Auditoría de apps de Shopify: 7 pasos para una tienda más segura, rápida y barata antes de Black Friday

El 10 de octubre, un desarrollador que estaba comprando en una tienda de Shopify notó algo raro: al darle clic a “Pagar”, la página lo mandó a un checkout falso que pedía los datos de su tarjeta. No era un fallo de Shopify. Era código metido a través de apps instaladas en esa tienda. En los días siguientes, tres desarrolladores de apps confirmaron incidentes y sus apps salieron de la App Store.

Si tienes una tienda de Shopify o haces dropshipping, este es el momento de revisar tus apps. No solo por seguridad: cada app que no usas también le quita velocidad a tu tienda y dinero a tu margen, justo antes de la temporada que más vende del año. Este artículo es una auditoría en 7 pasos, en el orden en que conviene hacerla, para que llegues a Black Friday con una tienda más limpia.

¿Qué vamos a cubrir?

• Qué pasó con el secuestro del checkout
• Paso 1: Prueba tu checkout como si fueras cliente
• Paso 2: Haz el inventario de tus apps
• Paso 3: Revisa qué datos puede ver cada app
• Paso 4: Revisa qué código corre en tu tienda
• Paso 5: Decide qué se queda y qué se va
• Paso 6: Desinstala sin dejar basura ni cargos
• Paso 7: Cierra accesos y contraseñas
• Si encuentras una redirección sospechosa
• Conclusión y checklist
• Preguntas frecuentes

Lo esencial

• En octubre de 2026, código inyectado a través de varias apps de Shopify mandó a compradores a checkouts falsos que robaban datos de tarjeta. Hasta ahora no se reporta una falla en el checkout de Shopify en sí, sino en código que esas apps cargaban en las tiendas.
• La prueba más rápida es comprar en tu propia tienda desde una ventana privada, en computadora y en celular, y confirmar que nunca sales de tu dominio antes de pagar.
• Cada app debe ganarse su lugar: si no te trae ventas, no ahorra trabajo o hace lenta tu tienda, se va. Y al desinstalar, revisa el código que deja en tu tema y los cargos pendientes.

Qué pasó con el secuestro del checkout

En pocas palabras: alguien logró meter código malicioso en la configuración de algunas apps, y ese código redirigía al comprador a una página de pago falsa justo al darle clic a “Pagar”. El ataque lo documentó el desarrollador que lo descubrió el 10 de octubre: la página falsa capturaba los datos de la tarjeta y después mandaba al comprador al checkout real, así que el pedido parecía normal y nadie sospechaba.

Lo que se sabe hasta ahora, según los reportes de cside del 17 de octubre y de Fudge del 19 de octubre:

• Tres desarrolladores confirmaron incidentes: Hulk Product Options, Swym Wishlist Plus y Selleasy. El 16 de octubre, sus fichas en la App Store aparecían como no disponibles.
• El código se activaba una sola vez por comprador y por tienda, lo que lo hacía difícil de detectar si solo pruebas una vez.
• No se ha publicado cuántas tiendas ni cuántas tarjetas se vieron afectadas. Al 19 de octubre, Shopify no había publicado un comunicado sobre el caso.

La lección no es “esas tres apps son malas”. Es que cualquier app que carga código en tu tienda es una puerta, y la mayoría de las tiendas tienen más puertas abiertas de las que recuerdan. Así que vamos a revisarlas una por una.

Paso 1: Prueba tu checkout como si fueras cliente

La prueba es sencilla: compra en tu propia tienda desde una ventana privada y confirma que, antes de pagar, la barra de direcciones siempre muestra tu dominio o tu dirección de myshopify.com. Si en algún momento aparece otro dominio, detente y ve directo a la sección de qué hacer si encuentras una redirección.

Hazlo así:

1. Abre una ventana privada (incógnito) en tu computadora.
2. Entra a un producto, agrégalo al carrito y dale clic al botón de pagar, tanto desde la página de producto como desde el carrito.
3. Revisa la dirección en cada paso, hasta la pantalla donde se ingresa la tarjeta. No necesitas completar el pago.
4. Cierra la ventana, abre una nueva y repite. El código de este ataque se activaba una vez por sesión, así que una sola prueba no basta.
5. Repite todo desde tu celular, con los datos móviles y no con el wifi de tu casa.

Si te sientes cómodo con las herramientas de desarrollador del navegador, Fudge recomienda revisar también el almacenamiento de sesión (session storage) en busca de claves que empiecen con __ctf_, que se asociaron con esta campaña. Que no aparezcan no garantiza que tu tienda esté limpia de otros ataques, pero es una revisión extra que toma un minuto.

