Shopify protege su plataforma, pero tu tienda solo es tan segura como las cuentas, las apps y el código que le añades. La mayoría de las brechas en tiendas no vulneran Shopify en sí; empiezan con una contraseña reutilizada, un acceso de personal olvidado o una app que nadie revisó antes de instalarla.

Esta guía repasa los pasos que conviene dar primero y dedica especial atención a la decisión en la que más se equivocan los comerciantes: qué apps instalar. Aprenderás a comprobar quién creó una app, qué te dice (y qué no) la insignia Built for Shopify y qué solicitudes de permisos deberían hacerte parar.

La mayor parte lleva unos minutos y no requiere un desarrollador.

1. Blinda tu inicio de sesión

Tu acceso al administrador es la puerta de entrada a los pedidos, los datos de clientes y los pagos, así que es lo primero que hay que proteger a fondo. Estos pasos siguen las recomendaciones de seguridad de cuenta de Shopify.

• Activa la autenticación en dos pasos para ti y para cada miembro del personal. Con ella activada, una contraseña robada por sí sola no basta para entrar. Shopify la exige para usar Shopify Payments.
• Añade una clave de acceso (passkey). Shopify describe las claves de acceso como un sustituto más seguro de las contraseñas; se desbloquean con una huella dactilar, el reconocimiento facial o el PIN de tu dispositivo.
• Guarda tus códigos de recuperación en un lugar seguro pero accesible, como un gestor de contraseñas. Te permiten volver a entrar si pierdes el teléfono.
• Usa una contraseña única para Shopify, nunca una que utilices en otros sitios. Shopify bloquea las cuentas cuyas credenciales aparecen en filtraciones públicas de datos, y puedes comprobar las tuyas en Have I Been Pwned.
• Protege también el correo del propietario. Quien controle esa bandeja de entrada puede iniciar un restablecimiento de contraseña, así que dale la misma protección de dos pasos.

No compartas nunca tu propio acceso con una agencia, un freelancer o un empleado. Da a cada persona su propia cuenta de personal, que es el siguiente paso.

2. Da a cada persona solo el acceso que necesita

Cada cuenta de personal o de agencia es otra puerta de entrada a tu tienda, así que cada una debe tener el conjunto mínimo de permisos que permita hacer el trabajo. Los ejemplos de roles de Shopify muestran cómo se ve eso en la práctica:

Rol	Normalmente necesita	Mantener fuera de su alcance
Almacén y logística	Pedidos (ver, preparar, enviar), Inventario, Productos solo en lectura	Finanzas, datos de clientes, configuración de la tienda
Contabilidad	Finanzas (pagos y facturación), Analíticas, ver y exportar Pedidos	Editar, reembolsar o cancelar pedidos
Desarrollador o agencia	Permisos de tienda online y de apps y canales, limitados al proyecto	Todo lo que quede fuera del proyecto, como finanzas y datos de clientes

Para freelancers y agencias, usa una cuenta de colaborador en lugar de entregar un acceso. El proceso te da varias oportunidades para decir que no:

• El código de acceso de 4 dígitos lo controlas tú. Solo los Partners a los que des el código pueden enviar una solicitud. Lo encuentras en Configuración > Usuarios > Seguridad (Settings > Users > Security) y puedes generar uno nuevo en cualquier momento para anular el anterior.
• Revisa cada solicitud antes de aceptarla. En Configuración > Usuarios (Settings > Users), filtra por Solicitudes (Requests) y lee los datos del Partner, como «Partner desde» («Partner since») y «Solicitud enviada desde» («Request sent from»). Si no esperabas la solicitud, recházala y contacta directamente con el Partner.
• Limita el rol. Acepta solo los permisos que necesita el proyecto y restringe el acceso a apps y canales concretos siempre que puedas.
• Retira el acceso cuando termine el trabajo. El acceso de colaborador también caduca solo tras 90 días sin iniciar sesión, pero no esperes a eso.

Por último, pon un recordatorio periódico en tu calendario para revisar la lista de usuarios cada trimestre. Elimina a antiguos empleados y a contratistas cuyo trabajo ya terminó, y revisa de nuevo a quien tenga permisos sensibles.

3. Evalúa cada app antes de instalarla

Una app puede leer y, a menudo, editar tus pedidos y tus clientes, y muchas añaden además código a tu tienda online, así que dedicar dos minutos a comprobarla antes de pulsar Instalar es el mejor hábito de seguridad que puedes crear. Sigue estos pasos en orden.

