Mises à jour Shopify d'octobre 2026 : ce qui compte vraiment pour les marchands

Points clés à retenir

• Une campagne de phishing sur le checkout est passée par des applications de vitrine. Depuis au moins le 10 octobre, le code chargé par des applications telles que Hulk Product Options, Selleasy et Swym Wishlist Plus a redirigé certains acheteurs vers un faux checkout qui a capturé leurs coordonnées bancaires. Aucune source n’indique que le propre checkout de Shopify a été piraté. Le test permettant de détecter la première vague prend cinq minutes.
• Aucun script tag de vitrine (storefront script tag) nouveau ou mis à jour depuis le 1er octobre. Ceux existants continueront de charger jusqu’au 1er mars 2027, date à laquelle Shopify cessera de les injecter. Le remplaçant, un app embed (bloc d’application intégré), reste désactivé tant que vous ne l’activez pas dans l’éditeur de thème.
• Shopify a lancé Canvas le 1er octobre, un espace de design où Sidekick modifie toute la boutique depuis le chat. Il est en accès anticipé (early access) : vous ne pouvez pas encore y ajouter ou configurer des app embeds ni personnaliser Markets, et un thème Canvas cesse de recevoir les mises à jour de thème.
• Tout agent qui prend en charge MCP peut désormais passer commande sur votre boutique. Shop MCP (13 octobre) lui offre la recherche au sein du catalogue, les paniers et le checkout, avec Shop Pay pour les acheteurs connectés avec Shop, et aucun partenariat n’est requis. Les agents voient les prix comparés (compare-at prices) depuis le 9 octobre, et l’Universal Cart de Google a été lancé aux États-Unis le 15 octobre.
• Les opérations du BFCM ont reçu de vrais outils. Traitement par lots (batch fulfillment) pour un maximum de 250 commandes (16 octobre), achat automatique d’étiquettes dans Flow (15 octobre), et réductions dans Rollouts, pour pouvoir tester une offre avant le Black Friday (2 octobre).
• Développeurs : Events est en disponibilité générale, Hydrogen 2026-10 a été publié, et l’API version 2025-10 a été retirée le 16 octobre.

Voici les mises à jour Shopify d’octobre 2026, classées selon ce qui compte vraiment pour un marchand plutôt que jetées en vrac dans un changelog. En septembre, des agents IA ont été intégrés au checkout. La première moitié d’octobre a été marquée par la question de savoir qui peut modifier ce que voient vos acheteurs : les attaquants opérant via des applications tierces, la propre IA de Shopify à travers Canvas, et tout agent souhaitant passer une commande.

Nous publions ceci en milieu de mois pour que vous puissiez agir pendant qu’il en est encore temps, et le mettrons à jour en fin de mois si quelque chose d’important est publié.

Pour les changements du mois dernier, consultez les mises à jour Shopify de septembre 2026.

En un coup d’œil : les notes de mise à jour d’octobre 2026 en un seul tableau

Les 3 mises à jour d’octobre qui méritent votre attention en priorité

Si vous ne lisez rien d’autre ce mois-ci :

1. Faites le test du checkout dans une fenêtre en navigation privée. Ajoutez un produit, cliquez sur Checkout, et lisez la barre d’adresse au moment où la page de paiement s’affiche. Si ce n’est pas votre propre nom de domaine ou votre adresse myshopify.com, arrêtez tout et traitez cela comme un incident. Ouvrez ensuite les App embeds (Intégrations d’applications) dans l’éditeur de thème et désactivez toutes les applications que vous n’utilisez pas.
2. Demandez à chaque fournisseur d’application de vitrine s’il utilise toujours des script tags, et quand son app embed sera disponible. Quand ce sera le cas, vous devrez activer l’embed vous-même, dans le thème en ligne et dans toute copie que vous préparez pour le BFCM.
3. Vérifiez ce que voient les agents IA avant que vos prix pour le BFCM ne soient en ligne. Les agents peuvent désormais finaliser des commandes via Shop MCP, voir vos prix barrés, et vous comparer au sein de l’Universal Cart de Google. Ce sont vos données produits et vos prix réels qu’ils comparent.

1. La campagne de phishing du checkout Shopify : ce qu’il faut vérifier

Ce qu’il s’est passé. Le 10 octobre, le développeur Roman Zipp a cliqué sur Checkout sur une boutique Shopify et a atterri sur un checkout similaire sur un domaine qu’il ne connaissait pas.¹ La page a envoyé les détails de sa carte de test au serveur d’un attaquant, puis l’a redirigé vers le vrai checkout de la boutique, de sorte qu’une commande aurait été finalisée normalement. Au cours de la semaine suivante, HulkApps (Hulk Product Options), Logbase (Selleasy) et Swym (Wishlist Plus) ont chacun confirmé qu’une partie non autorisée avait modifié ce que leurs applications chargeaient sur certaines vitrines.²

Où on en est le 19 octobre. Swym a déclaré dans une FAQ publiée le 19 octobre qu’une nouvelle activité ayant débuté à 21h17 UTC le 18 octobre avait utilisé l’accès de Wishlist Plus pour ajouter des scripts à certaines boutiques ; l’entreprise a donc désactivé l’application pour tous les marchands et révoqué ses identifiants Shopify. Elle a retiré la FAQ plus tard dans la journée, et sa page de statut indique toujours un incident en cours. Les fiches de Hulk Product Options, Swym Wishlist Plus et Selleasy sur l’App Store affichent toutes “actuellement indisponible”.²

