No necesitas ser ingeniero para dirigir una tienda segura. Pero unos cuantos mecanismos técnicos deciden hoy si un ataque tiene éxito o fracasa. Los verás en las revisiones de apps, en los cuestionarios de seguridad y en los anuncios de Shopify. Entender cómo funcionan te ayuda a hacer a los proveedores de apps preguntas mucho más precisas.
Cada tecnología que sigue se explica en lenguaje sencillo: qué hace, qué detiene y dónde se queda corta.
- Las passkeys eliminan la contraseña del ataque más común, el phishing.
- Los entornos aislados son la razón por la que los píxeles de seguimiento y Shopify Functions no pueden leer tu checkout.
- SRI y CSP protegen frente a archivos manipulados, pero no frente al código que llega como «ajustes» de un proveedor de confianza, el método usado en el secuestro de octubre de 2026.
- Ninguna tecnología basta por sí sola. La protección real viene de capas combinadas y de menos apps, mejor elegidas.
Ilustración conceptual: passkeys, entornos aislados y tokens firmados protegiendo una tienda online moderna.
Forma parte del centro temáticoExplora el centro de Seguridad de Shopify →
1. Passkeys y llaves de seguridad (WebAuthn)
Qué hace: inicias sesión con tu dispositivo (huella dactilar, reconocimiento facial o PIN) o con una llave física de hardware, en lugar de una contraseña. La clave privada nunca sale de tu dispositivo.
Qué detiene: el phishing. Una passkey está vinculada criptográficamente a la dirección real del sitio, así que una página falsa de «inicio de sesión de Shopify» no puede usarla, aunque la copia sea idéntica. Esto importa aún más hoy, porque las herramientas de IA redactan correos de phishing muy convincentes.
Dónde se queda corta: un portátil robado y desbloqueado, o un atacante al que tú mismo invitas como colaborador.
En Shopify: disponible para la autenticación en dos pasos del personal y para los clientes de Shop Pay.
2. Tokens firmados y de corta duración (OAuth e intercambio de tokens)
Qué hace: en lugar de depender de una contraseña permanente, una app recibe un token criptográfico firmado por Shopify que demuestra en nombre de qué tienda actúa. Los tokens de corta duración caducan pronto y deben renovarse con regularidad.
Qué detiene: las solicitudes reproducidas o falsificadas, y el daño a largo plazo si un token se filtra.
Dónde se queda corta: los tokens de larga duración que creas para apps personalizadas o agencias. Aun así, debes tratarlos como una llave maestra.
3. Permisos de mínimo privilegio
Qué hace: cada app declara explícitamente lo que puede leer o escribir: productos, pedidos, clientes o temas.
Qué detiene: que una app (o un atacante que la controle) llegue más allá de su función prevista. Una app de menús no tiene motivo para leer pedidos de clientes; una app de reseñas no tiene motivo para editar tu tema.
Dónde se queda corta: los permisos limitan el acceso a la API del servidor. No limitan lo que hace el script propio de una app en el navegador del comprador una vez cargado en la página.
4. Entornos aislados
Qué hace: ejecuta código en un entorno aislado, sin acceso al resto de la página ni al sistema subyacente.
- Píxeles web: los píxeles de apps se ejecutan en un entorno estricto (un web worker sin acceso a la página); los píxeles personalizados se ejecutan en un iframe aislado que no puede llegar a la página principal.
- Shopify Functions: módulos WebAssembly con límites estrictos de instrucciones, memoria y entradas; sin acceso a la red, excepto para apps personalizadas en planes Enterprise.
Qué detiene: que un script de seguimiento lea los campos de la tarjeta de crédito, o que una función de descuento llame a un servidor externo.
Dónde se queda corta: los scripts normales de la tienda, incluida la mayoría de los bloques de integración de apps, no están aislados. Tienen acceso completo a la página.
5. Política de seguridad de contenido (CSP)
Qué hace: una cabecera HTTP que indica al navegador de qué dominios puede cargar scripts una página, a cuáles puede conectarse y cuáles pueden enmarcarla.
Qué detiene: los scripts cargados desde dominios desconocidos, y los ataques de clickjacking (Shopify exige que las apps definan frame-ancestors en sus páginas de administración).
Dónde se queda corta: una tienda con muchas apps necesita una lista de permitidos extensa, y el código malicioso que se ejecuta desde un dominio aprobado sigue estando permitido. La CSP es más eficaz en páginas pequeñas y muy controladas, como el checkout.
6. Integridad de subrecursos (SRI)
Qué hace: asocias un hash criptográfico (una huella digital) a una etiqueta script; el navegador bloquea el archivo si su contenido ha cambiado.
Qué detiene: un archivo manipulado alojado en una CDN.
Dónde se queda corta: los archivos que cambian con frecuencia de forma legítima, y el código que llega como datos. En el secuestro de octubre de 2026, el archivo de la app en la CDN de Shopify estaba limpio. El código malicioso llegó desde la API de ajustes del proveedor. SRI no habría ayudado. La documentación de MDN señala estos límites.