1. Averigua quién la creó. Abre el nombre y el sitio web del desarrollador desde la ficha. Busca una empresa real con un sitio web que funcione, un equipo identificable, una dirección de soporte en su propio dominio (no un correo gratuito) y un historial de otras apps. Si no puedes saber quién está detrás de una app, no la instales.
2. Comprueba si tiene la insignia Built for Shopify. Es una señal positiva fuerte, pero lee antes la tabla de abajo para ver qué cubre y qué no. Puedes filtrar los resultados de búsqueda de la App Store para ver solo apps Built for Shopify.
3. Lee los permisos de la pantalla de instalación. Shopify los agrupa como «Ver datos personales» y «Ver y editar datos de la tienda» (en inglés, «View personal data» y «View and edit store data»), y puedes desplegar cada grupo. Pregúntate si cada permiso tiene sentido para lo que hace la app. Una app de lista de deseos que quiere editar pedidos, o una herramienta de SEO que quiere datos de clientes, merece una pregunta al desarrollador. Shopify revisa las apps que solicitan acceso a todos los pedidos, así que ese permiso merece una mirada más atenta.
4. Abre la política de privacidad. Toda ficha debe enlazar a una que explique qué datos recopila la app, cómo se usan y se conservan, dónde se procesan y cómo contactar con el desarrollador. Una política ausente, copiada o vaga es una señal de alarma.
5. Lee las reseñas recientes, no solo la media. Busca patrones en las reseñas de 1 y 2 estrellas y comprueba si el desarrollador responde. Shopify prohíbe las reseñas falsas y las incentivadas, así que una avalancha de reseñas cortas y entusiastas publicadas la misma semana es motivo de cautela.
6. Desconfía de las instalaciones que empiezan fuera de la App Store. Shopify exige que la instalación comience desde una superficie de Shopify y prohíbe pedir a los comerciantes que escriban a mano el dominio de su tienda. Un correo o un mensaje de chat que te empuja a instalar una app concreta es señal de estafa.
7. Pruébala primero en un tema duplicado o en una tienda de desarrollo, y aprovecha la prueba gratuita para ver qué cambia. Las apps que usan extensiones de apps de tema dejan menos rastro cuando se desinstalan.

Cualquier «no» termina la instalación. Si todas las respuestas son sí, instala primero en un tema duplicado y añade la app a tu auditoría trimestral.

Qué te dice la insignia Built for Shopify

La insignia significa que una app cumplió los estándares de rendimiento, diseño e integración de Shopify. Shopify revisa el estado al menos una vez al año y las apps pueden perderla. No se describe como una certificación de seguridad ni de protección de datos, así que trátala como un dato más, no como un veredicto.

Lo que la insignia sí comprueba	Lo que la insignia no promete
Impacto en la tienda online: la app no puede bajar la puntuación de rendimiento de Lighthouse en más de 10 puntos	Una auditoría de seguridad ni una certificación de protección de datos
Buen historial: al menos 50 instalaciones netas de tiendas activas con plan de pago, al menos 5 reseñas y ninguna infracción pendiente del Programa de Partners	Que la app encaje con tu tienda o tenga un precio justo
Integración limpia: última versión de App Bridge y extensiones de apps de tema para los elementos de la tienda	Que la app siga cumpliendo el estándar para siempre
Cambios limitados en archivos del tema: el uso de la Asset API está restringido y auditado	Que una app nueva sin la insignia sea insegura

4. Audita tus apps instaladas cada trimestre

Una app que dejaste de usar sigue teniendo acceso a tu tienda, así que una revisión trimestral importa tanto como la primera comprobación. Shopify muestra la mayor parte de lo que necesitas en Configuración > Apps (Settings > Apps).

1. Haz una lista de todas las apps y pregúntate si aún las usas. Incluye las que instaló un antiguo empleado o una agencia. Si nadie sabe explicar por qué una app está ahí, es candidata a eliminarse.
2. Abre cada app y lee «Actividad y permisos» («Activity and permissions»). Muestra qué áreas de la tienda puede ver o editar la app y la fecha de su última actividad en cada una. Los permisos que no ha usado en los últimos 30 días aparecen en «Acceso sin usar» («Unused access»). Esto solo se aplica a apps de terceros.
3. Revisa la sección de privacidad. Enumera los datos personales a los que puede acceder la app, agrupados por categorías como Clientes y Personal y colaboradores, y enlaza a la política de privacidad del desarrollador.
4. Desinstala lo que no necesites. Usa el menú de tres puntos de la página de la app. No te limites a ignorar una app, porque su acceso sigue activo hasta que la eliminas.
5. Busca restos en tu tema. Las apps creadas con extensiones de apps de tema se eliminan limpiamente junto con la app, pero las más antiguas pueden dejar código en los archivos del tema. En el editor de temas, desactiva las inserciones de apps (App embeds) que no uses. Después trabaja sobre una copia de tu tema, busca el nombre de la app eliminada y pregunta al desarrollador o a un experto de confianza antes de borrar líneas de las que no estés seguro.

