Seguridad en Shopify: lo que Shopify no protege por ti
En resumen
Shopify protege el servidor, los parches y el pago con tarjeta, pero no las cuentas de tu equipo, las apps que instalas, el código que se añade al tema ni los scripts de terceros. Ahí empiezan casi todos los problemas de seguridad de una tienda Shopify. El análisis externo de WebIntacta es gratuito; la revisión por dentro, con una app de solo lectura que creas tú en tu tienda, se presupuesta por horas.
«Estoy en Shopify, así que la seguridad no es cosa mía.» Lo oigo a menudo y es verdad solo a medias. Shopify se encarga del servidor, de los parches y de la parte del pago que toca las tarjetas. Pero quién entra en tu panel, qué apps tienen permiso para leer tus pedidos y qué código se ejecuta en tus páginas lo decides tú, y ahí es donde aparecen los problemas.
Por Jose SorianoÚltima actualización: 5 min de lectura
Qué protege Shopify y qué no
| Parte | Quién la protege |
|---|---|
| Servidores, sistema operativo y parches de la plataforma | Shopify |
| Procesamiento de tarjetas (Shopify es PCI DSS nivel 1) | Shopify |
| Certificado HTTPS de tu dominio | Shopify (si el DNS apunta bien) |
| Cuentas del personal, colaboradores y su verificación en dos pasos | Tú |
| Apps instaladas y los permisos que les das | Tú |
| Código del tema (Liquid y JavaScript) y lo que se añade a mano | Tú (o quien lo edita) |
| Scripts de terceros, píxeles y etiquetas de marketing | Tú |
| DNS del dominio y correo (SPF, DKIM, DMARC) | Tú y tu registrador |
El reparto habitual de responsabilidades en una tienda alojada.
En una tienda Shopify no hay archivos PHP que limpiar ni una base de datos donde esconder una puerta trasera. Lo malicioso, cuando lo hay, vive en tres sitios: una cuenta con acceso que no debería tenerlo, una app con más permisos de los necesarios o un script en el tema o en una app que copia lo que el cliente escribe.
1. Cuentas del personal y colaboradores
- Verificación en dos pasos obligatoria para todos, también para el propietario. En Configuración → Usuarios y permisos puedes ver quién la tiene activada.
- Un usuario por persona, con los permisos justos. Nada de compartir la cuenta del propietario con la agencia o con quien lleva las campañas.
- Colaboradores: las agencias y desarrolladores entran con una solicitud de acceso de colaborador desde su cuenta de Partner. Revisa la lista y quita a quien ya no trabaja contigo; un antiguo colaborador con acceso es mucho más frecuente que un fallo de la plataforma.
- Protege el correo del propietario. Quien controla ese correo puede recuperar la cuenta de la tienda. Es el objetivo de los correos falsos que imitan a Shopify y piden «verificar la tienda».
2. Apps y sus permisos
Cada app pide permisos al instalarse: leer pedidos, clientes, productos, modificar el tema… Una app con permiso de lectura de clientes ve los datos de todos tus clientes, y si esa app se abandona o se compromete, el problema es tuyo.
- Revisa en Configuración → Apps y canales de venta las apps instaladas y desinstala las que no uses. Desinstalar retira el acceso a la API; revisa también que no queden restos de código en el tema.
- Antes de instalar, mira los permisos que pide y pregúntate si encajan con lo que hace. Una app de reseñas no necesita modificar pedidos.
- Las apps desarrolladas a medida (con un token de API) son las más delicadas: el token da acceso directo. Que tengan solo los permisos imprescindibles y bórralas cuando dejen de usarse.
3. El código del tema
El tema es código: plantillas Liquid, JavaScript y CSS. Cualquiera con permiso para editarlo, y cualquier app que lo modifique, puede añadir un script. Un skimmer en Shopify no roba la tarjeta del formulario de pago de Shopify (que está aislado), pero puede copiar datos de formularios propios, redirigir a una página de pago falsa o cargar código desde otro dominio.
- En Tienda online → Temas → Editar código, cada archivo guarda su historial de versiones: si algo cambió y nadie sabe por qué, puedes ver cuándo y volver atrás.
- Busca
<script src=hacia dominios que no reconozcas entheme.liquidy en las secciones. - Trabaja los cambios grandes en una copia del tema y publícala cuando esté revisada. Guarda una copia descargada del tema publicado.
4. Scripts de terceros, píxeles y checkout
Los píxeles de publicidad y analítica, los chats y los widgets se ejecutan en las páginas de tu tienda. En Configuración → Eventos de clientes están los píxeles personalizados; en la configuración del checkout, las personalizaciones y los scripts adicionales que aún tenga tu tienda. Shopify está sustituyendo los scripts del checkout por extensiones y píxeles en un entorno aislado, que es más seguro: si tienes scripts antiguos, es buen momento para revisarlos y quitar los que nadie sepa explicar.
5. Dominio, DNS y correo
Si el dominio de la tienda está en otro registrador, la seguridad de esa cuenta es tan importante como la de Shopify: quien cambie el DNS se queda con tu tráfico. Activa la verificación en dos pasos allí también y borra los registros que apunten a servicios que ya no usas. Para que los correos de la tienda no acaben en spam ni te suplanten, configura SPF, DKIM y DMARC.
Cómo reviso una tienda Shopify
Empiezo siempre por el análisis externo gratuito: detecta que la tienda es Shopify, los servicios de terceros que carga, scripts sospechosos en las páginas públicas, el certificado, las cabeceras, el correo del dominio y las listas negras. Para mirar por dentro, la tienda crea una app personalizada de solo lectura con tres permisos (temas, script tags y páginas de la tienda online) y me da su token: con él reviso cada archivo del tema publicado, los scripts que cargan las apps, las páginas y que el token no tenga permisos de más. Ese análisis y la revisión a mano del panel (cuentas, apps, píxeles, checkout) se presupuestan por horas antes de empezar.
Fuentes
Preguntas frecuentes
¿Es seguro Shopify?
La plataforma, sí: Shopify gestiona servidores, parches y el pago con tarjeta con certificación PCI DSS nivel 1. Lo que depende de ti son las cuentas del personal, las apps y sus permisos, el código del tema y los scripts de terceros, que es donde empiezan casi todos los problemas.
¿Pueden hackear una tienda Shopify?
Es raro que alguien entre por un fallo de Shopify. Lo habitual es una cuenta del personal sin verificación en dos pasos, un antiguo colaborador con acceso, una app comprometida o un script añadido al tema.
¿Hace falta un plugin de seguridad en Shopify?
No como en WordPress: no hay servidor que proteger. Lo útil es revisar cuentas y permisos, desinstalar apps que no uses y vigilar los cambios en el código del tema.
¿Cuánto cuesta una revisión de seguridad de mi tienda Shopify?
El análisis externo es gratis y sin registro. La revisión por dentro con la app de solo lectura y la revisión del panel se presupuestan por horas, con el precio cerrado antes de empezar (IVA no incluido).