Ce que Shopify a déclaré. Aucune source n’indique que le propre checkout ou les systèmes de Shopify ont été piratés. Le code s’exécutait sur les pages de la vitrine (storefront), avant le chargement du checkout. Shopify n’a publié aucun article, guide d’aide ou entrée de changelog concernant cette campagne. Un porte-parole a déclaré à iTnews que les applications doivent répondre aux normes de sécurité de Shopify, que Shopify agit lorsqu’elles ne sont pas à la hauteur, notamment en les retirant, et demande ensuite au développeur de contacter les marchands concernés.³ Par ailleurs, le 15 octobre, Shopify a publié une commande shopify app security check qui scanne le code des applications et des extensions de thème pour détecter des schémas dangereux. Elle n’a pas été présentée comme une réponse à la campagne, et son exécution est recommandée, mais pas obligatoire.⁴

Pourquoi les marchands se sentent concernés. Deux choses rendent cela pire qu’une panne d’application normale. Lors de la première vague, le code est arrivé à l’intérieur des paramètres de l’application, et non dans les fichiers de thème, donc une recherche dans votre thème n’aurait rien donné. Et comme la fausse page redirigeait les acheteurs vers le vrai checkout, les commandes semblent normales. Le signal vient plutôt des clients : un e-mail concernant une page de paiement au look bizarre, ou une fraude à la carte bancaire peu de temps après avoir commandé chez vous.

Ce qu’il faut faire. Notre guide complet, L’attaque de phishing du checkout Shopify : que s’est-il passé et comment vérifier votre boutique, contient la chronologie, les domaines identifiés jusqu’à présent et la vérification complète. La version courte :

1. Dans une nouvelle fenêtre de navigation privée, ajoutez un produit et cliquez sur Checkout depuis la page du panier. Lisez la barre d’adresse au moment où la page de checkout se charge. Fermez la fenêtre, ouvrez une nouvelle fenêtre privée et recommencez depuis le tiroir du panier (cart drawer), puis encore une fois sur votre téléphone.
2. Ouvrez Boutique en ligne > Modifier le thème > App embeds (ou Intégrations d’applications) et faites la liste de chaque embed qui est activé. Chacun d’entre eux peut charger du code sur chaque page. Désactivez et désinstallez ce que vous n’utilisez pas.
3. Si vous utilisez l’une des applications mentionnées, suivez la page de statut de l’éditeur. Si vous avez vu une redirection, capturez l’URL et faites une capture d’écran, désactivez l’app embed de l’application, puis contactez le support Shopify et votre fournisseur de paiement.

Le guide contient également un prompt en lecture seule pour exécuter le test de checkout en direct avec Fudge, et précise clairement ce qu’un résultat net peut ou ne peut pas prouver.

2. Balises de script (Script tags) de la vitrine : aucune nouvelle depuis le 1er octobre, disparition le 1er mars 2027

Ce qui a changé. Depuis le 1er octobre 2026, les applications ne peuvent plus créer ou mettre à jour les balises de script (script tags) de la vitrine. Les mutations scriptTagCreate et scriptTagUpdate échouent sur toutes les versions de l’API. Une application bloquée sur une ancienne version n’a donc pas de délai supplémentaire.⁵ Les script tags qui existent déjà continueront de se charger jusqu’au 1er mars 2027. À cette date, Shopify cessera de les injecter dans les pages de la vitrine, et tous ceux qui resteront ne feront tout simplement plus rien.

Le remplaçant du JavaScript de vitrine est un bloc d’app embed dans une extension d’application de thème, et pour les outils analytiques, un pixel web.⁵ Deux détails retombent sur le marchand. Un app embed est inactif tant que vous ne l’allumez pas dans l’éditeur de thème, et il s’active thème par thème. De plus, jusqu’au 1er mars, une boutique exécutant à la fois un ancien script tag et son nouvel app embed chargera le script en double.

Un piège entre-temps : une application qui s’appuie toujours sur les script tags ne peut pas en ajouter à une boutique qui l’installe après le 1er octobre. Elle n’y aura donc aucun script de vitrine du tout.⁵ Ne désinstallez pas et ne réinstallez pas une ancienne application pour résoudre un problème avec elle.

Shopify a assoupli une partie du plan. L’avertissement qui devait apparaître le 1er octobre lorsqu’un marchand installe une application utilisant encore des script tags n’est pas affiché « pour le moment », et le personnel de Shopify indique que l’utilisation sera réexaminée en janvier. La date du 1er mars n’a pas bougé.⁶

Pourquoi c’est important pour les marchands. C’est le même schéma que pour les Shopify Scripts en juin et les scripts additionnels du checkout en août : rien ne plante, les choses s’arrêtent tout simplement. Une application qui ne déploie jamais d’app embed continue de fonctionner sur les boutiques qui l’avaient déjà jusqu’au 1er mars, puis son widget disparaîtra. Une application qui en déploie un a besoin que vous l’activiez, et vous ne le saurez que si le fournisseur vous en informe.

