Ce que notre incident de sécurité de juillet nous a appris, et le risque lié à l'IA que chaque marchand Shopify devrait vérifier dès aujourd'hui

Ces deux dernières semaines, une vague d'attaques par détournement de la page de paiement et par hameçonnage a frappé des boutiques Shopify via plusieurs applications tierces. Les propriétaires de boutique veulent savoir quelles applications sont sûres et si leur propre boutique Shopify pourrait être la prochaine victime.

Nous avons nous-mêmes vécu un incident similaire en juillet. Nous l'avons corrigé le jour même et l'avons entièrement clos avec Shopify en août, et il ne fait pas partie de la vague de ce mois-ci. Mais nous savons ce qu'a représenté cette journée pour les propriétaires de boutique qui nous ont écrit : inquiets pour leurs clients, ne sachant pas quoi vérifier, en attente de réponses. Les conseils pratiques restent rares, et nous préférons partager ce que nous avons appris plutôt que de garder le silence. Cet article revient sur ce qui nous est arrivé, sur ce que nous avons changé depuis, et sur un risque que chaque marchand devrait selon nous vérifier dès aujourd'hui, en particulier ceux qui ont donné à des outils d'IA un accès à leur boutique.

Avis : les applications Qikify ne sont pas concernées par les attaques visant la page de paiement signalées depuis le 10 octobre. Un compte rendu public qui recense ces cas mentionne notre incident de juillet comme un cas antérieur, que nous avons corrigé le jour même et clos avec Shopify en août. Toutes les applications Qikify fonctionnent normalement.

Le 22 juillet 2026, nous avons découvert qu'une vulnérabilité dans deux de nos applications, Qikify Sticky Add to Cart et Qikify Mega Menu & Navigation, avait été exploitée. Un tiers non autorisé a injecté un script dans des champs HTML personnalisables des paramètres de ces applications. Sur les boutiques concernées, certains clients qui cliquaient sur « Paiement » ou « Ajouter au panier » étaient redirigés vers une fausse page hors de Shopify avant d'être renvoyés vers la vraie page de paiement.

La vulnérabilité se trouvait dans nos applications : la responsabilité nous incombe. Nous présentons nos excuses à chaque marchand dont la boutique a été touchée, ainsi qu'à leurs clients qui faisaient confiance à ces boutiques au moment de payer. Nous avons détecté et corrigé le problème le jour même (entre 12 h 30 et 22 h 40 UTC) et supprimé le script malveillant de toutes les boutiques concernées. Aucune donnée de boutique Shopify, aucun dossier client ni aucune donnée d'API n'ont été consultés, et aucun identifiant de compte Shopify n'a été compromis via notre système. Les boutiques concernées ont reçu une compensation de notre part. Une compensation n'efface pas une journée éprouvante, mais nous voulions que les marchands nous voient assumer nos responsabilités autrement qu'en paroles.

Tous les détails techniques figurent dans notre avis de sécurité officiel.

La question est légitime. La réponse honnête, c'est que les menaces ont évolué plus vite que nous. L'IA a rendu tout le monde plus rapide, y compris les attaquants : ils repèrent les points faibles plus tôt et les transforment rapidement en attaques opérationnelles. Les champs HTML personnalisables que nous avions créés pour offrir plus de flexibilité aux marchands sont devenus la porte d'entrée. Les recommandations de sécurité de Shopify destinées aux développeurs d'applications citent justement ce type de champ de paramètres comme exemple de la manière dont des scripts malveillants se retrouvent sur les boutiques. Nous aurions dû considérer ces champs comme un risque plus tôt.

Aucun développeur d'applications ne peut promettre qu'il n'aura jamais de vulnérabilité. Ce que vous pouvez vérifier, c'est la façon dont il réagit quand une faille est découverte : s'il informe les marchands rapidement et publiquement, si des experts indépendants vérifient ses correctifs, s'il repasse avec succès l'examen de Shopify, et si vous pouvez joindre une vraie personne pour poser vos questions. Ce sont les exigences que nous nous imposons, et la section suivante montre ce que nous avons fait.

Combler la vulnérabilité a pris une journée. S'assurer qu'aucun autre marchand ne vive la même chose a pris beaucoup plus de temps :

Notre réaction, du correctif le jour même à l'examen de sécurité de Shopify

1. Correction le jour même et nettoyage de toutes les boutiques concernées, puis demande aux marchands de tester leur page de paiement pour confirmer.
2. Revue de toutes les applications Qikify, pas seulement des deux concernées, et audit de chaque fonctionnalité pour repérer et fermer tout ce qui pourrait être exploité de la même manière.
3. Recours à un cabinet de sécurité indépendant pour réaliser un rapport d'incident complet ainsi qu'une évaluation des vulnérabilités et un test d'intrusion, afin que nos correctifs soient vérifiés par quelqu'un d'autre que nous.
4. Réussite de l'examen de sécurité de Shopify. Les deux applications sont revenues sur le Shopify App Store le 21 août 2026.
5. Information continue des marchands via des notifications dans l'application, des e-mails et une page d'incident publique, avec une compensation pour les boutiques concernées.

Depuis juillet, nous traitons chaque champ de paramètres capable d'écrire du contenu sur une boutique comme une donnée sensible, avec le même soin que pour les mots de passe, et nous appliquons ce principe à toutes les applications que nous développons.

Depuis le 10 octobre, des boutiques utilisant plusieurs autres applications tierces signalent le même scénario : des clients redirigés depuis la page de paiement vers une fausse page de paiement. Le développeur Roman Zipp recense ces cas dans un compte rendu public détaillé. Notre incident de juillet y figure comme un cas antérieur, que nous avons clos en août (voir l'avis en haut de cet article).

