ou soit au juste prix
Intégration propre : dernière version d’App Bridge et extensions d’application de thème pour les éléments de la boutique	Que l’app continuera de respecter le standard pour toujours
Modifications limitées des fichiers du thème : l’utilisation de l’Asset API est restreinte et auditée	Qu’une app récente sans badge soit dangereuse

4. Auditez vos apps installées chaque trimestre

Une app que vous n’utilisez plus conserve son accès à votre boutique : une revue trimestrielle compte donc autant que la première vérification. Shopify affiche l’essentiel de ce qu’il vous faut sous Paramètres > Apps (Settings > Apps).

1. Listez chaque app et demandez-vous si vous l’utilisez encore. Incluez celles qu’un ancien employé ou une agence a installées. Si personne ne sait expliquer pourquoi une app est là, c’est une candidate à la suppression.
2. Ouvrez chaque app et lisez « Activité et autorisations » (« Activity and permissions »). Vous y voyez quelles zones de la boutique l’app peut consulter ou modifier et la date de sa dernière activité dans chacune. Les autorisations qu’elle n’a pas utilisées ces 30 derniers jours apparaissent sous « Accès inutilisé » (« Unused access »). Cela ne concerne que les apps tierces.
3. Consultez la section Confidentialité. Elle énumère les données personnelles auxquelles l’app peut accéder, regroupées par catégories comme Clients et Personnel et contributeurs, et renvoie à la politique de confidentialité du développeur.
4. Désinstallez ce dont vous n’avez pas besoin. Utilisez le menu à trois points de la page de l’app. Ne vous contentez pas d’ignorer une app, car son accès reste actif tant que vous ne l’avez pas supprimée.
5. Cherchez les restes dans votre thème. Les apps conçues avec des extensions d’application de thème se retirent proprement avec l’app, mais les plus anciennes peuvent laisser du code dans les fichiers du thème. Dans l’éditeur de thème, désactivez les intégrations d’app (App embeds) inutilisées. Travaillez ensuite sur une copie de votre thème, cherchez le nom de l’app supprimée et demandez au développeur ou à un expert de confiance avant de supprimer des lignes dont vous n’êtes pas sûr.

Si les autorisations d’une app semblent plus larges que sa fonction, écrivez au développeur et demandez pourquoi. Un bon développeur répond clairement et peut réduire les autorisations ; une réponse vague est aussi une information utile.

5. Reconnaissez le phishing et le faux support

Le moyen le plus simple d’entrer dans une boutique bien protégée passe par la personne qui la gère. Le guide de la sécurité e-commerce de Shopify cite le Cost of a Data Breach Report 2025 d’IBM, qui attribue au phishing 16 % des violations étudiées, le point d’entrée le plus courant. Les faux messages arrivent aussi sous forme d’appels (vishing) et de SMS (smishing), pas seulement par e-mail.

• Le support Shopify ne vous demande jamais votre mot de passe. Quiconque le fait n’est pas Shopify.
• Ne vous fiez pas au nom de l’expéditeur. Des marchands ont signalé de faux e-mails de support affichant une adresse d’un sous-domaine Shopify, et un intervenant de ce fil de la communauté a fait remarquer que le champ De (From) visible peut être réglé sur n’importe quelle valeur.
• Ne vous connectez jamais via un lien reçu par e-mail. Saisissez vous-même l’adresse de l’administration ou utilisez un favori, puis vérifiez si la même notification apparaît dans votre administration.
• Vérifiez les changements par un second canal. Si quelqu’un vous demande de modifier un identifiant, le compte bancaire de vos versements ou une destination de paiement, confirmez-le par téléphone ou en personne auprès de quelqu’un que vous connaissez déjà.
• Attendez-vous aux demandes de collaborateur. Seuls les partenaires à qui vous avez donné votre code d’accès peuvent en envoyer une. Une demande inattendue, ou un inconnu qui vous réclame le code, est un signe d’arnaque.
• Méfiez-vous des e-mails urgents de « conformité » ou de « correctif de sécurité ». La pression et les délais sont la méthode du phishing. Faites une pause, puis vérifiez directement votre administration.
• Assurez-vous de recevoir les vrais e-mails de Shopify. Vérifiez vos filtres pour que les alertes authentiques n’atterrissent pas dans les spams, où vous les manqueriez.

