Applications Shopify retirées et paiements détournés : ce que les marchands doivent faire maintenant

Si vous gérez une boutique Shopify, ces deux dernières semaines ont été déroutantes. Des applications sur lesquelles vous comptez ont disparu de l’App Store, certaines ont été désactivées dans des boutiques, et les explications sont éparpillées entre des fils de forum, des communiqués d’éditeurs et des posts LinkedIn. Beaucoup de marchands ne savent toujours pas si leur boutique a été touchée, si une application qu’ils utilisent sera la prochaine, ni quoi faire.

Cet article rassemble ce qui est réellement confirmé, ce que vous pouvez vérifier aujourd’hui sur votre boutique, et comment remplacer une application sans retomber dans le même piège.

Ce qui s’est passé

À partir du 10 octobre 2026 environ, certains clients de boutiques Shopify ont cliqué sur le paiement et sont arrivés sur une fausse page de paiement au lieu de la vraie. La page ressemblait au paiement Shopify, recueillait les données de carte et de facturation, puis renvoyait le client vers le vrai paiement pour que rien ne paraisse anormal.

Le code derrière passait par des applications tierces déjà installées sur ces boutiques. Dans le cas que Roman Zipp a documenté en détail, la redirection venait d’un JavaScript personnalisé diffusé par l’extension de boutique d’une application et envoyait les clients vers des domaines imitant les vrais. Le script utilisait le stockage de session pour ne se déclencher qu’une fois par client : une deuxième tentative de paiement semblait donc tout à fait normale. C’est en grande partie pour cela que les marchands avaient du mal à le reproduire.

Plusieurs éditeurs ont depuis publié leur propre version. Selleasy a fait état de scripts injectés et de redirections d’hameçonnage vers l’extérieur. HulkApps a indiqué qu’une faille avait introduit une configuration non autorisée dans son extension Product Options. Swym a décrit un changement de configuration non autorisé qui chargeait un script sur une partie des boutiques. Orichi a signalé un incident antérieur, en septembre, avec du JavaScript malveillant dans le code personnalisé d’une campagne. Setka tient une liste à jour qui sépare les cas confirmés par les éditeurs des simples accusations.

Pourquoi tant d’applications ont été retirées

Shopify a retiré plusieurs applications de l’App Store pendant cette période, et un suivi public en a compté plus d’une centaine, avec une grosse vague le 15 octobre. Vous verrez des chiffres plus élevés sur les réseaux sociaux.

Prudence avec ces chiffres. Un retrait ne prouve pas qu’une application a été compromise. Certains retraits coïncident avec les incidents de sécurité, d’autres semblent liés à des examens de règles ou de conformité, et le 16 octobre marquait aussi la fin d’une ancienne version de l’API Shopify, ce qui pourrait en expliquer d’autres. À l’heure où nous écrivons, Shopify n’a publié aucune déclaration reliant tous ces retraits à un seul incident, et la cause du détournement elle-même n’est toujours pas confirmée.

« Mon application a été retirée » et « ma boutique a été piratée » sont donc deux questions différentes. Il faut répondre aux deux.

Vérifiez votre boutique dès aujourd’hui

Si vous avez, ou avez eu récemment, une application concernée, suivez cette liste :

• Testez le paiement dans une nouvelle fenêtre privée, une fois par parcours d’achat (page produit, panier, tout parcours de vente additionnelle ou de lot). Comme le détournement ne se déclenchait qu’une fois par session, un seul test propre ne suffit pas. Regardez la barre d’adresse à l’étape du paiement : elle doit afficher le domaine de votre boutique ou le paiement Shopify, jamais un domaine inconnu.
• Vérifiez la période d’exposition indiquée par l’éditeur. La plupart des communiqués donnent des dates et des heures. Comparez-les avec la période où l’application était active sur votre boutique. Avoir l’application installée ne prouve pas que vous avez été touché, et ne pas avoir une application citée ne prouve pas le contraire.
• Ne supposez pas que la désinstallation a tout nettoyé. Désactiver une intégration d’application ou désinstaller l’application ne garantit pas que le code injecté ou des morceaux de thème restants ont disparu. Parcourez votre thème à la recherche du code ajouté par l’application et retirez ce dont vous n’avez plus besoin.
• Si vous voyez une redirection, agissez tout de suite. Restreignez l’accès à votre boutique en ligne, contactez l’assistance Shopify et le développeur de l’application, et conservez le signalement du client (ne lui demandez jamais d’envoyer ses données de carte). N’oubliez pas que les commandes validées ne montrent pas toutes les personnes qui ont saisi leur carte dans un faux formulaire avant d’abandonner.
• Posez des questions directes au développeur. Qu’est-ce qui a changé, qu’est-ce qui a été exposé, quelles boutiques et quelles périodes ont été touchées, et quelles preuves confirment la correction ?