La manière dont les attaquants se sont introduits cette fois-ci fait encore l'objet d'une enquête de la part des développeurs concernés et de Shopify. Nous ne spéculerons pas sur les causes profondes chez d'autres entreprises. Ce que cette vague montre, en revanche, c'est que les attaquants s'en prennent à tout ce qui permet de placer un script sur une boutique. Les systèmes des développeurs d'applications sont une porte d'entrée, mais pas la seule.

Quand on parle de « sécurité des applications », on pense aux développeurs d'applications. C'est normal, et depuis juillet, nous nous imposons un niveau d'exigence plus élevé.

Il existe aussi un risque du côté des marchands, qui attire beaucoup moins l'attention, et nous préférons vous en parler maintenant plutôt qu'après un incident.

L'IA fait désormais partie de la façon dont de nombreux marchands gèrent leur boutique. Certains connectent un assistant IA ou un agent IA Shopify à leur boutique, par exemple via un serveur MCP Shopify, pour mettre à jour les produits, traiter les commandes ou répondre aux clients. D'autres utilisent l'IA pour créer une application personnalisée, un script ou une intégration en un après-midi, avec peu ou pas de connaissances en programmation. Les deux sont utiles, et les deux nécessitent un accès à votre boutique. Cela signifie aussi que de plus en plus de boutiques exécutent du code et des outils dont personne n'a vérifié la sécurité, souvent avec bien plus d'accès que nécessaire. L'erreur qui nous inquiète le plus : des clés secrètes, comme une clé API Shopify ou un jeton d'accès, qui finissent quelque part en accès public.

Que vous créiez une application personnalisée ou que vous connectiez un outil d'IA, celui-ci interagit avec votre boutique grâce aux accès que vous lui accordez. Lorsque vous créez une application personnalisée, Shopify vous fournit un jeton d'accès à l'API Admin et un secret client. Selon les autorisations que vous accordez, ce jeton peut lire et modifier vos produits, commandes, clients, thème, scripts et bien plus encore. S'il fuite, un inconnu peut faire exactement la même chose.

Les clés fuitent généralement de manière tout à fait banale :

• Collées directement dans le code du thème ou dans un script de la boutique, où n'importe quel visiteur peut les lire
• Publiées dans un dépôt GitHub public sans que les identifiants aient été retirés
• Partagées dans une messagerie, un document ou avec un freelance, puis jamais renouvelées
• Confiées à un outil d'IA ou à une automatisation disposant d'un accès bien plus large que nécessaire

Quatre façons banales dont une clé API ou un jeton d'accès Shopify se retrouve exposé

Rien de tout cela ne demande un pirate chevronné. Des bots analysent en permanence le code public et les sites web à la recherche de clés exposées. Les propres recommandations de sécurité de Shopify préconisent de ne jamais laisser de secrets dans le code que vous livrez, de considérer les résultats de l'IA comme non fiables et d'accorder aux systèmes d'IA le moins de pouvoir possible.

Nous le disons en tant que personnes qui développent des applications Shopify au quotidien : si vous n'avez pas de solides bases techniques, soyez très prudent avec les applications personnalisées que vous créez vous-même avec l'IA. Demandez à un développeur de vérifier tout ce qui touche à l'API de votre boutique avant la mise en ligne, ou utilisez une application proposée par un fournisseur qui répond de sa sécurité. Utiliser l'IA pour développer, c'est très bien. Le risque vient de la mise en ligne de ce code sans que personne ne l'ait relu. Il en va de même pour les outils d'IA qui agissent directement sur votre boutique : ne leur accordez que les autorisations dont ils ont besoin, et gardez un humain dans la boucle avant qu'ils ne modifient des commandes, des prix ou tout ce que voient vos clients.

Ces étapes s'appliquent à toutes les applications que vous utilisez, y compris les nôtres. Faites-les dès aujourd'hui, puis répétez-les toutes les quelques semaines.

Le contrôle de sécurité Shopify de 10 minutes, prêt à être enregistré

1. Testez votre page de paiement dans une fenêtre de navigation privée. Ajoutez un produit au panier, cliquez sur « Paiement » et vérifiez que la barre d'adresse affiche bien votre véritable page de paiement Shopify.
2. Passez en revue vos applications installées dans Paramètres > Applications. Supprimez celles que vous n'utilisez plus ou que vous ne reconnaissez pas.
3. Passez en revue vos applications personnalisées et leurs autorisations. Si une application dispose d'accès dont elle n'a pas besoin, réduisez-les.
4. Renouvelez toute clé qui a déjà été partagée, collée dans du code, ou confiée à un outil d'IA ou à un freelance avec qui vous ne travaillez plus.
5. Vérifiez quels outils d'IA et quelles automatisations ont accès à votre compte Shopify, et supprimez ceux que vous n'utilisez pas activement.
6. Activez l'authentification à deux facteurs (2FA) pour votre compte Shopify, chaque compte employé et chaque compte d'application qui la propose.
7. Agissez vite si quelque chose vous semble anormal. Contactez immédiatement le développeur de l'application et Shopify : chaque minute compte.

Chaque propriétaire de boutique qui installe nos applications nous confie son activité et ses clients. Juillet nous a rappelé le poids de cette confiance, et nous ne la prenons pas à la légère. Les marchands contrôlent aussi l'accès à leur propre boutique, et les outils d'IA ont rendu plus facile le fait de céder cet accès par mégarde. Les clients sont le mieux protégés quand chacun de nous veille sur sa part.

Si vous avez des questions sur notre incident de juillet, consultez notre avis de sécurité officiel ou contactez-nous à contact@qikify.com. Et si vous n'êtes pas sûr que ce que vous avez créé ou connecté avec l'IA soit sans risque, écrivez-nous, même si vous n'utilisez aucune application Qikify. Nous vous dirons quoi vérifier.