Accès développeur Shopify : sécuriser une intervention sans partager le mot de passe
Accès développeur Shopify : sécuriser une intervention sans partager le mot de passe
Pour faire corriger un thème, installer une application ou régler un problème de boutique, ne transmettez pas les identifiants du compte propriétaire. Utilisez un compte collaborateur Shopify, limitez ses permissions à la mission, vérifiez ce qui va être modifié, puis retirez l’accès à la fin.
Cette réponse paraît simple. Dans la pratique, beaucoup d’interventions commencent encore par une demande vague : « Pouvez-vous me donner accès à Shopify ? » Le risque ne vient pas seulement de la confiance accordée au prestataire. Il vient surtout d’un périmètre mal défini.
Un accès technique doit correspondre à une tâche précise, pas à toute l’entreprise.
Pourquoi le partage du compte propriétaire est une mauvaise base
Le compte propriétaire concentre des capacités qui dépassent presque toujours le besoin d’un développeur. Il sert aussi de référence pour attribuer les actions et administrer les autres accès.
Shopify indique que demander le mot de passe d’un marchand, ou utiliser ses identifiants pour accéder à sa boutique, est interdit aux partenaires. La plateforme recommande le compte collaborateur pour intervenir sur une boutique cliente. Le marchand garde ainsi la maîtrise des sections accessibles et peut retirer le compte depuis son administration.
Cette séparation apporte trois bénéfices immédiats :
- chacun se connecte avec sa propre identité ;
- les permissions peuvent être limitées ;
- l’accès peut être supprimé sans changer le mot de passe du propriétaire.
Elle ne dispense pas de contrôler la mission. Un compte nominatif doté de tous les droits reste un accès trop large.
Commencer par la mission, pas par la liste des permissions
Avant d’accepter une demande, décrivez le résultat attendu en une phrase observable.
« Améliorer la boutique » ne suffit pas. « Corriger l’affichage du menu sur mobile dans le thème actuel » permet déjà de raisonner. La mission indique la zone concernée, le type de modification et la condition de fin.
Demandez ensuite au prestataire de préciser :
- les sections de l’administration nécessaires ;
- les applications auxquelles il doit accéder ;
- les données qu’il doit seulement consulter ;
- les éléments qu’il doit modifier ;
- la durée prévue de l’intervention ;
- la manière dont la modification sera vérifiée et remise.
Une permission inhabituelle n’est pas forcément injustifiée. Elle doit cependant être expliquée avant son attribution. Shopify recommande d’ailleurs de confirmer l’identité du partenaire attendu, d’examiner les droits demandés et de le contacter directement lorsqu’un détail paraît incohérent.
Construire un accès selon le niveau de risque
Toutes les zones d’une boutique n’ont pas le même effet. Pour décider sans se perdre dans la liste complète des droits, classez la mission selon quatre niveaux.
Consulter
Le prestataire observe une configuration, un produit ou un comportement afin de poser un diagnostic. L’accès en lecture suffit lorsque aucune modification n’est nécessaire.
Même à ce niveau, évitez d’ouvrir des données sans rapport avec l’incident. Les permissions Shopify s’appliquent généralement à une zone de la boutique, pas à une seule commande ou à un seul client. Une autorisation de consultation peut donc exposer davantage d’informations que le ticket initial ne le laisse penser.
Modifier le contenu ou le thème
Une intervention sur le thème, les fichiers ou le catalogue exige des droits d’écriture ciblés. Identifiez ce qui doit changer et prévoyez un état de comparaison.
Pour un thème, travaillez sur une copie lorsque la mission le permet. Conservez la version actuellement publiée tant que le contrôle n’est pas terminé. Le livrable ne doit pas être seulement « c’est corrigé », mais une liste courte des fichiers ou réglages touchés et un scénario de vérification.
Installer ou gérer une application
L’accès aux applications mérite une décision séparée. Shopify permet d’autoriser toutes les applications et canaux, ou seulement certains d’entre eux. Un rôle limité à des applications précises ne peut pas en installer ni en supprimer.