Il existe un lien avec la campagne de phishing, mais avec une limite. Chaque app embed est listé dans l’éditeur de thème avec un interrupteur à côté, alors que les script tags s’exécutaient sans même apparaître dans l’éditeur de thème.⁵ Une fois que chaque application aura migré, vous pourrez au moins voir chaque tiers qui exécute du code sur votre vitrine, et le désactiver. Voir l’interrupteur n’est pas la même chose que voir le code, cependant. HulkApps trace les redirections liées à son application jusqu’à l’extension d’application de thème Hulk Product Options, et un app embed charge toujours ce que les serveurs de son fournisseur envoient.²

Les applications créées dans votre propre interface d’administration sont un cas particulier. Elles ne peuvent pas utiliser d’extensions d’application, elles n’ont donc aucun app embed vers lequel migrer. Le conseil de Shopify est de déplacer le script dans le thème lui-même, dans un bloc Liquid personnalisé ou dans l’éditeur de code, et note que la modification du code du thème retire ce dernier de son chemin de mise à jour automatique.⁵

Ce qu’il faut faire.

1. Envoyez un message à chaque fournisseur dont l’application affiche quelque chose sur votre vitrine : « Votre application utilise-t-elle encore des script tags, et quand est-ce que votre app embed sera déployé ? » Un fournisseur qui ne peut pas répondre est à remplacer, et avant le BFCM est un bien meilleur moment qu’en février.
2. Lorsqu’un app embed est déployé, activez-le dans votre thème publié et dans tout doublon que vous préparez pour le BFCM. Vérifiez ensuite que le widget ne se charge pas en double.
3. Si une application personnalisée ajoute un script à votre vitrine, déplacez le script dans votre thème avant le 1er mars et demandez à la personne qui a conçu l’application de supprimer l’ancien script tag.

Cette dernière étape relève du travail sur le thème, et c’est le genre de chose que fait Fudge : il lit votre thème, ajoute le code et place la modification dans un thème brouillon pour que vous puissiez la prévisualiser. Un prompt comme celui-ci fera l’affaire :

Mon application personnalisée charge [URL du script] sur ma vitrine via un script tag, et les script tags cesseront de se charger le 1er mars 2027. Ajoute le même script à mon thème à la place, chargé uniquement sur [les pages qui en ont besoin] et avec les mêmes attributs qu’il possède aujourd’hui. Fais la modification dans une copie brouillon de mon thème actif, et dis-moi comment vérifier que cela fonctionne avant que je ne le publie.

Pour la méthode manuelle, notre guide sur l’ajout de JavaScript personnalisé dans Shopify explique où le code doit aller.

3. Canvas : le designer de boutique IA de Shopify arrive en accès anticipé

Ce qui a changé (1er octobre). Shopify a lancé Canvas, une interface de design qui déploie chaque page de votre boutique sur un espace de travail zoomable.⁷ Il affiche la vraie boutique plutôt qu’une maquette, ce qui vous permet de prévisualiser les interactions, les animations, différents produits et tailles d’écran. Vous cliquez sur un élément pour le modifier, ou vous demandez à Sidekick, que ce soit pour une simple section ou pour refaire entièrement le design de la boutique. Shopify affirme que Sidekick modifie désormais directement les fichiers du thème, vérifie son propre travail avec des captures d’écran et la validation du code, et a effectué plus de 25 millions de modifications de thèmes au cours du premier semestre 2026.⁷

Qui y a accès. La fonctionnalité est en cours de déploiement en accès anticipé (early access) pour certaines boutiques, uniquement sur ordinateur. Vous y accédez depuis Boutique en ligne > Thèmes, soit en créant un nouveau thème dans Canvas, soit en y dupliquant un thème Shopify ou sur mesure. Le thème d’origine reste dans l’éditeur de thème classique.⁸

Les limites au lancement :

• Il fonctionne uniquement avec les thèmes de Shopify et les thèmes sur mesure. Les thèmes tiers de la boutique de thèmes (Theme Store) ne sont pas pris en charge.
• Vous ne pouvez pas ajouter ou configurer des blocs d’application (app blocks) ou des intégrations d’applications (app embeds).
• Pas de personnalisation Markets. Le contenu du thème est traduit dans l’application Translate & Adapt, et non dans Canvas.
• Un thème modifié dans Canvas ne reçoit plus de mises à jour de thème et s’ouvre uniquement dans Canvas, pas dans l’éditeur de thème classique.
• Les fichiers de thème ne peuvent pas être téléchargés, et les blocs sont ajoutés en demandant à Sidekick plutôt qu’à la main.⁸

Concernant les applications, un membre de l’équipe Shopify a déclaré aux développeurs le jour du lancement que la prise en charge des extensions d’application de thème (theme app extensions) est prévue dans les prochaines semaines, et avant que Canvas ne devienne l’éditeur par défaut.⁹

Pourquoi c’est important pour les marchands. Une refonte complète de la boutique par IA est maintenant intégrée à Shopify, et Shopify précise que Canvas ne remplace pas encore l’éditeur de thème. Les limites actuelles définissent qui peut l’utiliser aujourd’hui. Si votre boutique dépend d’un app embed ou d’un app block pour les avis, les abonnements, une liste d’envies ou le tracking, vous ne pouvez pas encore l’ajouter ou le configurer dans Canvas, et la personnalisation Markets n’est pas non plus disponible. Pour une nouvelle boutique, ou une marque utilisant un thème Shopify avec peu d’applications, ça vaut le coup d’y passer une après-midi dès maintenant.