7. PCI DSS 4.0: reglas para scripts en páginas de pago
Qué es: el estándar de seguridad de la industria de tarjetas de pago. Dos requisitos recientes apuntan específicamente al «e-skimming» (robo de datos de tarjeta mediante scripts):
- 6.4.3: mantener un inventario de cada script de las páginas de pago, y justificar y verificar cada uno.
- 11.6.1: detectar cambios no autorizados en las páginas de pago y en sus cabeceras de seguridad.
El PCI Security Standards Council publicó orientación sobre estas reglas en 2025. En Shopify, las páginas de checkout las controla Shopify, y esa es una de las razones principales por las que se retiraron checkout.liquid y las etiquetas script del checkout. No encontramos ninguna página oficial de Shopify que asigne estos dos requisitos para todas las configuraciones, así que confírmalo con Shopify y con tu proveedor de pagos si necesitas evidencias de cumplimiento.
8. 3D Secure (3DS2)
Qué hace: el banco del comprador confirma el pago, normalmente dentro de su app bancaria móvil.
Qué detiene: muchos usos de números de tarjeta robados. Se aplica a los pagos con tarjeta en el Espacio Económico Europeo.
Dónde se queda corta: los delincuentes pueden retransmitir el paso de verificación 3DS a través de una tienda falsa, como documentó Sansec en la red GorgonAgora. El comprador aprueba un pago que cree genuino.
9. Desafíos contra bots
Qué hace: una prueba como reCAPTCHA o hCaptcha que es rápida para los compradores reales y costosa para los bots automatizados.
Qué detiene: los checkouts automatizados durante lanzamientos de stock limitado, los ataques de prueba de tarjetas y ciertas formas de scraping.
Dónde se queda corta: las pruebas contra bots añaden fricción al checkout, y los agentes de compra con IA complican el panorama: algunos visitantes automatizados son ahora clientes genuinos que usan asistentes de IA. La documentación de agentes de Shopify usa solicitudes firmadas y niveles de confianza para distinguirlos.
10. Compensaciones y una regla sencilla
| Tecnología | Protege contra | No protege contra |
|---|---|---|
| Passkeys | El phishing de los inicios de sesión del personal | Colaboradores invitados malintencionados |
| Tokens firmados | Solicitudes falsificadas o reproducidas | Tokens de larga duración filtrados |
| Permisos | Apps que se exceden a través de la API | El comportamiento de scripts en el navegador |
| Entornos aislados | Píxeles o Functions que leen el checkout | Scripts normales de la tienda |
| CSP | Scripts de dominios desconocidos | Código malicioso de dominios permitidos |
| SRI | Archivos estáticos manipulados | Código entregado como datos de ajustes |
| 3DS | El uso simple de una tarjeta robada | Aprobaciones retransmitidas en tiendas falsas |
La regla sencilla: cada app que instalas añade código que no controlas. Prefiere apps con permisos estrechos, sin acceso al checkout y que expliquen con claridad qué se ejecuta en tu tienda.
11. Preguntas para cualquier proveedor de apps
- ¿Qué permisos solicitas y por qué cada uno?
- ¿Tu app ejecuta código en mi tienda o en el checkout? ¿Desde dónde se carga?
- ¿Los campos de ajustes de tu app pueden contener JavaScript o HTML, y quién puede editarlos?
- ¿Cómo proteges tu propia administración y tus herramientas internas (2FA, registros de acceso)?
- ¿Qué pasa con mis datos y con mi tienda cuando desinstalo la app?
Mira cómo Navi+ responde a estas preguntas, o lee lo que Shopify ya hace por ti.
Sources
- Shopify Help, Two-step authentication: https://help.shopify.com/en/manual/your-account/account-security/two-step-authentication
- Shopify.dev, Token exchange: https://shopify.dev/docs/apps/build/authentication-authorization/access-tokens/token-exchange
- Shopify.dev, Web pixels: https://shopify.dev/docs/apps/build/marketing-analytics/pixels
- Shopify.dev, Shopify Functions: https://shopify.dev/docs/api/functions
- Shopify.dev, Set up iframe protection: https://shopify.dev/docs/apps/build/security/set-up-iframe-protection
- MDN, Subresource Integrity: https://developer.mozilla.org/en-US/docs/Web/Security/Subresource_Integrity
- PCI Security Standards Council, Payment Page Security and Preventing E-Skimming: https://blog.pcisecuritystandards.org/new-information-supplement-payment-page-security-and-preventing-e-skimming
- Sansec, GorgonAgora: https://sansec.io/research/gorgonagora-fake-storefront-skimming-network
- cside, HulkApps Shopify checkout hijack: https://cside.com/blog/hulkapps-shopify-checkout-hijack
- Shopify.dev, Agents: https://shopify.dev/docs/agents