Sécurité des applications Shopify : préparez l’échéance de 2027 pour les jetons d’accès

Shopify App Security: Prepare for the 2027 Token Deadline

La sécurité des applications Shopify doit désormais figurer dans votre calendrier opérationnel. Shopify a confirmé que les applications publiques qui appellent l’API Admin doivent migrer vers des jetons d’accès hors ligne à durée de validité limitée d’ici le 1er janvier 2027. Les marchands ne gèrent généralement pas ces jetons, mais leur activité dépend des tâches qu’ils autorisent. Voici comment vérifier que vos éditeurs sont prêts, transmettre un brief utile à vos développeurs et éviter de confondre une échéance de l’App Store avec un arrêt immédiat des applications.

Sécurité des applications Shopify : ce qui change en janvier 2027

La mise à jour de sécurité d’octobre de Shopify confirme l’obligation de migration et détaille son application progressive. Le périmètre est important : l’échéance annoncée concerne les applications publiques qui appellent l’API Admin. Ne partez pas du principe que toutes vos intégrations ont le même mode de distribution ou les mêmes obligations de migration.

1er janvier 2027 : les applications non conformes sont retirées du Shopify App Store et ne peuvent plus être installées. Les installations existantes continuent de fonctionner à ce stade.
15 janvier 2027 : les marchands qui utilisent les applications concernées voient un avertissement dans l’interface d’administration Shopify.

Ces conséquences sont distinctes. Une application déjà installée qui continue de fonctionner en janvier ne prouve pas que son éditeur a terminé la migration. L’annonce de sécurité de Shopify prévoit également des mesures ultérieures : demandez à votre développeur de vérifier le calendrier complet à jour avant de valider un plan de mise en production.

Notre recommandation : obtenez des éléments concrets attestant que vos éditeurs sont prêts avant l’échéance, plutôt que d’attendre un avertissement dans l’administration. Remplacer dans l’urgence une application essentielle à votre activité est rarement simple, surtout lorsqu’il faut aussi migrer ses données.

Qu’est-ce qu’un jeton d’accès hors ligne à durée de validité limitée ?

Un jeton d’accès hors ligne permet à une application d’accéder à l’API Admin de Shopify sans qu’un marchand soit en train de l’utiliser. Les tâches en arrière-plan, comme une synchronisation de données planifiée, peuvent dépendre de cet accès.

Un jeton d’accès hors ligne à expiration a une durée de validité limitée. L’application doit donc gérer la continuité de son accès autorisé, au lieu de supposer que les mêmes identifiants fonctionneront indéfiniment. Pour les marchands, la question concrète est de savoir si les traitements automatiques continuent lorsque les identifiants expirent.

L’annonce de migration de Shopify présente également un nouvel accès par identifiants client. Un backend peut envoyer une requête signée avec la clé privée de l’application pour obtenir un nouveau jeton d’accès de courte durée, sans jeton de renouvellement. Shopify présente ce mécanisme comme un moyen de rétablir l’accès sans attendre qu’un marchand rouvre l’application.

C’est utile, mais l’existence d’un mécanisme de récupération ne prouve pas qu’une application l’a correctement implémenté. Un test de connexion réussi ne dit pas grand-chose sur un traitement nocturne. Demandez aux développeurs de tester l’application lorsque personne ne l’a ouverte.

Comparatifs d’applications : ajoutez un critère de sécurité

Les guides récents de sélection d’applications mettent encore souvent les fonctionnalités et le prix en avant. Le comparatif d’AiTrillion, par exemple, présente côte à côte les notes, les principales fonctionnalités et les tarifs de départ. Ces critères sont utiles pour une première sélection, même si un comparatif rédigé par un éditeur ne constitue pas un test indépendant.

Pour une application qui nécessite un accès à l’API Admin, ajoutez un critère de choix : des preuves que son éditeur peut maintenir un accès sécurisé malgré les évolutions de sécurité de Shopify. Une longue liste de fonctionnalités ne répond pas à cette question. Une excellente note non plus.

Nous n’écarterions pas un éditeur simplement parce que sa migration est encore en cours. En revanche, son incapacité à identifier la méthode d’authentification concernée ou à fournir un plan de mise en production et de tests serait préoccupante. Une réponse technique transparente vaut mieux qu’une assurance générale selon laquelle tout est sous contrôle.