Esta prueba no es de una sola vez. Vale la pena repetirla cada vez que instalas o actualizas una app, y aprovechas para revisar que tu checkout en celular funcione bien. Tenemos una guía sobre el error de checkout móvil que hace perder ventas en Shopify que puedes revisar en la misma pasada.

Paso 2: Haz el inventario de tus apps

El inventario es una lista simple de cada app instalada, para qué la tienes, cuánto te cuesta y si carga algo en tu tienda. Sin esa lista, cada decisión que sigue es a ojo.

Tus apps están en Configuración > Apps en el panel de Shopify, según el centro de ayuda de Shopify. Abre una hoja de cálculo y anota, por cada una:

Columna	Qué anotar
App	Nombre
Para qué	La tarea concreta que hace (“reseñas en página de producto”, no “marketing”)
Costo mensual	Lo que pagas; si es gratis, pon 0
¿Carga algo en la tienda?	Sí si muestra algo a tus compradores o agrega código (widgets, pop-ups, botones, scripts)
¿Toca pedidos o pagos?	Sí si lee pedidos, clientes o interviene en el carrito o el checkout
Última vez que la usaste	Una fecha aproximada vale

Para los costos, revisa también Configuración > Facturación, donde aparecen los cargos de apps pendientes y pagados, según la página de cargos de apps de Shopify. Ojo: algunas apps cobran fuera de Shopify, directo a tu tarjeta, y esos cargos no salen en tu factura de Shopify. Revisa también el estado de cuenta de tu tarjeta.

Casi siempre, el inventario trae sorpresas: apps que instalaste para probar un producto que ya no vendes, dos apps que hacen lo mismo o una app de pop-ups que nadie recuerda haber activado.

Paso 3: Revisa qué datos puede ver cada app

Cada app tiene permisos para ver o editar partes de tu tienda, y Shopify te deja ver exactamente cuáles. Al dar clic en el nombre de una app dentro de Configuración > Apps, la sección Actividad y permisos muestra qué áreas puede ver o editar y su actividad reciente, según el centro de ayuda de Shopify.

Lo que buscas:

• Accesos sin usar. Los permisos que una app no ha usado en 30 días aparecen como acceso no utilizado. Si una app tiene permiso para editar pedidos y nunca lo usa, pregúntate por qué lo pidió.
• Acceso a pedidos y clientes. Una app que pide pedidos puede pedir los recientes (los últimos 60 días) o todos, incluidos los futuros, según Shopify. Una app de reseñas que lee todos tus pedidos tiene acceso a nombres y direcciones de todos tus clientes.
• Permisos que no cuadran con la tarea. Una app de tablas de tallas no necesita editar tus productos ni leer tus clientes.

La forma que indica Shopify para revocar el acceso de una app es desinstalarla. Por eso este paso alimenta la decisión del paso 5.

Paso 4: Revisa qué código corre en tu tienda

Las apps cargan código en tu tienda de tres formas principales, y conviene revisar las tres: los app embeds del tema, los píxeles de eventos de clientes y el código que quedó pegado en tu tema.

1. App embeds. Son elementos de apps que flotan sobre tu tienda, aparecen como ventanas emergentes o agregan código de forma invisible, según Shopify. Para verlos: Tienda online > Temas > Editar tema y, en la barra lateral, el ícono de App embeds. Cada uno tiene un interruptor. Si hay uno activo de una app que ya no usas o no reconoces, apágalo y guarda.

2. Píxeles. Los píxeles de seguimiento de apps se administran en Configuración > Eventos de clientes, según Shopify. Revisa que solo estén los que realmente usas para medir.

3. Configuraciones con JavaScript personalizado. Algunas apps tienen un campo en su configuración para pegar código propio. En el caso de octubre, el código malicioso se metió en la configuración de las apps, y uno de los desarrolladores afectados bloqueó después su campo de JavaScript personalizado, según el reporte de cside. Si una app tiene un campo así, ábrelo y revisa qué hay dentro. Si está vacío y no lo necesitas, mejor.

Un dato de contexto que te conviene tener presente: desde el 1 de octubre de 2026, las apps ya no pueden crear nuevos “script tags” (la forma antigua de inyectar código en la tienda), y a partir del 1 de marzo de 2027 Shopify dejará de cargar los que existen, según el registro de cambios de Shopify. Si una app tuya depende de ese método y su desarrollador no la actualiza, va a dejar de funcionar. Es buena pregunta para hacerle al soporte de cada app que tenga código en tu tienda.

Paso 5: Decide qué se queda y qué se va

Cada app debe pasar al menos una de tres pruebas: te trae ventas, te ahorra trabajo que harías a mano o cumple algo obligatorio. Si no pasa ninguna, se va. Si pasa alguna pero hace lenta tu tienda o pide permisos que no cuadran, busca un reemplazo.

