Shopify presse les éditeurs d’apps de se sécuriser à cinq semaines du Black Friday

L’alerte sécurité Shopify publiée le 20 octobre 2026 porte la mention « Action required ». Shopify y constate que les attaques contre les applications de son écosystème augmentent, car l’IA aide à trouver les failles. Elle donne une semaine aux développeurs d’apps pour agir et annonce un tour de vis sur leur code en boutique.

Le texte vise les éditeurs, mais les marchands restent les premiers exposés. L’incident de mi-octobre l’a montré : une app compromise peut détourner vos clients vers une fausse page de paiement. À cinq semaines du Black Friday du 27 novembre, le moment se prête donc au grand ménage.

Ce que dit l’alerte sécurité Shopify du 20 octobre

L’article, intitulé « Securing your app, together », paraît sur le blog développeurs et liste huit mesures. On y trouve notamment un scan de sécurité, des jetons d’accès qui expirent et la surveillance des logs par adresse IP. Shopify réclame aussi la double authentification sur tous les comptes et un contact d’urgence à jour.

« Comme le reste du secteur, nous voyons le nombre d’attaques augmenter dans l’écosystème des apps, à mesure que l’IA progresse pour trouver des failles. »

De son côté, Shopify annonce trois protections. Le code des apps sur la boutique aura des limites plus strictes. Les clés ne fonctionneront plus que depuis les serveurs du développeur, et l’App Store relèvera ses exigences de sécurité. Pour l’instant, aucune date : Shopify promet détails et calendrier avant toute mise en application.

Le scan de sécurité, sorti le 15 octobre, cherche des failles propres à Shopify. Il repère par exemple des webhooks non vérifiés ou l’accès aux données d’une autre boutique. Selon Shopify, la plupart des partenaires de l’accès anticipé y ont découvert un problème qu’ils ignoraient. L’entreprise prévient pourtant qu’un rapport sans erreur ne garantit pas la sécurité d’une app.

Mi-octobre, de fausses pages de paiement via des apps tierces

L’alerte sécurité Shopify n’en parle pas, mais elle arrive une semaine après un incident sérieux. Du 10 au 14 octobre 2026, des clients de vraies boutiques ont atterri sur de fausses pages de paiement. Ces pages volaient leurs données de carte. D’après les analyses publiées depuis, le code passait par la configuration de trois apps tierces, notamment d’options produits et de liste de souhaits.

Les éditeurs concernés ont reconnu des modifications non autorisées de leur configuration. Le 16 octobre, leurs trois fiches n’apparaissaient plus sur l’App Store. Aucune source n’évoque en revanche un piratage des serveurs ou du paiement de Shopify. Le script tournait sur les pages de la boutique, avant l’étape du paiement.

L’attaque a échappé aux contrôles, car le script ne se déclenchait qu’une fois par session. Une vérification manuelle semblait donc normale. Le 10 octobre, les domaines utilisés ne figuraient pas encore sur les listes de blocage. Aucun bilan n’existe, ni mondial ni français. Shopify ne relie pas cet épisode à son alerte, même si le lien paraît probable.

Jetons d’accès et script tags : deux échéances en 2027

L’alerte remet aussi en lumière deux échéances déjà fixées. La première concerne les jetons d’accès, ces clés qui permettent à une app de lire et modifier votre boutique. Un jeton classique reste valable jusqu’à la désinstallation de l’app, alors que le nouveau format expire au bout d’une heure.

À partir du 1er janvier 2027, Shopify refusera les requêtes GraphQL Admin API des apps publiques restées sur un jeton sans expiration. Une app non migrée risque donc de perdre son accès en pleine période de soldes d’hiver. D’après une source secondaire, vous n’aurez rien à réinstaller, et la règle épargne les apps sur mesure.

La seconde échéance touche les script tags. Ces scripts, ajoutés par les apps, n’apparaissent pas dans l’éditeur de thème : vous ne pouvez ni les voir ni les désactiver. Si un attaquant prend la main sur l’adresse qui les charge, son code tourne sur chaque page. Shopify bloque leur création depuis le 1er octobre 2026 et les coupera le 1er mars 2027. Les app embed blocks, activables dans l’éditeur de thème, et les web pixels prendront le relais.

Avant le Black Friday, faites le ménage après l’alerte sécurité Shopify

Shopify formule ses consignes pour les développeurs, mais plusieurs se transposent côté marchand. Sa documentation de sécurité résume l’enjeu sans détour : « La plupart des attaques n’ont rien d’astucieux. Elles visent les négligences les plus élémentaires. »

Commencez par l’inventaire. Ouvrez la liste de vos apps et supprimez celles qui ne servent plus, en particulier celles qui ajoutent du code. Les champs « code personnalisé », HTML ou libellé configurables dans une app ont servi de porte d’entrée en 2026.

Passez ensuite aux accès. Retirez les comptes collaborateurs des anciens salariés, des freelances et des prestataires avec qui vous ne travaillez plus. Activez enfin la double authentification sur tous les comptes restants, y compris le vôtre.

Pendant les temps forts, testez aussi votre parcours d’achat en navigation privée, donc dans une nouvelle session. Vous vérifiez ainsi que vos clients arrivent bien sur le paiement Shopify, et non sur une page externe.

Les questions à poser aux éditeurs de vos apps

Pour chaque app conservée, écrivez à l’éditeur avant la mi-novembre. Trois questions suffisent :

• A-t-il lancé le scan de sécurité de Shopify sur son app ?
• Aura-t-il basculé sur les jetons qui expirent avant le 1er janvier 2027 ?
• Son app utilise-t-elle encore des script tags, qui s’arrêteront le 1er mars 2027 ?

Une réponse floue ou absente doit vous alerter, surtout pour une app qui touche au panier ou à la page produit. Suivez également les annonces de Shopify, car les nouvelles limites sur le code des apps n’ont pas encore de date. Si le temps vous manque d’ici là, notre équipe peut passer votre boutique en revue lors d’un audit gratuit.