Cette évolution change aussi la sélection des applications pour le lancement d’une nouvelle boutique. Une application déjà installée sur une boutique existante peut continuer de fonctionner lors de la première phase d’application des mesures, alors qu’une nouvelle installation peut être bloquée. Si votre développement repose sur les mêmes applications, vérifiez explicitement qu’elles pourront être installées sur vos nouvelles boutiques.

Créez un tableau de suivi de la sécurité de vos applications Shopify

Commencez par les intégrations dont la défaillance interromprait vos opérations. Donnez la priorité au connecteur logistique plutôt qu’à un widget décoratif de la boutique. L’objectif est d’assurer la continuité d’activité, pas de remplacer tout votre écosystème d’applications.

Utilisez un document partagé et désignez un responsable pour chaque intégration. Consignez les éléments suivants :

Dépendance métier : ce qui s’arrête ou devient inexact si l’intégration perd son accès à l’API.
Responsable technique : l’éditeur ou le développeur interne chargé de l’authentification.
Périmètre concerné : si l’intégration est une application publique qui appelle l’API Admin, avec confirmation de son responsable.
Preuves de migration : le statut écrit fourni par l’éditeur, la mise en production prévue et les résultats de tests pertinents.
Solution de repli : la procédure manuelle validée ou le mécanisme de reprise si les traitements en arrière-plan s’interrompent.

Rendez les incertitudes visibles. « En attente de confirmation de l’éditeur » est un statut utile. « Probablement bon » ne l’est pas. Lorsqu’une intégration n’entre pas dans le périmètre annoncé pour les applications publiques, demandez à son développeur quelles règles de sécurité s’appliquent, plutôt que de la dispenser de toute vérification.

Posez aux éditeurs une question précise

Votre application appelle-t-elle l’API Admin de Shopify à l’aide de jetons d’accès hors ligne, et l’obligation de migration de janvier 2027 s’applique-t-elle ? Si oui, merci de confirmer l’état de votre migration, la manière dont les traitements en arrière-plan récupèrent l’accès sans qu’un marchand ouvre l’application, ainsi que les tests prévus pour notre installation existante et les nouvelles installations.

Demandez une réponse écrite et joignez-la à la fiche de l’intégration. Votre équipe opérationnelle a besoin d’un contact d’assistance et d’une solution de repli. Elle n’a pas besoin d’accéder aux clés privées ni aux jetons eux-mêmes.

Donnez aux développeurs des tests de validation, pas seulement une échéance

« Mettre à jour l’authentification » est une consigne trop vague pour une intégration essentielle à votre activité. Convenez de résultats observables avant que le développeur ne considère le travail comme terminé.

Testez les traitements sans intervention humaine

Demandez au développeur de démontrer qu’une opération en arrière-plan fonctionne après l’expiration du jeton, sans ouvrir l’application pour rétablir l’accès. Choisissez une opération importante pour votre boutique, comme une synchronisation des stocks. Vérifiez qu’elle se termine et que les échecs sont signalés à une personne capable d’intervenir.

Testez les traitements interrompus

L’authentification peut échouer pendant un traitement, et pas seulement avant son démarrage. Demandez ce qu’il advient des opérations partiellement exécutées. Peuvent-elles reprendre sans créer de doublons ni ignorer des modifications ? Il s’agit d’un critère de validation que nous recommandons, et non d’une exigence de Shopify imposant un mécanisme de nouvelle tentative particulier.

Testez la récupération de l’accès et la gestion des clés

Si l’application utilise le nouveau mécanisme de récupération par requête signée avec une clé privée, demandez où cette clé est stockée et qui peut la renouveler. Les identifiants ne doivent pas figurer dans les tickets d’assistance ni dans les captures d’écran. Demandez au développeur de documenter la procédure de récupération si les identifiants de signature deviennent indisponibles ou doivent être remplacés.

Pour une application tierce, vous recevrez peut-être un compte rendu de tests de l’éditeur plutôt que d’effectuer ces vérifications vous-même. C’est tout à fait raisonnable. Demandez des preuves proportionnées à l’importance de l’intégration : une connexion critique avec votre entrepôt mérite un examen plus poussé qu’une fonctionnalité facultative.