La velocidad también cuenta

Shopify lo dice directo en su guía de velocidad: demasiadas apps cargando recursos en tu tienda pueden hacerla más lenta, y recomienda revisar tus apps y quitar las que no sean esenciales para vender, según su centro de ayuda.

Para medirlo, Shopify tiene un panel de rendimiento web. El resumen aparece en Tienda online > Temas, y los reportes completos en Analíticas > Informes, según Shopify. La métrica más útil para empezar es el LCP (Largest Contentful Paint, el tiempo que tarda en cargar el elemento principal de la página): Shopify considera bueno 2,500 milisegundos o menos y malo más de 4,000.

El truco está en el reporte de LCP a lo largo del tiempo: muestra líneas verticales en las fechas en que instalaste apps o cambiaste el tema. Si ves que tu LCP subió justo después de instalar una app, ya sabes por dónde empezar. Si tu tienda tiene poco tráfico, agrupa por semana o por mes, porque los datos diarios brincan mucho.

Lo que te cuestan las apps, en números

Las suscripciones de apps son costos fijos: las pagas vendas o no. Un ejemplo con números redondos para que veas el efecto (cambia los números por los tuyos):

• Tienes 9 apps: 4 gratis, 3 de 9.99 dólares al mes y 2 de 29.99 dólares al mes.
• Las de pago suman 3 × 9.99 + 2 × 29.99 = 29.97 + 59.98 = 89.95 dólares al mes, o 89.95 × 12 = 1,079.40 dólares al año.
• Si tu margen después de anuncios es de 10 dólares por pedido (pon el tuyo), necesitas 89.95 ÷ 10 = 8.995, es decir 9 pedidos al mes solo para pagar las apps.

Ahora, supón que el inventario muestra que 2 de las apps de 9.99 y 1 de las de 29.99 ya no te sirven:

• Ahorras 2 × 9.99 + 29.99 = 49.97 dólares al mes, o 49.97 × 12 = 599.64 dólares al año.
• Te quedan 89.95 − 49.97 = 39.98 dólares al mes en apps, que se pagan con 39.98 ÷ 10 = 3.998, o sea 4 pedidos.

Pasar de 9 a 4 pedidos al mes para cubrir tus apps cambia bastante el arranque de una tienda nueva. Es la misma lógica que usamos para el ROAS de equilibrio en dropshipping: primero que el negocio se pague solo, después que crezca. Si quieres ver la ganancia por pedido con todos los costos incluidos, una herramienta como Sellerboard se conecta a Shopify y te lo calcula.

Antes de reemplazar, revisa lo que Shopify ya trae

Muchas apps se instalaron cuando Shopify no tenía esa función. Antes de pagar por una app de descuentos, de personalización del checkout o de devoluciones, revisa si ya existe de forma nativa. Por ejemplo, muchas personalizaciones del checkout ya se hacen sin código, como explicamos en la guía de Checkout Extensibility de Shopify.

Paso 6: Desinstala sin dejar basura ni cargos

Desinstalar una app desde Configuración > Apps detiene sus cobros futuros, pero no siempre limpia todo. Shopify advierte tres cosas en su guía para desinstalar apps: algunas apps dejan código en tu tema que no se borra solo, algunas guardan datos que no podrás recuperar después y puede que te cobren el ciclo de facturación en curso.

El orden que te recomiendo:

1. Duplica tu tema antes de tocar nada. Si algo se rompe, tienes a dónde regresar.
2. Exporta los datos que quieras conservar (reseñas, listas de clientes, configuraciones).
3. Pide el reembolso antes de desinstalar, si te toca. Shopify indica que la solicitud de reembolso se hace con el desarrollador antes de desinstalar.
4. Revisa la ficha de la app o pregúntale al desarrollador si hay que quitar código a mano del tema.
5. Desinstala y vuelve a revisar los app embeds del paso 4.
6. Cancela por fuera las apps que cobran directo a tu tarjeta: desinstalar no cancela esos cargos.
7. Repite la prueba del paso 1 y revisa que tus páginas de producto se vean bien.

Un consejo de calendario: haz esta limpieza ahora y no la semana de Black Friday. Cambiar apps cuando ya tienes campañas corriendo y tráfico alto es la forma más cara de descubrir que algo se rompió. Si estás preparando tus promociones, también te sirve revisar cuánto descuento dar en Black Friday sin perder dinero.

Paso 7: Cierra accesos y contraseñas

El último paso es revisar quién más puede entrar a tu tienda: tu contraseña, la verificación en dos pasos y los colaboradores. Entre las posibles causas del incidente de octubre, quien lo descubrió menciona una cuenta comprometida de un comerciante o de un empleado, y uno de los desarrolladores explicó que alguien sin autorización usó una de sus herramientas internas. Los accesos son parte del problema, no un detalle.