Ce qu’il faut faire. Testez-le sur une copie, jamais sur votre thème en ligne (live). Avant de publier un thème Canvas, faites la liste de tous les app embeds et app blocks que votre thème en ligne utilise et vérifiez chacun d’eux sur la copie Canvas, car vous ne pouvez pas les ajouter ou les configurer dans Canvas. Décidez également si vous pouvez vous passer des mises à jour de thème et vivre avec un thème que vous ne pourrez plus ouvrir dans l’éditeur classique.

Petit avertissement de transparence, puisque c’est notre domaine : nous développons Fudge, l’opérateur IA pour les boutiques Shopify, qui modifie aussi une boutique à partir d’un prompt. Il modifie le code de votre thème existant, quel qu’il soit, et place chaque changement dans un thème brouillon pour que vous puissiez prévisualiser avant toute mise en ligne. Lisez notre avis sur les deux solutions en gardant cela à l’esprit.

4. Tout agent IA compatible avec le protocole MCP peut désormais finaliser des commandes sur votre boutique

Ce qui a changé. Quatre annonces en huit jours, toutes allant dans la même direction.

• Shop MCP (13 octobre). Shopify a ouvert un serveur hébergé sur mcp.shop.com qui permet à n’importe quel agent IA compatible avec le Model Context Protocol de rechercher parmi plus d’un milliard de produits du catalogue Shopify, de gérer des paniers, de finaliser l’achat avec la boutique vendeuse et d’utiliser Shop Pay pour un client connecté à Shop.¹⁰ La recherche ne nécessite aucune clé API. L’agent finalise le paiement (checkout) uniquement après que le client a confirmé le total et le moyen de paiement, et la commande arrive dans votre admin comme n’importe quelle autre. En septembre, WebMCP permettait à un agent de procéder au paiement une fois sur votre boutique dans le navigateur du client. Avec Shop MCP, un client connecté à Shop peut payer avec Shop Pay sans quitter l’agent, et n’importe qui d’autre reçoit un lien pour terminer l’achat sur votre page de checkout.
• Prix avant réduction (9 octobre). Le catalogue Shopify envoie désormais les prix avant réduction / compare-at prices aux agents IA lorsqu’ils sont supérieurs au prix actuel, pour que l’agent puisse voir la démarque. Auparavant, les agents ne voyaient que le prix actuel. Shopify active ce partage par défaut pour la plupart des boutiques, et le désactive pour celles qui utilisent le prix avant réduction comme prix fabricant ou prix de référence. Ce paramètre se trouve dans la section ‘Compare-at’ du mapping des données produits du catalogue, sous Canaux de vente > Agentic > Sources > Shopify Catalog.¹¹
• Consentement de l’acheteur (16 octobre). Les agents utilisant Checkout MCP et Cart MCP de Shopify peuvent désormais transmettre les choix de l’acheteur concernant l’analytics, le partage de données et le marketing par e-mail ou SMS. Si l’agent ne transmet rien, les paramètres régionaux par défaut de votre boutique s’appliquent, et un acheteur dont le pays est inconnu est considéré comme non consentant (opted out).¹²
• Google Universal Cart (15 octobre). Google a lancé un panier qui regroupe les produits de nombreux marchands à travers la recherche Google, y compris le mode IA, et l’application Gemini aux États-Unis, avec des alertes de baisse de prix et de retour en stock. Les acheteurs paient avec Google Pay dans les boutiques participantes ou transfèrent le panier sur le site du marchand, et le marchand reste le vendeur officiel (seller of record). Google cite “de nombreux marchands Shopify” parmi ses partenaires.¹³

Pourquoi c’est important pour les marchands. L’agent n’a plus besoin de votre page d’accueil, de vos pages de collection ou d’un partenariat avec Shopify. Il a besoin des données de votre catalogue. Les chiffres de Shopify pour la période d’avril à juin 2026 illustrent pourquoi c’est crucial : les sessions provenant de l’IA ont converti 80 % mieux que la recherche organique, les commandes issues de l’IA étaient 14 % plus importantes, et l’IA a apporté presque deux fois plus de nouveaux clients que les autres canaux.¹⁴

Son étude sur la période des fêtes y ajoute une limite. 65 % des acheteurs prévoient d’utiliser l’IA pour au moins une tâche liée à leurs achats de fin d’année, mais seulement un tiers environ font confiance à un agent pour acheter à leur place.¹⁵ Attendez-vous à ce que les agents fassent des recherches et remplissent des paniers plus souvent qu’ils ne finalisent les achats cette saison.

Ce qu’il faut faire.