Si los permisos de una app parecen más amplios que su función, escribe al desarrollador y pregunta por qué. Un buen desarrollador responde con claridad y puede reducir los permisos; una respuesta vaga también es información útil.

5. Reconoce el phishing y el falso soporte

La forma más fácil de entrar en una tienda bien protegida es a través de la persona que la gestiona. La propia guía de seguridad del ecommerce de Shopify cita el informe Cost of a Data Breach 2025 de IBM, que atribuyó al phishing el 16 % de las brechas estudiadas, la puerta de entrada más común. Los mensajes falsos también llegan como llamadas (vishing) y mensajes de texto (smishing), no solo por correo.

• El soporte de Shopify nunca te pide la contraseña. Quien lo haga no es Shopify.
• No te fíes del nombre del remitente. Comerciantes han denunciado correos falsos de soporte que muestran una dirección de un subdominio de Shopify, y un usuario de ese hilo de la comunidad señaló que el campo De (From) visible puede configurarse con cualquier valor.
• No inicies sesión desde un enlace de un correo. Escribe tú mismo la dirección del administrador o usa un marcador, y comprueba si el mismo aviso aparece dentro de tu administrador.
• Verifica los cambios por un segundo canal. Si alguien te pide cambiar un acceso, la cuenta bancaria de cobro o un destino de pago, confírmalo por teléfono o en persona con alguien que ya conozcas.
• Espera las solicitudes de colaborador. Solo los Partners a los que diste tu código de acceso pueden enviar una. Una solicitud inesperada, o un desconocido que te pide el código, es señal de estafa.
• Desconfía de los correos urgentes de «cumplimiento» o «parche de seguridad». La presión y los plazos son la forma de actuar del phishing. Haz una pausa y comprueba tu administrador directamente.
• Asegúrate de que los correos reales de Shopify te llegan. Revisa tus filtros para que las alertas genuinas no acaben en spam, donde pasarían desapercibidas.

Si has hecho clic o has introducido datos, actúa de inmediato: cambia las contraseñas de tu correo y de Shopify, revisa la actividad de tu cuenta y de tus finanzas y tus pedidos recientes, y contacta con el soporte de Shopify, como aconsejan las recomendaciones de seguridad de cuenta de Shopify.

6. Trata con cuidado los temas y el código personalizado

Cualquier script de tu tema se ejecuta para cada visitante, así que cada línea que pegues merece el mismo escrutinio que un nuevo empleado. La guía de Shopify sobre personalizar temas recomienda duplicar tu tema como copia de seguridad antes de editarlo, y editar el código solo si tu tema no tiene un ajuste para el cambio que quieres y te sientes cómodo con HTML, CSS y Liquid.

• Parte de una fuente de confianza. Elige temas de la Shopify Theme Store o de desarrolladores con una empresa visible, reseñas y un canal de soporte, y comprueba el nivel de soporte del tema. Evita las copias «gratuitas» o crackeadas de temas de pago, una vía clásica para introducir código malicioso oculto.
• No pegues código que no entiendas. Los fragmentos de foros, vídeos y correos no solicitados pueden enviar datos de tus visitantes al servidor de otra persona. Si un tutorial te pide un script de un dominio desconocido, sáltatelo.
• Trabaja siempre sobre un duplicado. Haz el cambio en la copia, previsualízalo y luego publícalo. Si algo se rompe, el original está a un clic.
• Prefiere los bloques de apps y las inserciones de apps al código editado a mano. Las apps creadas con extensiones de apps de tema se activan y desactivan desde el editor de temas y desaparecen con la app. Las apps Built for Shopify también tienen límites para editar archivos del tema mediante la Asset API, que se audita.
• Lleva un registro de cambios. Anota cada fragmento personalizado, quién lo añadió y cuándo. Hace mucho más rápida la auditoría trimestral del paso 4.
• Limita quién puede editar código. Los permisos de temas y de tienda online son solo para quienes los necesiten, como se explica en el paso 2.

