Sécurité apps Shopify : checklist marchand après l’appel du 20 octobre 2026

Le 20 octobre 2026, Shopify a publié « Securing your app, together » (changelog développeur, surface Platform, mention Action required). Le message s’adresse d’abord aux développeurs d’apps : agir cette semaine. Shopify constate une hausse des attaques sur l’écosystème d’apps, alors que l’IA aide aussi les attaquants à trouver plus vite des failles.

Vous n’avez pas à lancer shopify app security check vous-même. En revanche, vos apps publiques installées et votre éventuelle app sur mesure touchent des commandes, des clients et parfois des paiements. L’annonce change ce que vous pouvez exiger des éditeurs et de votre prestataire, et ce que vous pouvez vérifier dans l’admin sans être développeur.

Shopify demande à chaque développeur d’app d’agir sur une liste concrète. Voici le résumé utile pour un marchand (sans reprendre le mode d’emploi technique).

Pour le détail de la commande shopify app security check (périmètre, processus avant mise en production, preuves à exiger), voir notre guide dédié : sécurité app Shopify sur mesure et security check.

En parallèle de l’appel aux développeurs, Shopify annonce qu’il resserre plusieurs frontières plateforme : restrictions d’IP pour que les clés ne fonctionnent que depuis les serveurs de l’app, limites plus strictes sur le code d’app côté vitrine, et exigences de sécurité App Store relevées.

Shopify précise qu’il partagera les détails et les calendriers avant toute entrée en vigueur, pour laisser le temps de se préparer. À la date de l’annonce (20 octobre 2026), aucun jalon public de bascule n’est fixé dans ce texte. Pour un marchand, cela signifie anticiper avec vos éditeurs dès maintenant, sans inventer une échéance.

La meilleure première ligne de défense côté boutique reste le ménage : moins d’apps inutiles, moins de permissions inutilisées, moins de surface à surveiller. Depuis le 11 mars 2026, Shopify affiche dans Paramètres > Apps l’activité et les permissions de chaque app tierce : volume de requêtes Admin API sur 30 jours par zone, accès aux données sensibles, historique des permissions accordées par le staff.

Depuis le 1er avril 2026, la même fiche app montre aussi les Extensions actives (checkout, boutique en ligne, comptes clients, POS), les Functions (checkout, remises, livraison, paiements), ce qui est inactif, et les Pixels (statut de connexion et mode d’accès aux données).

Une app compromise n’est qu’un vecteur. Un compte staff trop large ou un collaborateur oublié en est un autre. Alignez la revue apps avec une revue des accès humains.

Si vous avez une app privée ou custom, ou des extensions livrées par une agence, traduisez l’appel du 20 octobre en questions de gouvernance. Le prestataire doit pouvoir répondre sans jargon opaque.

Pour croiser sécurité code et comportement en production (volume API, erreurs, webhooks), voir aussi santé des apps custom dans le Developer Dashboard. Si vous cadrez encore le besoin d’une app privée, quand développer une app Shopify sur mesure.

Shopify place la responsabilité de correction et d’information des marchands concernés sur le développeur de l’app. Si un éditeur (ou votre prestataire custom) vous contacte, traitez le message comme un incident opérationnel, avec priorité et suivi écrit.

Le 20 octobre 2026, Shopify a demandé à tous les développeurs d’apps d’agir dans la semaine : security check, jetons expirants, scanners d’endpoints, données affichées non fiables, logs filtrés par IP, 2FA et contacts d’urgence. Shopify resserre aussi clés, code vitrine et exigences App Store, avec calendriers à venir.

Côté marchand, l’action immédiate est concrète : ménage des apps et permissions dans Paramètres > Apps (activité 30 jours, Extensions, Functions ou Pixels), revue staff et 2FA, questions écrites au développeur de l’app sur mesure, et procédure claire si un éditeur signale un incident. Pour faire cadrer ou auditer votre stack apps : Applications Shopify sur mesure.