1. Ouvrez le mapping des données produits du catalogue et confirmez que le partage des prix avant réduction est configuré comme vous le souhaitez avant le lancement de vos promos du BFCM. Assurez-vous que chaque prix barré est justifiable, car les agents affichent désormais la comparaison.
2. Vérifiez vos paramètres de confidentialité et de consentement marketing, car ils s’appliquent désormais aux acheteurs qui arrivent par le biais d’un agent sans avoir exprimé de choix.
3. Lancez l’audit gratuit des données du catalogue Shopify pour voir ce qu’un agent trouve lorsqu’il lit vos produits, et corrigez en priorité les titres trop courts et les attributs de variantes manquants.
4. Si vous vendez aux États-Unis via Google Merchant Center, vérifiez que les prix et les stocks de votre flux correspondent à ceux de la boutique, car les alertes de Google Universal Cart se basent dessus.

Pour comprendre comment Shopify déploie ces canaux depuis décembre, lisez notre guide sur les vitrines Agentic (Agentic Storefronts).

5. Opérations BFCM : traitement par lots, étiquettes automatiques et offres testables

Le BFCM 2026 aura lieu du 27 au 30 novembre. Quatre nouveautés d’octobre arrivent pile à temps.

Traitement des commandes par lots (16 octobre). Vous pouvez désormais regrouper jusqu’à 250 commandes à traiter, sélectionnées à la main ou en regroupant automatiquement les commandes récentes, et les faire passer par un flux de travail Pick, Print, Pack (Préparation, Impression, Emballage).¹⁶ Pick imprime une liste de prélèvement. Print achète toutes les étiquettes et imprime ensemble les bordereaux d’expédition, les étiquettes et les formulaires de douane. Pack utilise la vérification par scan avec une tonalité pour signaler une correspondance ou une erreur. Les étapes peuvent être renommées, réorganisées et attribuées au personnel. Cela nécessite un emplacement géré par le marchand dans un pays où vous pouvez acheter des étiquettes Shopify Shipping.

Flow achète les étiquettes d’expédition (15 octobre). Une nouvelle action Purchase shipping label (Acheter une étiquette d’expédition) achète une étiquette dès l’arrivée des commandes, en utilisant le transporteur et le service (ou le moins cher disponible), le colis, le poids et la date d’expédition que vous avez définis.¹⁷ Les conditions peuvent inclure un tag de commande, des produits spécifiques ou des commandes à article unique, et un modèle prêt à l’emploi est disponible. L’action achète une étiquette par traitement par exécution et ignore les commandes assignées à un service de traitement tiers.

Réductions dans les Déploiements (Rollouts) (2 octobre). Une réduction peut désormais faire partie d’un Rollout, l’outil de lancement et de test natif de Shopify.¹⁸ Vous pouvez diffuser une offre à une partie de votre trafic web et l’étendre, la tester face à vos offres existantes pour évaluer la conversion, ou programmer sa mise en ligne avec les modifications de thème et de checkout auxquelles elle est rattachée. Les Déploiements (Rollouts) sont disponibles à partir du forfait Basic, et les expérimentations à partir du forfait Grow. Dans une expérimentation, le groupe de contrôle voit vos réductions habituelles sans celle que vous testez, et un déploiement sur une partie du trafic s’applique uniquement à la boutique en ligne.

Vos propres notes sur les rapports Analytics (1er octobre). Les membres du personnel disposant de l’autorisation Rapports peuvent désormais ajouter des annotations aux rapports chronologiques, avec un titre, une description et une date ou une plage de dates, à côté de celles ajoutées par Shopify et vos applications.¹⁹

Pourquoi c’est important pour les marchands. Lors d’une journée normale, acheter des étiquettes et imprimer des bordereaux commande par commande est un coût mineur. Le jour du Cyber Monday, c’est ce qui crée des bouchons. Les déploiements de réductions vous permettent de tester l’offre du Black Friday dès le mois d’octobre, là où une mauvaise estimation coûte seulement quelques jours de marge sur une partie de votre trafic, plutôt que de le découvrir le jour J.

Ce qu’il faut faire.

1. Lancez un vrai lot (batch) ce mois-ci, avec les personnes qui le géreront en novembre.
2. Si la plupart de vos commandes ne comportent qu’un seul article, configurez le modèle Flow pour celles-ci et gardez le reste en manuel.
3. Lancez dès maintenant l’offre du mois prochain dans une expérimentation face à votre offre actuelle. Notre Playbook BFCM Shopify contient la chronologie semaine par semaine, y compris ce qu’il faut figer et quand.
4. Annotez le 21 septembre (le changement de mesure des sessions), du 8 au 15 octobre (le bug de référencement ChatGPT, abordé ci-dessous) et chaque lancement de campagne, pour que les rapports de novembre s’expliquent d’eux-mêmes.

6. Shop reconnaît désormais les acheteurs pendant leur navigation

Ce qui a changé (5 octobre). Shop peut désormais reconnaître un utilisateur Shop pendant qu’il navigue sur votre boutique, avant même qu’il n’achète.²⁰ Pour ces acheteurs, cela signifie un checkout qui se charge plus vite, des paniers synchronisés entre leurs appareils et entre l’application Shop et votre vitrine, une connexion en un clic aux comptes clients, et un bouton Shop Pay qui affiche leur dernière carte utilisée. La navigation et les paniers abandonnés se synchronisent avec le compte Shop de l’acheteur, et Shop envoie ses propres rappels de panier. C’est activé par défaut, dans tous les navigateurs. La synchronisation du panier fonctionne également lorsqu’un utilisateur Shop se connecte à vos comptes clients avec le même e-mail, mais uniquement sur les nouveaux comptes clients, pas les anciens (legacy).