Un consuelo: la guía de seguridad del ecommerce de Shopify señala que los propietarios de tiendas no pueden modificar el código base del checkout, lo que hace que las tiendas Shopify estén menos expuestas al malware de skimming de tarjetas que las tiendas autoalojadas. Es una razón para que siga siendo así y para ser prudente con cualquier app o script que prometa cambiar el checkout.

7. Protege el checkout, los pagos y los datos de clientes

Shopify afirma estar certificada con el nivel 1 de PCI DSS y que esto se extiende por defecto a todas las tiendas de la plataforma. Eso cubre la infraestructura. Lo que ocurre con los datos de tarjetas y de clientes después de que lleguen a tu equipo, tus apps y tus hojas de cálculo depende de ti.

• Mantén los datos de tarjetas fuera de tus propias herramientas. No pidas nunca datos de tarjeta a los clientes por correo o chat, y no guardes números de tarjeta en notas de pedidos, correos ni hojas de cálculo.
• Usa el análisis de fraude en cada pedido. Shopify clasifica cada pedido como de riesgo bajo, medio o alto. Revisa los pedidos de riesgo alto antes de prepararlos para el envío. La guía de seguridad del ecommerce de Shopify sugiere usar Shopify Flow para enviarlos automáticamente a revisión manual.
• Revisa con cuidado los ajustes de prevención de fraude. En Configuración > Pagos > Shopify Payments > Gestionar > Prevención de fraude (Settings > Payments > Shopify Payments > Manage > Fraud prevention) puedes definir los requisitos de AVS y CVV. Shopify señala que AVS viene desactivado por defecto y que activarlo puede aumentar los rechazos falsos, así que mira tus informes de riesgo de pedidos antes de cambiar nada.
• Limita el acceso a los datos de clientes. Solo el personal que atiende al cliente o hace marketing necesita el permiso de Clientes. Exporta listas de clientes solo cuando sea imprescindible, guarda el archivo de forma segura y bórralo después.
• Recopila solo lo necesario. Cada campo extra, píxel de seguimiento y app que toca datos de clientes añade riesgo y obligaciones legales. Si vendes a clientes de la UE o del Reino Unido, se aplican leyes de privacidad como el RGPD a los datos que conservas.
• Publica una política de privacidad clara para tu propia tienda, que coincida con lo que realmente hacen tus apps.

Si una herramienta promete cambiar o «mejorar» tu checkout, trátala como de alto riesgo y aplica dos veces todas las comprobaciones del paso 3.

8. Protege tu dominio y tu correo

Quien controla tu dominio controla la dirección de tu tienda y tu correo, así que la cuenta donde lo registraste necesita la misma protección que tu acceso a Shopify.

• Protege la cuenta del registrador. Usa una contraseña única y autenticación en dos pasos, y mantén actualizado su correo de recuperación.
• Mantén activado el bloqueo de transferencia salvo que estés trasladando el dominio, y conserva la renovación automática y un método de pago válido para que el dominio no caduque.
• Autentica tu dominio de envío. Shopify autentica por defecto los correos de marketing y, si no has configurado el tuyo, los envía desde un subdominio de shopifyemail.com. Autenticar tu propio dominio es opcional pero recomendable, y evita que los estafadores envíen mensajes falsos que parezcan venir de tu tienda.

Para autenticar tu propio dominio, sigue la guía de entregabilidad del correo de Shopify: conecta el dominio, añade los registros CNAME de SPF y DKIM y después añade un registro DMARC. Un registro DMARC indica a los proveedores de correo qué hacer con los mensajes que no superan la autenticación y te muestra cómo se está usando tu dominio. Un primer registro seguro solo monitoriza, de modo que no se bloquea nada mientras revisas los informes:

v=DMARC1; p=none; rua=mailto:[email protected]

Es un registro TXT que se añade en _dmarc.tutienda.com. Cuando los informes muestren solo tus remitentes legítimos, puedes pasar a una política más estricta.

9. Prepárate para lo peor: copias de seguridad y un plan de respuesta

Ninguna lista te hace inmune, así que decide ahora qué harás el día que algo salga mal.

Haz tus propias copias de seguridad. Duplica tu tema antes de cada cambio y exporta tus productos, clientes y pedidos con regularidad. Las exportaciones contienen datos personales, así que guárdalas en un lugar protegido y elimina las copias antiguas.

