Sécuriser une boutique Shopify : ce qui dépend vraiment de vous

Le partage des responsabilités, concrètement

Shopify prend en charge le chiffrement TLS et son renouvellement, la redirection vers HTTPS, la sécurité du serveur et de la base, ainsi que la conformité PCI DSS de son tunnel de paiement hébergé. Vous n'avez rien à configurer sur ces points, et vous ne pouvez d'ailleurs pas les modifier : les en-têtes de réponse HTTP sont largement définis par la plateforme et ne se personnalisent pas comme sur un serveur classique.

Ce qui reste entièrement de votre côté : les applications tierces et les autorisations que vous leur accordez, le code de votre thème et les scripts que vous y injectez, les comptes du personnel et des prestataires, et la configuration DNS de votre nom de domaine — y compris la protection de votre domaine contre l'usurpation d'e-mail.

Conséquence pratique pour un audit externe : sur une boutique Shopify, un scanner comme CheckCyber confirmera généralement de bons résultats sur le chiffrement et une partie des en-têtes, et son intérêt se déplace vers ce que vous contrôlez — les scripts tiers chargés par le thème, les bibliothèques JavaScript obsolètes, les cookies et les enregistrements DNS de votre domaine.

Faire l’inventaire des applications installées

Chaque application installée reçoit des autorisations d'accès à vos données : commandes, fiches clients, parfois écriture sur le thème. Une boutique de quelques années accumule facilement quinze à vingt applications, dont la moitié ne sert plus. Chacune reste pourtant un accès actif à vos données clients, et un éditeur compromis devient votre problème.

Passez la liste en revue et posez trois questions pour chaque application : est-elle encore utilisée ? Les autorisations demandées correspondent-elles à sa fonction — une application d'avis produits n'a aucun besoin d'accéder aux informations de paiement ? Et son éditeur la maintient-il encore, ou la dernière mise à jour date-t-elle de plusieurs années ?

Point important au moment de désinstaller : certaines applications laissent derrière elles du code dans le thème. La désinstallation coupe l'accès aux données, mais les balises et scripts résiduels peuvent continuer à être chargés sur votre boutique. Vérifiez le thème après chaque désinstallation.

Surveiller les scripts du thème — le vrai risque

Le vol de données de carte sur les boutiques en ligne (web skimming) ne passe presque jamais par une intrusion serveur : il passe par un script tiers légitime qui a été modifié, ou par un script malveillant ajouté au thème avec des identifiants volés. Quelques lignes de JavaScript suffisent à recopier ce que le visiteur saisit dans un formulaire.

Trois habitudes réduisent fortement ce risque. D'abord, inventoriez ce que votre thème charge : ouvrez theme.liquid et les sections personnalisées, et identifiez chaque domaine externe appelé — si vous ne savez pas à quoi sert un script, c'est déjà une alerte. Ensuite, versionnez votre thème (l'intégration GitHub de Shopify le permet) afin qu'une modification non prévue devienne visible dans un diff plutôt que d'être invisible. Enfin, limitez les pixels et scripts marketing au strict nécessaire, et déclarez-les via les événements client (Customer events) plutôt qu'en les collant en dur dans le thème.

Cette exigence n'est pas seulement une bonne pratique : la norme PCI DSS dans sa version 4 impose aux commerçants d'inventorier les scripts chargés sur les pages de paiement et de vérifier leur intégrité. Un relevé externe des scripts tiers de votre boutique constitue un bon point de départ pour ce travail.

Comptes, accès et protection du domaine

Activez la double authentification sur tous les comptes du personnel, en priorité les vôtres — un compte propriétaire compromis donne accès aux commandes, aux clients et au thème. Attribuez des permissions minimales : un préparateur de commandes n'a pas besoin d'accéder aux applications ni au code du thème. Et surtout, révoquez les accès des collaborateurs et agences dès la fin de la mission ; les comptes de prestataires oubliés sont la cause la plus banale d'accès non désirés.

Enfin, n'oubliez pas votre nom de domaine, qui reste chez votre registrar et donc sous votre contrôle. Publiez SPF, DKIM et DMARC pour empêcher qu'on envoie des e-mails de phishing au nom de votre boutique — un risque bien réel dès qu'une marque a des clients à démarcher. Ajoutez un enregistrement CAA pour restreindre les autorités habilitées à émettre un certificat pour votre domaine. Ces deux points échappent complètement à Shopify et sont fréquemment absents.