Pourquoi c’est important pour les marchands. C’est une fonctionnalité de conversion que vous n’avez pas eu à activer, avec deux effets secondaires. Shop envoie désormais des rappels de panier à certains de ces mêmes acheteurs que vos propres flux d’e-mails de panier abandonné ciblent. Et Shopify collecte ces données de navigation directement auprès des utilisateurs de Shop, sous sa propre politique de confidentialité. Il n’y a pas de paramètre distinct pour le désactiver : c’est lié à Shop Pay et Sign in with Shop (Se connecter avec Shop).

Ce qu’il faut faire. Regardez le timing de votre flux de panier abandonné : si Shop a déjà relancé un acheteur, votre premier e-mail pourrait arriver comme un second rappel. Si vous êtes toujours sur les anciens comptes clients, vous ratez un chemin de synchronisation, celui où un utilisateur Shop se connecte aux propres comptes de votre boutique. C’est une petite raison de migrer, et si vous dépendez d’une application de connexion sociale (social login) tierce et que vous n’êtes pas sur le forfait Plus, testez-la d’abord sur les nouveaux comptes, car des marchands signalent que ces applications cessent d’y fonctionner.²¹

7. Les politiques de la boutique peuvent désormais se mettre à jour automatiquement

Ce qui a changé (8 octobre). Le changelog liste cinq politiques qui peuvent désormais être automatisées : politique de retour et remboursement, coordonnées, conditions d’utilisation, politique d’expédition, et mentions légales. La page du Centre d’aide en liste actuellement quatre, sans les mentions légales.²² Une politique automatisée suit le modèle de Shopify et se met à jour d’elle-même lorsque les paramètres pertinents changent, comme votre adresse et e-mail, vos zones d’expédition, vos numéros de TVA UE ou UK et vos règles de retour. Vous l’activez politique par politique sous Paramètres > Politiques avec “Utiliser la politique automatisée”. Vous restez responsable de sa conformité légale.

Pourquoi c’est important pour les marchands. Les politiques deviennent souvent obsolètes. Une boutique qui ajoute un marché, modifie ses délais de retour (qui peuvent varier selon le produit depuis le 29 septembre) ou ouvre un nouvel entrepôt oublie généralement la page de politique. Le hic : activer l’automatisation remplace votre texte personnalisé existant et ses traductions par le modèle générique, et Sidekick ne peut pas modifier une politique automatisée.

Ce qu’il faut faire. Copiez le texte actuel de votre politique en lieu sûr avant d’activer quoi que ce soit. La politique d’expédition et les coordonnées sont les premiers candidats naturels, car ce sont elles qui changent le plus souvent. Laissez les conditions d’utilisation en manuel si un avocat les a rédigées.

8. Vendre dans plusieurs langues

Synchronisation automatique Translate & Adapt (9 octobre). Les boutiques basées dans 12 pays européens (Autriche, Belgique, Danemark, France, Allemagne, Irlande, Italie, Pays-Bas, Espagne, Suède, Suisse et Royaume-Uni) peuvent désormais laisser Shopify traduire jusqu’à 8 langues au lieu de 2, avec une synchronisation automatique hebdomadaire du contenu nouveau ou modifié par langue.²³ L’auto-synchronisation est désactivée par défaut et se paramètre par langue. Les traductions manuelles ne sont jamais écrasées, les politiques légales ne sont pas traduites automatiquement, et « Auto-translate » s’appelle désormais « Translate now » (Traduire maintenant). Utiliser Translate now, l’auto-synchronisation ou les deux pour une langue occupe l’un des huit emplacements, et supprimer la langue ne permet pas de récupérer cet emplacement.

Langues se lisant de droite à gauche (2 octobre). Shopify a amélioré la prise en charge de l’arabe, de l’ourdou et de l’hébreu dans l’interface d’administration et sur les vitrines, y compris le checkout, les comptes clients et la famille de thèmes Horizon.²⁴

Ce qu’il faut faire. Si vous vous trouvez dans l’un des 12 pays, activez la synchronisation automatique pour les langues dans lesquelles vous vendez déjà, puis effectuez des contrôles ponctuels sur les pages de produits après la première synchronisation, qui peut prendre jusqu’à une semaine. Choisissez de nouvelles langues de manière réfléchie, car les emplacements ne sont pas remboursés. Et relisez un échantillon de chaque langue : nous traduisons automatiquement ce blog en allemand et en français par machine, et les termes liés à la marque dérivent à presque chaque exécution.