Vigila las señales. Revisa tu lista de usuarios y las apps instaladas cada trimestre, y presta atención a alertas de inicio de sesión inesperadas, nuevas solicitudes de personal o de colaboradores y correos de restablecimiento de contraseña que no hayas pedido.

Si sospechas de una brecha, actúa en este orden. Los tres primeros pasos siguen las recomendaciones de seguridad de cuenta de Shopify.

1. Contacta de inmediato con el soporte de Shopify.
2. Cambia las contraseñas de tu correo y de Shopify.
3. Revisa la actividad de tu cuenta y de tus finanzas, y comprueba tus pedidos recientes.
4. Elimina cualquier miembro del personal, colaborador o app que no reconozcas y genera un nuevo código de acceso de colaborador.
5. Confirma que los datos bancarios de tus pagos y la configuración de tu dominio no han cambiado.
6. Cambia las contraseñas de los servicios conectados, como tu registrador y tu proveedor de correo.
7. Si los datos de clientes pueden haberse expuesto, consulta las normas de notificación de brechas que se aplican donde estáis tú y tus clientes, y anota qué ocurrió y cuándo.

Imprime esta lista, añade dónde están tus códigos de recuperación y da una copia a una persona de confianza.

Tu lista de comprobación de seguridad en Shopify

Una tienda segura nace de unos pocos hábitos que se repiten cada trimestre. Marca estos puntos y pon la revisión en tu calendario.

• ☐ La autenticación en dos pasos está activada en todas las cuentas y el propietario ha añadido una clave de acceso
• ☐ Los códigos de recuperación están guardados en un gestor de contraseñas
• ☐ El correo del propietario y la cuenta del registrador del dominio están protegidos con autenticación en dos pasos
• ☐ Cada persona tiene su propia cuenta de personal con un rol limitado
• ☐ Las agencias y los freelancers usan cuentas de colaborador, y los proyectos terminados se eliminan
• ☐ De cada app nueva se comprobó el desarrollador, la insignia, los permisos, la política de privacidad y las reseñas
• ☐ Las apps sin uso están desinstaladas y se ha revisado el código sobrante del tema
• ☐ El tema se duplica antes de cada edición y no se pega ningún script desconocido
• ☐ Los pedidos de riesgo alto se revisan antes de prepararlos para el envío
• ☐ El dominio de envío está autenticado con SPF, DKIM y DMARC
• ☐ Productos, clientes, pedidos y tema tienen copias de seguridad programadas
• ☐ Existe un plan de respuesta impreso, con la ubicación de los códigos de recuperación

Si te quedas con una sola idea, que sea esta: antes de instalar cualquier app, averigua quién la creó, lee a qué puede acceder y considera la insignia Built for Shopify una buena señal, no una garantía.

Sobre Sezerium

Sezerium es un Shopify Partner que crea apps para comerciantes, y procuramos seguir nosotros mismos los consejos de esta guía. Stamp Show Variants Collection y Stamp Custom Invoice Generator tienen la insignia Built for Shopify, y nuestra app gratuita de lista de deseos por variante, Stamp Wishlist & Back in Stock, también está en la App Store. Cada ficha muestra los permisos que solicita antes de instalar, así que puedes aplicar a nuestras apps las comprobaciones del paso 3.

Fuentes

Todas las páginas de Shopify siguientes se abrieron y se leyeron para elaborar esta guía (están en inglés).

• Account security best practices, Centro de ayuda de Shopify
• Collaborator accounts, Centro de ayuda de Shopify
• Role examples, Centro de ayuda de Shopify
• Built for Shopify app program, Centro de ayuda de Shopify
• Built for Shopify requirements, documentación para desarrolladores de Shopify
• Built for Shopify program updates, blog de Shopify Partners
• App Store requirements, documentación para desarrolladores de Shopify
• Privacy requirements, documentación para desarrolladores de Shopify
• Finding and choosing apps, Centro de ayuda de Shopify
• Installing and setting up apps, Centro de ayuda de Shopify
• Managing apps, Centro de ayuda de Shopify
• Customizing themes, Centro de ayuda de Shopify
• Email deliverability, Centro de ayuda de Shopify
• Ecommerce security: threats and best practices, blog de Shopify
• PCI compliance, Shopify
• Phishing scam emails from admin.shopify.com, Comunidad de Shopify (testimonios de comerciantes)