Les listes d’IP autorisées protègent, mais peuvent aussi bloquer des traitements légitimes

Shopify a également introduit les listes d’adresses IP autorisées pour l’API Admin. Les développeurs peuvent renseigner des adresses de serveurs ou des plages CIDR dans le Dev Dashboard, les tester sur le trafic récent, puis activer le filtrage. Shopify rejette les requêtes GraphQL et REST de l’API Admin provenant d’adresses hors des plages autorisées avec une réponse 403.

Shopify recommande vivement cette protection pour les applications qui appellent son API depuis des adresses IP fixes. Notre avis : elle mérite d’être étudiée en parallèle de la migration des jetons, mais ne l’activez pas à l’aveugle. Une liste incomplète peut bloquer les processus légitimes aussi efficacement que le trafic indésirable.

Demandez au développeur de prendre en compte les processus de production et l’infrastructure de reprise avant d’activer le filtrage. Si votre hébergement utilise des adresses de sortie variables, définissez d’abord une architecture réseau adaptée et prise en charge. Ne supposez pas qu’une IP observée pendant un test restera stable.

Demandez aux développeurs de distinguer, dans leur documentation de dépannage, les requêtes bloquées par le filtrage réseau des échecs dus à un jeton expiré. Sinon, l’équipe risque de perdre du temps à remplacer des identifiants alors que le problème vient de l’origine de la requête.

Les déclarations d’accès réseau répondent à un autre besoin

La nouvelle section d’accès réseau de shopify.app.toml permet aux développeurs de déclarer des hôtes et des serveurs externes. Les hôtes de navigation déclarés peuvent éviter l’affichage de l’avertissement de navigation externe de Shopify ; les déclarations de serveurs aident Shopify à repérer les activités suspectes.

Ces déclarations ne remplacent ni la migration des jetons ni une liste d’IP autorisées pour l’API Admin. Demandez au développeur d’expliquer quel mécanisme il modifie et pourquoi. Pour les hôtes de navigation, n’approuvez que les destinations réellement nécessaires à l’application. Supprimer un avertissement doit découler d’une décision de confiance, pas d’une volonté de fluidifier tous les liens sortants à tout prix.

À retenir

Les applications publiques qui appellent l’API Admin doivent migrer vers des jetons d’accès hors ligne à durée de validité limitée d’ici le 1er janvier 2027.
Le retrait initial de l’App Store et le blocage des nouvelles installations n’entraînent pas l’arrêt immédiat des installations existantes.
Demandez des preuves aux éditeurs et testez les traitements sans intervention humaine, surtout pour les intégrations critiques.
Examinez soigneusement les listes d’IP autorisées et traitez les déclarations réseau comme un mécanisme distinct.

Sources

Vous préférez nous confier le sujet ?

ZAGO est Shopify Premier Partner. Notre quotidien : améliorer les performances, optimiser les taux de conversion et créer des boutiques rentables. Réservez un audit gratuit de votre boutique et nous vous présenterons les trois améliorations que nous mettrions en œuvre en priorité.

Questions fréquentes

Quelle est l’échéance Shopify pour les jetons d’accès hors ligne à expiration ?

Les applications publiques qui appellent l’API Admin doivent migrer d’ici le 1er janvier 2027. Shopify indique que les applications non conformes seront alors retirées de l’App Store et bloquées pour les nouvelles installations, tandis que les installations existantes continueront de fonctionner.

Mes applications Shopify déjà installées cesseront-elles de fonctionner le 1er janvier 2027 ?

Pas lors de la première phase décrite dans l’annonce de Shopify. Les installations existantes continueront de fonctionner à ce stade, et les marchands concernés verront un avertissement dans l’administration à partir du 15 janvier. Interrogez votre éditeur sur l’état de sa migration et consultez le calendrier complet de Shopify pour connaître les mesures ultérieures.

Les marchands doivent-ils remplacer eux-mêmes les jetons des applications Shopify ?

Pour les applications publiques tierces, l’éditeur gère normalement l’authentification. Les marchands doivent vérifier auprès de lui si l’application est concernée et où en est la migration. Les intégrations maintenues en interne doivent être examinées par le développeur qui en est responsable.

À quoi sert une liste d’IP autorisées pour l’API Admin de Shopify ?

Elle limite les requêtes utilisant les jetons d’une application à des adresses IP ou à des plages CIDR définies. Shopify rejette les requêtes provenant d’adresses hors de ces plages avec une réponse 403. Les développeurs doivent tester le trafic légitime avant d’activer le filtrage.