Si vous avez cliqué ou saisi des informations, agissez immédiatement : changez les mots de passe de votre e-mail et de Shopify, examinez l’activité de votre compte et de vos finances ainsi que vos commandes récentes, et contactez le support Shopify, comme le recommandent les conseils de sécurité du compte de Shopify.

6. Soyez prudent avec les thèmes et le code personnalisé

Tout script de votre thème s’exécute pour chaque visiteur : chaque ligne collée mérite donc le même examen qu’un nouvel employé. Le guide de Shopify sur la personnalisation des thèmes recommande de dupliquer votre thème comme copie de sauvegarde avant de le modifier, et de ne modifier le code que si votre thème n’a pas de réglage pour le changement voulu et que vous êtes à l’aise avec HTML, CSS et Liquid.

• Partez d’une source fiable. Choisissez des thèmes de la Shopify Theme Store ou de développeurs avec une entreprise visible, des avis et un canal de support, et vérifiez le niveau de support du thème. Évitez les copies « gratuites » ou piratées de thèmes payants, une voie classique pour introduire du code malveillant caché.
• Ne collez pas du code que vous ne comprenez pas. Les extraits issus de forums, de vidéos et d’e-mails non sollicités peuvent envoyer les données de vos visiteurs vers le serveur de quelqu’un d’autre. Si un tutoriel réclame un script provenant d’un domaine inconnu, passez votre chemin.
• Travaillez toujours sur un doublon. Faites la modification sur la copie, prévisualisez-la, puis publiez. Si quelque chose casse, l’original est à un clic.
• Préférez les blocs d’app et les intégrations d’app au code modifié à la main. Les apps conçues avec des extensions d’application de thème s’activent et se désactivent depuis l’éditeur de thème et disparaissent avec l’app. Les apps Built for Shopify sont aussi soumises à des limites pour modifier les fichiers du thème via l’Asset API, qui est auditée.
• Tenez un journal des modifications. Notez chaque extrait personnalisé, qui l’a ajouté et quand. L’audit trimestriel de l’étape 4 en sera bien plus rapide.
• Limitez qui peut modifier le code. Les autorisations Thèmes et Boutique en ligne ne doivent revenir qu’aux personnes qui en ont besoin, comme expliqué à l’étape 2.

Une bonne nouvelle : le guide de la sécurité e-commerce de Shopify indique que les propriétaires de boutiques ne peuvent pas modifier le code sous-jacent du checkout, ce qui rend les boutiques Shopify moins exposées aux logiciels malveillants de skimming de cartes que les boutiques auto-hébergées. C’est une raison de le laisser ainsi, et d’être prudent avec toute app ou tout script qui promet de modifier le checkout.

7. Protégez le checkout, les paiements et les données clients

Shopify affirme être certifié PCI DSS niveau 1 et que cela s’étend par défaut à chaque boutique de la plateforme. Cela couvre l’infrastructure. Ce qui arrive aux données de cartes et aux données clients une fois qu’elles parviennent à votre équipe, à vos apps et à vos feuilles de calcul dépend de vous.