Choisir une application de remplacement sans répéter le problème

Beaucoup de marchands doivent maintenant remplacer une application dans l’urgence. Certains la suppriment et s’en passent, d’autres se construisent vite un remplacement, et beaucoup comparent des alternatives sous pression. Quelle que soit votre voie, cet incident est une bonne raison d’ajouter quelques questions à la liste habituelle des fonctionnalités, de l’assistance et du prix :

• Combien de code ajoute-t-elle à votre boutique ? Chaque application qui charge du JavaScript devant vos clients est une porte d’entrée vers votre paiement. Une application qui travaille dans l’admin Shopify ou via les Shopify Functions laisse une empreinte bien plus faible qu’une application qui injecte des scripts sur chaque page.
• Peut-elle exécuter du code que vous n’avez pas écrit ? Les champs du type « JS personnalisé » sont pratiques, mais ce sont exactement eux qui ont été détournés ici. Si vous n’en avez pas besoin, préférez les applications qui n’en proposent pas, ou au moins assurez-vous que seul un personnel de confiance peut les modifier.
• Où sont vos données ? Les applications qui stockent leurs réglages et leurs contenus dans Shopify, avec les métachamps et les métaobjets, sont plus faciles à inspecter et à quitter.
• Pouvez-vous la retirer proprement ? Demandez ce qui reste après la désinstallation. Les applications qui modifient directement les fichiers du thème laissent souvent du code longtemps après leur départ.
• Comment l’éditeur a-t-il géré ce mois-ci ? Un communiqué clair et rapide, avec des dates et des détails, est bon signe. Le silence, non.
• Le prix est-il honnête ? Être forcé de changer est un bon moment pour abandonner les applications dont les tarifs vous pénalisent quand vous grandissez.

Moins d’applications, c’est souvent le meilleur résultat. Si une application retirée faisait quelque chose dont vous vous serviez à peine, c’est peut-être l’occasion de ne pas la réinstaller.

Surveillez le code que charge votre boutique

La difficulté de cette attaque, c’est qu’elle se cachait dans du code que les marchands avaient déjà approuvé. Rien ne changeait dans l’admin Shopify, et l’expérience du client ne paraissait anormale qu’un instant. La plupart des boutiques ne gardent aucune trace des scripts chargés par leur boutique, et ne pouvaient donc pas voir quand quelque chose changeait.

C’est précisément pour ce manque qu’a été conçue la surveillance des scripts de la boutique de Skyfense. Elle visite votre boutique Shopify comme un client toutes les heures, enregistre les scripts externes chargés par chaque page, et crée un constat avec les différences de code quand l’un d’eux change. Le code modifié est vérifié pour repérer les mots liés aux champs de paiement, l’obscurcissement et les schémas d’exfiltration de données, et les constats critiques partent vers votre e-mail ou webhook d’alerte. Elle est en bêta, elle n’examine pas le paiement hébergé par Shopify et ne retire pas de code pour vous, et elle compare avec les scripts qu’elle voit en premier sur votre boutique : le meilleur moment pour commencer, c’est avant le prochain incident, pas après.

Les applications continueront d’aller et venir. Ce que vous maîtrisez, c’est la quantité de code que vous laissez entrer dans votre boutique et votre capacité à voir quand il change.