1. Cambia tu contraseña de Shopify y la de las cuentas que tienes con los desarrolladores de apps.
2. Activa la verificación en dos pasos. Ojo con un detalle: el dueño de la tienda no puede activarla por otro miembro del equipo; cada persona la activa en su propia cuenta, según Shopify. Pídeselo a cada persona con acceso.
3. Revisa tus colaboradores (agencias, freelancers, desarrolladores) en Configuración > Usuarios. Si alguien ya no trabaja contigo, quítale el acceso. Los colaboradores que no entran en 90 días pierden el acceso automáticamente, según Shopify, pero no conviene depender de eso.
4. Genera un nuevo código de solicitud de colaborador en la sección de seguridad. Los códigos anteriores dejan de funcionar.
5. Revisa las herramientas de IA conectadas a tu tienda. El desarrollador que descubrió el ataque recomienda revisarlas también. Una herramienta conectada es otra puerta.

Si encuentras una redirección sospechosa

Si en la prueba del paso 1 aparece un dominio que no es el tuyo antes de pagar, trátalo como un incidente: primero guarda evidencia y después corta. Este es el orden que recomiendan cside y Fudge:

1. Guarda evidencia: capturas de pantalla con la dirección visible, la hora y, si sabes cómo, el registro de red del navegador.
2. Desactiva el app embed o desinstala la app sospechosa, y revisa el tema por código que haya quedado.
3. Escribe al desarrollador de la app y abre un caso con el soporte de Shopify, por escrito.
4. Avisa a tu procesador de pagos.
5. Cambia contraseñas y revisa accesos, como en el paso 7.
6. Vuelve a probar el checkout varias veces, en computadora y celular.

Sobre avisar a tus clientes: depende de tu procesador de pagos y de las leyes de tu país, así que pide orientación ahí antes de mandar un comunicado.

Conclusión y checklist

La mayoría de las tiendas acumulan apps como se acumulan cosas en un cajón: una para probar, otra que alguien recomendó, otra que venía con un tema. El incidente de octubre es un buen recordatorio de que cada una es una puerta, un costo fijo y un poco menos de velocidad. Una tarde de revisión ahora te ahorra sustos en la temporada más importante del año.

Tu checklist para esta semana:

• Probé mi checkout en ventana privada, dos veces, en computadora y en celular.
• Tengo el inventario de apps con costo, uso y si cargan algo en la tienda.
• Revisé los permisos de cada app y los accesos sin usar.
• Revisé los app embeds, los píxeles y los campos de código personalizado.
• Decidí qué apps se quedan, cuáles se van y cuáles reemplazo.
• Desinstalé con tema duplicado, datos exportados y cargos externos cancelados.
• Cambié contraseñas, activé la verificación en dos pasos y limpié colaboradores.

Si quieres revisar tu lista de apps con alguien más, tráela a la llamada semanal de la comunidad: entre varios es más fácil detectar la app que sobra o la que tiene un reemplazo nativo.

Preguntas frecuentes

¿El ataque de octubre fue una falla de Shopify?

Según los reportes publicados hasta el 19 de octubre, no se ha reportado una falla en el checkout de Shopify en sí. El código malicioso entró a través de la configuración de apps de terceros y redirigía al comprador a una página falsa antes de llegar al checkout real.

¿Cuántas apps debería tener mi tienda de Shopify?

No hay un número correcto. La pregunta útil es si cada app te trae ventas, te ahorra trabajo o cumple algo obligatorio. Una tienda con pocas apps bien elegidas suele ser más rápida, más barata y más fácil de revisar.

¿Desinstalar una app borra su código de mi tema?

No siempre. Shopify advierte que algunas apps agregan código al tema que no se elimina al desinstalar. Revisa la ficha de la app o pregúntale al desarrollador cómo quitarlo, y duplica tu tema antes de hacer cambios.

¿Me siguen cobrando una app después de desinstalarla?

Se cancelan los cobros futuros, pero puede que te cobren el ciclo en curso. Y si la app te cobra directo a tu tarjeta, fuera de Shopify, tienes que cancelar con el desarrollador.

¿Cómo sé si una app está haciendo lenta mi tienda?

Usa el reporte de LCP a lo largo del tiempo en Analíticas > Informes. Muestra marcas en las fechas en que instalaste apps o cambiaste el tema, así puedes ver si la velocidad empeoró justo después de una instalación.

¿Cada cuánto debo hacer esta auditoría?

Una revisión completa antes de cada temporada fuerte es un buen ritmo, y la prueba del checkout cada vez que instales o actualices una app.