• Gardez les données de cartes hors de vos propres outils. Ne demandez jamais de données de carte aux clients par e-mail ou par chat, et ne stockez pas de numéros de carte dans les notes de commande, les e-mails ou les feuilles de calcul.
• Utilisez l’analyse de fraude sur chaque commande. Shopify classe chaque commande en risque faible, moyen ou élevé. Examinez les commandes à risque élevé avant de les traiter. Le guide de la sécurité e-commerce de Shopify suggère d’utiliser Shopify Flow pour les envoyer automatiquement en examen manuel.
• Vérifiez soigneusement vos paramètres de prévention de la fraude. Sous Paramètres > Paiements > Shopify Payments > Gérer > Prévention de la fraude (Settings > Payments > Shopify Payments > Manage > Fraud prevention), vous pouvez définir des exigences AVS et CVV. Shopify précise que l’AVS est désactivé par défaut et que l’activer peut augmenter les refus à tort : consultez donc vos rapports de risque de commande avant de modifier quoi que ce soit.
• Limitez l’accès aux données clients. Seul le personnel du support ou du marketing a besoin de l’autorisation Clients. N’exportez des listes de clients que lorsque c’est indispensable, stockez le fichier en lieu sûr et supprimez-le ensuite.
• Ne collectez que le nécessaire. Chaque champ supplémentaire, pixel de suivi et app qui touche aux données clients ajoute du risque et des obligations légales. Si vous vendez à des clients de l’UE ou du Royaume-Uni, les lois sur la vie privée comme le RGPD s’appliquent aux données que vous conservez.
• Publiez une politique de confidentialité claire pour votre propre boutique, qui corresponde à ce que font réellement vos apps.

Si un outil promet de modifier ou d’« améliorer » votre checkout, considérez-le comme à haut risque et appliquez deux fois toutes les vérifications de l’étape 3.

8. Sécurisez votre domaine et votre e-mail

Qui contrôle votre domaine contrôle l’adresse de votre boutique et votre e-mail : le compte où vous l’avez enregistré a donc besoin de la même protection que votre connexion Shopify.

• Protégez le compte du registraire. Utilisez un mot de passe unique et l’authentification en deux étapes, et gardez à jour son e-mail de récupération.
• Laissez le verrouillage de transfert activé sauf si vous déplacez activement le domaine, et conservez le renouvellement automatique et un moyen de paiement valide pour que le domaine n’expire pas.
• Authentifiez votre domaine d’expédition. Shopify authentifie par défaut les e-mails marketing et les envoie depuis un sous-domaine de shopifyemail.com si vous n’avez pas configuré le vôtre. Authentifier votre propre domaine est facultatif mais recommandé, et cela empêche les escrocs d’envoyer de faux messages qui semblent provenir de votre boutique.

Pour authentifier votre propre domaine, suivez le guide de délivrabilité des e-mails de Shopify : connectez le domaine, ajoutez les enregistrements CNAME pour SPF et DKIM, puis ajoutez un enregistrement DMARC. Un enregistrement DMARC indique aux fournisseurs de messagerie quoi faire des messages qui échouent à l’authentification et vous montre comment votre domaine est utilisé. Un premier enregistrement prudent se contente de surveiller, de sorte que rien n’est bloqué pendant que vous consultez les rapports :

v=DMARC1; p=none; rua=mailto:[email protected]

Il s’agit d’un enregistrement TXT à ajouter sur _dmarc.votreboutique.com. Lorsque les rapports ne montrent plus que vos expéditeurs légitimes, vous pouvez passer à une politique plus stricte.

9. Préparez-vous au pire : sauvegardes et plan de réponse

Aucune liste ne vous rend invulnérable : décidez donc dès maintenant de ce que vous ferez le jour où quelque chose tourne mal.

Faites vos propres sauvegardes. Dupliquez votre thème avant chaque modification et exportez régulièrement vos produits, clients et commandes. Les exports contiennent des données personnelles : stockez-les donc dans un lieu protégé et supprimez les anciennes copies.

Guettez les signaux. Passez en revue chaque trimestre votre liste d’utilisateurs et vos apps installées, et soyez attentif aux alertes de connexion inattendues, aux nouvelles demandes de personnel ou de collaborateur et aux e-mails de réinitialisation de mot de passe que vous n’avez pas demandés.

Si vous soupçonnez une compromission, agissez dans cet ordre. Les trois premières étapes suivent les conseils de sécurité du compte de Shopify.

