Sécurité app Shopify sur mesure : exiger le security check avant chaque mise en production

Si vous avez une app privée ou custom, ou si une agence développe des extensions pour votre boutique, cette app touche souvent des commandes, des données clients et du chiffre d’affaires. Shopify le rappelle dans l’annonce du 15 octobre 2026 : la confiance des marchands repose aussi sur la façon dont ces apps sont sécurisées.

Vous n’avez pas à lancer la commande vous-même. Vous devez savoir qu’elle existe, ce qu’elle couvre, et pouvoir exiger qu’elle fasse partie du passage en production. C’est un levier de gouvernance face à un prestataire, au même titre que le suivi de santé API dans le Developer Dashboard.

Sous le titre « Build with confidence: Shopify AI Toolkit's security check », Shopify a publié une entrée de changelog datée du 15 octobre 2026 (surface AI Toolkit, mention New). La nouveauté centrale est la commande shopify app security check, disponible via le Shopify AI Toolkit et le Shopify CLI.

L’objectif documenté : repérer des vulnérabilités courantes dans le code de l’app avant de livrer, obtenir des pistes de correction, et relancer le contrôle à chaque release. Shopify recommande aussi de le lancer avant de soumettre une app (cas App Store). Pour une app sur mesure, l’équivalent utile est : avant chaque mise en production sur votre boutique.

La commande tourne en local sur la machine de développement. Elle cible les motifs de vulnérabilité les plus fréquents dans les apps Shopify et examine trois zones : le code de l’app, la configuration des points d’extension, et les dépendances.

La doc officielle liste des contrôles stables (identifiants du type COMMITTED_SECRET, MISSING_TENANT_ISOLATION, UNAUTHENTICATED_ENDPOINT) regroupés par sévérité high, medium et low. Parmi les thèmes high : secret versionné, fuite d’identifiants, XSS, injection SQL, isolation multi-boutiques, scopes trop larges, endpoints sans auth reconnue. Côté medium ou low : CSRF, webhooks de conformité GDPR manquants, version d’API en fin de vie, automatisation de dépendances absente, entre autres.

Chaque alerte indique le fichier et la ligne concernés, la sévérité et pourquoi ça compte, un exemple de correctif, et des liens vers la documentation du motif. Shopify conseille de commencer par les alertes (findings) critical et high.

Deux modes se combinent. Le scan déterministe répond aux questions à réponse exacte (par exemple : une version d’API est-elle en fin de vie ?). La revue agent traite ce qui ne se déduit pas d’une inspection figée (par exemple : une requête base est-elle bien limitée à une seule boutique ?). Certains contrôles utilisent les deux.

Une app custom évolue : nouvelle règle métier, nouveau scope, nouvelle dépendance, patch d’urgence. Le risque de régression de sécurité n’apparaît pas dans l’admin comme un stock faux. Il apparaît quand un token fuit, qu’une requête n’est plus isolée par boutique, ou qu’un endpoint reste ouvert.

Shopify positionne le contrôle « before you submit » et « on every release ». Pour une app sur mesure, traduisez : avant chaque déploiement qui touche le code, la config d’extensions ou les dépendances. Les partenaires qui ont testé l’outil ont signalé des problèmes qu’ils ne connaissaient pas, notamment des trous d’authentification et des failles d’isolation des données marchand entre boutiques.

Le security check regarde plutôt la posture de sécurité du code. Le Developer Dashboard montre plutôt le comportement en production (volume API, erreurs, webhooks). Les deux se complètent : voir santé des apps custom.

Le rapport propre n’efface pas la responsabilité partagée. Shopify le formule clairement : l’outil complète les protections existantes de la plateforme et vos propres revues. Il faut aussi des pratiques hors scan : gestion des secrets, moindre privilège sur les scopes, tests fonctionnels, suivi d’exploitation.

Certains contrôles déterministes ne couvrent pleinement que le template React Router ; pour d’autres frameworks, une partie bascule en revue agent. Si votre app custom est en Rails, Django ou Laravel, exigez explicitement la revue agent, pas seulement le scan CLI seul.

Enfin, le security check ne remplace pas les sujets vitrine déjà planifiés par Shopify (par exemple la fin des script tags en mars 2027). Une app peut être « propre » au security check et encore dépendre d’un mécanisme déprécié : croisez avec fin des script tags si des scripts vitrine sont en jeu.

Le 15 octobre 2026, Shopify a ajouté shopify app security check à l’AI Toolkit et au CLI pour scanner en local le code, la config d’extensions et les dépendances d’une app (publique ou custom), avec alertes, sévérité et pistes de correctif. À lancer avant soumission App Store et à chaque release ; un rapport propre n’est pas une garantie.

Pour un marchand qui possède ou fait développer une app sur mesure : inscrivez le security check comme condition de mise en production, exigez la preuve (date, alertes high ou critical, corrections), et couplez-le au suivi de santé dans le Developer Dashboard. Pour cadrer ou reprendre une app privée : Applications Shopify sur mesure.