9. Autres mises à jour Shopify d’octobre 2026 en bref

• Sidekick dans l’éditeur de checkout et de comptes clients (13 octobre). Il explique les paramètres de checkout et des comptes clients, recommande des applications, et dans Checkout Blocks, il aide à planifier des blocs pour les pages de checkout, de remerciement et de statut de commande. Il vous guide ; vous effectuez le changement.²⁵
• Payer les fournisseurs internationaux depuis Shopify Balance (6 octobre). Les utilisateurs éligibles de Balance aux États-Unis peuvent envoyer de l’argent à des destinataires dans 13 pays depuis l’application mobile Balance, pour 0,10 $ par transfert (0,50 $ vers Hong Kong et le Mexique) plus des frais de change de 0,75 %, avec une arrivée en un à trois jours ouvrables.²⁶
• Rapports de bons de commande (6 octobre). Trois nouveaux rapports Analytics couvrent les coûts des bons de commande, les transferts et ce qui est encore en commande, et les données peuvent être exportées.
• Points de retrait Royal Mail au checkout (15 octobre) pour les boutiques expédiant depuis des emplacements au Royaume-Uni, dans les succursales Post Office et les points de service client Royal Mail, avec les colis non récupérés conservés pendant 18 jours.
• Étiquettes DHL eCommerce aux Pays-Bas et en Pologne (16 octobre) : expéditions nationales depuis les Pays-Bas, et expéditions vers d’autres pays de l’UE depuis la Pologne.
• Suggestions pour la grille intelligente POS (smart grid) (12 octobre, POS 11.17 ou ultérieur). Des tuiles suggérées à partir de vos propres produits, réductions et activités POS, plus une incitation à supprimer les tuiles que personne n’a utilisées depuis un an.
• TikTok a annoncé Buy Direct et un Shopping Assistant (5 octobre) et a cité Shopify parmi les partenaires qui les développent. Il n’y a pas encore de date de lancement, de liste de marchés ou de frais, et rien n’est encore apparu dans l’interface admin de Shopify.²⁷
• Le trafic de parrainage (referral traffic) de ChatGPT a disparu pendant environ une semaine. À partir d’environ le 8 octobre, les liens à l’intérieur des réponses de ChatGPT ont cessé d’inclure le tag utm_source=chatgpt.com, de sorte que ces visites sont apparues comme du trafic direct. Les liens dans le panneau des sources et les liens d’achat l’ont conservé. Cedric Huesler d’Adobe a signalé un correctif en cours de déploiement à partir du 15 octobre et affirme qu’OpenAI lui a confirmé le bug, mais OpenAI n’a fait aucune déclaration publique, et la plupart des clics ChatGPT arrivent encore sans référent.²⁸ Si les visites via l’IA ont chuté pendant cette période, annotez-le avant de conclure que la demande a baissé.
• Pannes. Le moniteur tiers StatusGator en a enregistré trois courtes : des erreurs de connexion à l’admin, à la vitrine et au POS le 7 octobre (d’environ 13h15 à 14h06 UTC), des erreurs de vitrine au Royaume-Uni le matin du 8 octobre, et des échecs de connexion à l’admin d’environ 14h37 à 15h39 UTC cet après-midi-là. Shopify a reconnu celle-ci sur sa page de statut à ce moment-là, mais la page ne répertorie plus aucun incident en octobre. Le staff de Shopify a également confirmé une courte interruption de l’API Admin le 1er octobre et des erreurs intermittentes de l’Admin GraphQL le 14 octobre sur le forum des développeurs.²⁹
• Shopify publie ses résultats du troisième trimestre le 3 novembre, avant l’ouverture de la Bourse, la dernière mise à jour avant le BFCM.³⁰

De quoi parlent les marchands

Cinq thèmes ont parcouru la communauté durant la première moitié d’octobre. Le personnel de Shopify n’a répondu dans aucun des fils de discussion de marchands ci-dessous ; les seules publications du personnel sur le forum marchand étaient des annonces.

