Qué cubre Shopify y qué te toca a ti
Al ser una plataforma alojada, Shopify gestiona el hosting, las actualizaciones, la seguridad del checkout y el tratamiento de los datos de tarjeta. No hay plugins de servidor desactualizados ni bases de datos expuestas como en una instalación propia. Esto elimina buena parte de los riesgos clásicos de un ecommerce.
Lo que queda en tu lado son las personas y las decisiones: quién tiene acceso al admin y con qué permisos, qué apps tienen acceso a tus datos, qué código se añade al tema y cómo revisas los pedidos antes de enviarlos. Ahí es donde suelen ocurrir los problemas reales.
Verificación en dos pasos y accesos
La medida más eficaz es que todas las cuentas usen verificación en dos pasos. Shopify ofrece app de autenticación, llave de seguridad y passkeys; el SMS ya no se puede configurar como método nuevo. Guarda los códigos de recuperación en un sitio seguro, porque son lo que te permite entrar si pierdes el móvil.
Cada miembro del equipo la activa en su propia cuenta, ya que el propietario no puede hacerlo por otros. En Shopify Plus la organización puede exigir un método de inicio de sesión seguro a todos los usuarios. Además, Shopify Payments requiere tener activada la verificación en dos pasos; sin ella, los pagos pueden quedar retenidos.
- Un usuario por persona, nunca cuentas compartidas
- Verificación en dos pasos activada en todas las cuentas
- Roles con el mínimo de permisos necesario
- Colaboradores retirados al acabar cada proyecto
- Revisión periódica del historial de inicios de sesión
Apps: el punto que más se descuida
Cada app que instalas pide permisos sobre partes de tu tienda: productos, pedidos, clientes o el tema. Antes de instalar, lee qué permisos solicita y si tienen sentido para lo que hace. Una app de reseñas no debería necesitar acceso completo a los datos de clientes.
Desinstala las apps que ya no usas. Además de quitar acceso a tus datos, desinstalar no siempre elimina el código que la app añadió al tema, así que revisa los archivos y los bloques de app tras quitarla. Esa limpieza mejora también la velocidad de la tienda.
El tema y el código de terceros
Todo script que añades al tema se ejecuta en el navegador de tus clientes. Píxeles, chats, widgets o fragmentos copiados de un tutorial pueden cargar recursos de terceros que no controlas. Mantén un inventario de lo que hay en el tema y quién lo puso.
Lo mismo aplica a los accesos al código. Si una agencia o un desarrollador trabaja en el tema, que lo haga con su cuenta de colaborador y sobre una copia sin publicar, no directamente en el tema en vivo. Así cada cambio tiene autor y fecha, y puedes revisar el resultado en vista previa antes de que lo vean tus clientes.
Antes de publicar cambios importantes, trabaja sobre una copia del tema y guarda versiones. Shopify mantiene un historial de versiones de los archivos del tema, pero tener una copia duplicada antes de cada cambio grande es la forma más rápida de volver atrás si algo falla.
Análisis de fraude en los pedidos
Shopify analiza los pedidos online pagados con tarjeta y muestra indicadores de fraude desde el plan Basic: verificación de dirección (AVS), coincidencia del CVV, ubicación del cliente frente al método de pago, actividad inusual del dispositivo o la red y varios intentos con tarjetas distintas.
Además, en el plan Grow o superior, o si usas Shopify Payments, cada pedido elegible recibe una recomendación de riesgo baja, media o alta. Los pedidos de riesgo medio y alto aparecen marcados en la lista de pedidos, y la ficha del pedido sugiere qué hacer: preparar el envío, confirmar con el cliente o plantearte cancelarlo. Fíjate en la recomendación global más que en un indicador suelto, porque uno solo no determina el riesgo.
Qué hacer con un pedido sospechoso
Si un pedido sale con riesgo alto, no lo envíes sin revisarlo. Contacta con el cliente, compara la dirección de envío con la de facturación y busca señales como direcciones de reenvío o varios pedidos seguidos con tarjetas distintas. Si no puedes verificarlo, cancela y reembolsa: es mucho más barato que perder la mercancía y pagar el contracargo.
Para ganar tiempo, puedes configurar la captura manual de pagos: el pago se autoriza al hacer el pedido pero no se cobra hasta que lo apruebas. Con Shopify Flow, que es gratuito en Basic, Grow, Advanced y Plus, puedes automatizar avisos o etiquetas para que los pedidos de riesgo alto se revisen antes de llegar al almacén.
Preguntas frecuentes
¿Shopify es seguro para una tienda online?
La plataforma gestiona hosting, actualizaciones, SSL y la seguridad del checkout. Lo que depende de ti son las cuentas, los permisos, las apps instaladas y la revisión de pedidos.
¿Qué es el análisis de fraude de Shopify?
Es la revisión automática de pedidos con tarjeta. Muestra indicadores desde Basic y una recomendación de riesgo baja, media o alta desde Grow o si usas Shopify Payments.
¿Qué hago si un pedido aparece con riesgo alto?
No lo envíes sin comprobarlo. Contacta con el cliente y, si no puedes verificarlo, cancela y reembolsa. La captura manual de pagos te da margen para revisar antes de cobrar.
¿Es obligatoria la verificación en dos pasos en Shopify?
Es necesaria para cobrar con Shopify Payments sin retenciones y Shopify puede exigirla en algunas cuentas. En Plus la organización puede imponerla a todos los usuarios.