1. Contactez immédiatement le support Shopify.
2. Changez les mots de passe de votre e-mail et de Shopify.
3. Examinez l’activité de votre compte et de vos finances, et vérifiez vos commandes récentes.
4. Retirez tout membre du personnel, collaborateur ou app que vous ne reconnaissez pas, et générez un nouveau code d’accès collaborateur.
5. Vérifiez que les coordonnées bancaires de vos versements et les paramètres de votre domaine n’ont pas changé.
6. Changez les mots de passe des services connectés, comme votre registraire et votre fournisseur de messagerie.
7. Si des données clients ont pu être exposées, consultez les règles de notification des violations de données qui s’appliquent là où vous et vos clients êtes situés, et consignez par écrit ce qui s’est passé et quand.

Imprimez cette liste, ajoutez l’emplacement de vos codes de récupération et remettez-en une copie à une personne de confiance.

Votre checklist de sécurité Shopify

Une boutique sûre naît de quelques habitudes répétées chaque trimestre. Cochez ces points, puis inscrivez la revue dans votre agenda.

• ☐ L’authentification en deux étapes est activée sur tous les comptes, et le propriétaire a ajouté une clé d’accès
• ☐ Les codes de récupération sont enregistrés dans un gestionnaire de mots de passe
• ☐ L’e-mail du propriétaire et le compte du registraire du domaine sont protégés par l’authentification en deux étapes
• ☐ Chaque personne a son propre compte du personnel avec un rôle limité
• ☐ Les agences et les freelances utilisent des comptes collaborateur, et les projets terminés sont retirés
• ☐ Chaque nouvelle app a été vérifiée : développeur, badge, autorisations, politique de confidentialité et avis
• ☐ Les apps inutilisées sont désinstallées et le code résiduel du thème a été vérifié
• ☐ Le thème est dupliqué avant chaque modification et aucun script inconnu n’est collé
• ☐ Les commandes à risque élevé sont examinées avant leur traitement
• ☐ Le domaine d’expédition est authentifié avec SPF, DKIM et DMARC
• ☐ Les produits, clients, commandes et le thème sont sauvegardés selon un calendrier
• ☐ Un plan de réponse imprimé existe, avec l’emplacement des codes de récupération

Si vous ne deviez retenir qu’une chose, ce serait celle-ci : avant d’installer une app, découvrez qui l’a créée, lisez ce à quoi elle peut accéder et considérez le badge Built for Shopify comme un bon signe, pas comme une garantie.

À propos de Sezerium

Sezerium est un partenaire Shopify qui crée des apps pour les marchands, et nous essayons d’appliquer nous-mêmes les conseils de ce guide. Stamp Show Variants Collection et Stamp Custom Invoice Generator portent toutes deux le badge Built for Shopify, et notre app de wishlist gratuite au niveau des variantes, Stamp Wishlist & Back in Stock, est elle aussi sur l’App Store. Chaque fiche affiche les autorisations demandées avant l’installation, ce qui vous permet d’appliquer les vérifications de l’étape 3 à nos apps également.

Sources

Toutes les pages Shopify ci-dessous ont été ouvertes et lues pour ce guide (elles sont en anglais).

• Account security best practices, Centre d’aide Shopify
• Collaborator accounts, Centre d’aide Shopify
• Role examples, Centre d’aide Shopify
• Built for Shopify app program, Centre d’aide Shopify
• Built for Shopify requirements, documentation développeur Shopify
• Built for Shopify program updates, blog Shopify Partners
• App Store requirements, documentation développeur Shopify
• Privacy requirements, documentation développeur Shopify
• Finding and choosing apps, Centre d’aide Shopify
• Installing and setting up apps, Centre d’aide Shopify
• Managing apps, Centre d’aide Shopify
• Customizing themes, Centre d’aide Shopify
• Email deliverability, Centre d’aide Shopify
• Ecommerce security: threats and best practices, blog Shopify
• PCI compliance, Shopify
• Phishing scam emails from admin.shopify.com, Communauté Shopify (témoignages de marchands)