# Seguridad en Shopify: lo que Shopify no protege por ti > Seguridad de una tienda Shopify: cuentas del personal y 2FA, apps y sus permisos, código del tema, scripts de terceros y píxeles. Qué revisar y cómo. URL: https://webintacta.com/guias/seguridad-shopify Última actualización: 2026-10-15 **En resumen:** Shopify protege el servidor, los parches y el pago con tarjeta, pero no las cuentas de tu equipo, las apps que instalas, el código que se añade al tema ni los scripts de terceros. Ahí empiezan casi todos los problemas de seguridad de una tienda Shopify. El análisis externo de WebIntacta es gratuito; la revisión por dentro, con una app de solo lectura que creas tú en tu tienda, se presupuesta por horas. Por Jose Soriano (WebIntacta) · publicada el 2026-10-15 «Estoy en Shopify, así que la seguridad no es cosa mía.» Lo oigo a menudo y es verdad solo a medias. Shopify se encarga del servidor, de los parches y de la parte del pago que toca las tarjetas. Pero quién entra en tu panel, qué apps tienen permiso para leer tus pedidos y qué código se ejecuta en tus páginas lo decides tú, y ahí es donde aparecen los problemas. ## Qué protege Shopify y qué no | Parte | Quién la protege | | --- | --- | | Servidores, sistema operativo y parches de la plataforma | Shopify | | Procesamiento de tarjetas (Shopify es PCI DSS nivel 1) | Shopify | | Certificado HTTPS de tu dominio | Shopify (si el DNS apunta bien) | | Cuentas del personal, colaboradores y su verificación en dos pasos | Tú | | Apps instaladas y los permisos que les das | Tú | | Código del tema (Liquid y JavaScript) y lo que se añade a mano | Tú (o quien lo edita) | | Scripts de terceros, píxeles y etiquetas de marketing | Tú | | DNS del dominio y correo (SPF, DKIM, DMARC) | Tú y tu registrador | El reparto habitual de responsabilidades en una tienda alojada. En una tienda Shopify no hay archivos PHP que limpiar ni una base de datos donde esconder una puerta trasera. Lo malicioso, cuando lo hay, vive en tres sitios: una cuenta con acceso que no debería tenerlo, una app con más permisos de los necesarios o un script en el tema o en una app que copia lo que el cliente escribe. ## 1. Cuentas del personal y colaboradores - **Verificación en dos pasos obligatoria para todos**, también para el propietario. En **Configuración → Usuarios y permisos** puedes ver quién la tiene activada. - **Un usuario por persona**, con los permisos justos. Nada de compartir la cuenta del propietario con la agencia o con quien lleva las campañas. - **Colaboradores**: las agencias y desarrolladores entran con una solicitud de acceso de colaborador desde su cuenta de Partner. Revisa la lista y quita a quien ya no trabaja contigo; un antiguo colaborador con acceso es mucho más frecuente que un fallo de la plataforma. - **Protege el correo del propietario.** Quien controla ese correo puede recuperar la cuenta de la tienda. Es el objetivo de los correos falsos que imitan a Shopify y piden «verificar la tienda». ## 2. Apps y sus permisos Cada app pide permisos al instalarse: leer pedidos, clientes, productos, modificar el tema… Una app con permiso de lectura de clientes ve los datos de todos tus clientes, y si esa app se abandona o se compromete, el problema es tuyo. - Revisa en **Configuración → Apps y canales de venta** las apps instaladas y desinstala las que no uses. Desinstalar retira el acceso a la API; revisa también que no queden restos de código en el tema. - Antes de instalar, mira los permisos que pide y pregúntate si encajan con lo que hace. Una app de reseñas no necesita modificar pedidos. - Las apps desarrolladas a medida (con un token de API) son las más delicadas: el token da acceso directo. Que tengan solo los permisos imprescindibles y bórralas cuando dejen de usarse. ## 3. El código del tema El tema es código: plantillas Liquid, JavaScript y CSS. Cualquiera con permiso para editarlo, y cualquier app que lo modifique, puede añadir un script. Un skimmer en Shopify no roba la tarjeta del formulario de pago de Shopify (que está aislado), pero puede copiar datos de formularios propios, redirigir a una página de pago falsa o cargar código desde otro dominio. - En **Tienda online → Temas → Editar código**, cada archivo guarda su historial de versiones: si algo cambió y nadie sabe por qué, puedes ver cuándo y volver atrás. - Busca `