La permission de gérer et installer des applications est plus large : elle permet d’ajouter, d’ouvrir ou de supprimer des applications et des canaux lorsque les autres droits requis correspondent. L’approbation des frais d’application est encore une permission distincte.
Ne donnez donc pas « accès aux apps » par commodité. Distinguez l’utilisation d’une application existante, son paramétrage, l’installation d’un nouvel outil et l’acceptation d’un coût.
Agir sur les paiements ou les réglages sensibles
Une correction visuelle ou fonctionnelle justifie rarement un accès à la facturation, aux moyens de paiement, aux remboursements ou à l’administration des utilisateurs.
Si la mission touche réellement une zone sensible, découpez l’intervention. Le développeur peut préparer la modification, fournir la procédure ou intervenir pendant une fenêtre contrôlée. Le propriétaire conserve les validations financières et les changements irréversibles qui ne nécessitent pas une délégation permanente.
Le protocole simple avant, pendant et après l’intervention
Un bon contrôle d’accès ne doit pas devenir une procédure lourde. Trois étapes suffisent pour la majorité des interventions.
Avant : attribuer un rôle borné
Utilisez le code de demande collaborateur uniquement avec le partenaire attendu. Vérifiez l’identité et le contexte de la demande par un canal déjà connu. Lisez les permissions demandées une par une, puis retirez celles que la mission n’explique pas.
Shopify permet de créer un rôle avec les droits nécessaires et de limiter l’accès à des applications ou canaux précis. Attention aux dépendances : certaines tâches requièrent plusieurs permissions, et l’administration peut sélectionner automatiquement les droits associés. Relisez donc le rôle final, pas seulement la première case cochée.
Pendant : garder une trace compréhensible
Définissez un point de départ : copie du thème, capture du comportement ou liste des réglages concernés. Demandez au prestataire de signaler toute extension de périmètre avant de l’exécuter.
À la livraison, exigez trois éléments simples : ce qui a changé, comment le tester et comment revenir à l’état précédent si le résultat n’est pas correct. Cette trace vaut davantage qu’un échange dispersé dans une messagerie.
Après : tester puis fermer l’accès
Vérifiez le scénario prévu sur ordinateur et mobile lorsque l’interface est concernée. Contrôlez aussi les étapes voisines : navigation, ajout au panier, remise ou paiement selon la zone modifiée.
Une fois le travail accepté, retirez le compte collaborateur. Shopify précise que les accès inactifs expirent automatiquement après 90 jours, mais cette expiration ne remplace pas une clôture volontaire. Une mission terminée n’a plus besoin d’un accès actif.
La matrice de décision à conserver
Pour chaque intervention, une fiche de six lignes suffit :
| Question | Décision attendue |
|---|---|
| Quel résultat doit être livré ? | Une modification ou un diagnostic observable |
| Quelles zones sont nécessaires ? | Uniquement celles liées à la mission |
| Quelles actions sont autorisées ? | Consulter, modifier, installer ou valider |
| Quelles actions restent au propriétaire ? | Paiement, publication ou changement sensible selon le cas |
| Comment vérifier le travail ? | Scénario de test et état de comparaison |
| Quand l’accès prend-il fin ? | Dès la recette terminée |
Cette matrice ne remplace ni un contrat ni une sauvegarde. Elle évite toutefois l’erreur la plus fréquente : transformer une petite intervention en accès général faute d’avoir défini le travail.
Un accès technique est une décision métier
La sécurité d’une boutique ne repose pas uniquement sur un mot de passe fort. Elle dépend aussi de la capacité à savoir qui peut voir, modifier, installer et valider.
Le compte collaborateur Shopify fournit le bon mécanisme de départ. La qualité de la décision vient ensuite : une mission précise, des permissions minimales, une trace des changements et une révocation immédiate à la fin.
Donner moins de droits n’empêche pas le travail. Cela oblige simplement chaque accès à avoir une raison, une durée et une sortie.