• La nouvelle interface d’administration est de loin le sujet qui suscite le plus de plaintes. Une douzaine de fils couvrent la barre latérale sombre, que les marchands malvoyants qualifient de problème d’accessibilité, la barre Sidekick qui ne peut pas être masquée, les commandes archivées qui n’ont plus l’air différentes, la recherche déplacée dans la barre latérale, la disparition des raccourcis clavier J et K, et l’édition plus lente des champs méta.³¹ Il n’y a toujours aucun moyen documenté de revenir en arrière. Les développeurs ont leur propre version : le fil de discussion développeur le plus commenté du mois demande comment supprimer Sidekick des applications intégrées (embedded apps), et le personnel a répondu le 8 octobre qu’aucune désactivation au niveau de l’application n’est prévue.³² Nous développons une application intégrée, et avons nous-mêmes publié dans ce fil au sujet du problème de deux fenêtres de chat qui se superposent.
• Se faire payer. Les blocages de paiements (Payout holds) que le support dit avoir « remontés » sans donner de délai courent sur plusieurs fils, dont un avec plus de 116 000 $ bloqués. Un fil ouvert le 18 octobre décrit toutes les méthodes de paiement refusées depuis le 17 octobre sur plusieurs boutiques appartenant à la même entreprise, sous le coup d’une règle de risque de fraude « le plus élevé ».³³ La nouvelle page des versements a également perdu son relevé propre et imprimable, ce que les comptables ont remarqué dès que cela a atteint leurs boutiques.
• Inquiétudes liées à la fraude, pour la plupart sans rapport avec la campagne. Les marchands ont remarqué que l’analyse des risques liés aux commandes ne montre plus la correspondance de l’adresse de facturation ni les indicateurs de localisation IP, mais seulement un verdict faible, moyen ou élevé, et indiquent que le support a parlé d’un nouveau changement.³⁴ Les piratages de comptes (Account takeovers) qui modifient les coordonnées bancaires de versement et les faux e-mails de « support de paiement Shopify » ont chacun eu droit à leur propre fil. La campagne de phishing du checkout n’avait qu’un petit fil au 19 octobre, ouvert cet après-midi-là par un marchand dont les clients sur trois boutiques avaient été redirigés vers un domaine checkout-guard en .top.³⁴
• Des changements arrivés sans prévenir selon les marchands. Un vendeur suédois indique que la TVA britannique a cessé d’être facturée depuis le 29 septembre sur les commandes de plus de 135 £ expédiées depuis l’UE, et que le support a confirmé le changement ; Shopify n’a rien publié à ce sujet. Les boutiques hors forfait Plus passant aux nouveaux comptes clients ont découvert que leurs applications de connexion sociale tierces cessaient de fonctionner, et l’une d’elles affirme que les inscriptions ont chuté de près de moitié. Les marchands qui s’appuyaient sur Stocky doivent encore répartir le fret et les droits de douane dans le coût unitaire à la main.²¹
• Des commandes IA que personne ne voit, et des suspensions Merchant Center. Les marchands signalent une poignée de sessions venant de ChatGPT et de Perplexity et presque aucune commande étiquetée comme IA, tandis que les clients qui disent avoir trouvé la boutique via ChatGPT apparaissent comme du trafic direct.³⁵ Le fil marchand le plus actif lancé dans cette période concerne les suspensions pour « fausse déclaration » sur Google Merchant Center, où les marchands continuent de trouver les mêmes causes : du texte générique de remplissage dans les pages de politique, et des noms/adresses d’entreprise qui diffèrent d’une page à l’autre. Universal Cart reposant sur les données de Merchant Center, et les politiques automatisées étant désormais disponibles, ce sujet mérite qu’on y consacre une heure ce mois-ci.

Le fil de discussion sur la préparation au BFCM revient sans cesse sur un échec de l’année dernière : les prix barrés combinés aux codes de réduction globaux de la boutique, se cumulant au-delà de ce que le marchand avait prévu.³⁵ Configurer l’offre dans les Déploiements (Rollouts) dès maintenant, puis passer une commande test avec un code de réduction global par-dessus, est un moyen peu coûteux de s’en assurer en octobre.

Les développeurs ont eu une quinzaine plus difficile que les marchands. Les déploiements de Functions avec des modules WebAssembly nouveaux ou modifiés ont été bloqués sans préavis le 2 octobre, le 8 octobre et les 15-16 octobre. Les décalages de mise en page (Layout shift) ont bondi dans toutes les applications intégrées lorsque la nouvelle interface a été mise en ligne, et cela a été corrigé le jour même. De fausses bannières « Cette application n’est pas prise en charge », causées par des tiers utilisant le token public d’une application, ont été supprimées les 6 et 8 octobre. Et le fil sur les tokens expirants demande toujours de reporter l’échéance du 1er janvier 2027 ; le staff a répondu le 14 octobre qu’il n’y avait pas encore de réponse.³⁶

Les mises à jour d’octobre classées par impact sur les marchands

Ce qu’il faut faire ce mois-ci : une checklist par type de boutique

Si vous êtes une marque D2C sur un forfait hors Plus :

• Faites le test du checkout dans une nouvelle fenêtre en navigation privée à chaque fois, une fois depuis la page du panier et une fois depuis le tiroir du panier, sur ordinateur et sur votre téléphone.
• Listez chaque app embed dans votre thème actif. Désactivez et désinstallez ceux que vous n’utilisez pas.
• Interrogez chaque fournisseur d’application de vitrine sur les script tags, et activez vous-même tout nouvel app embed, dans chaque thème que vous prévoyez de publier.
• Confirmez le paramètre de partage des prix barrés dans le mappage des données Catalog, et exécutez l’audit de données du catalogue.
• Lancez l’offre du Black Friday dans une expérimentation (forfait Grow et supérieur), et annotez le 21 septembre et du 8 au 15 octobre dans Analytics.

Si vous vendez à l’international (Cross-border) :

• Dans l’un des 12 pays Translate & Adapt, activez la synchronisation automatique pour vos langues existantes et relisez un échantillon de chacune.
• Avant d’automatiser votre politique d’expédition, sauvegardez le texte actuel, puis vérifiez la version automatisée avec vos zones d’expédition et numéros de TVA.
• Si vous expédiez depuis le Royaume-Uni : proposez les points relais Royal Mail. Depuis les Pays-Bas ou la Pologne : comparez les tarifs DHL eCommerce dans l’interface d’administration.
• Universal Cart est réservé aux États-Unis pour l’instant. Vos autres marchés ne sont pas affectés.

Si vous faites de la vente au détail ou utilisez le PDV (POS) :

• Mettez à jour vers POS 11.17 ou une version ultérieure pour les suggestions de la grille intelligente, et accordez l’autorisation « Personnaliser la grille intelligente » à la personne qui gère la mise en page.
• Si les magasins physiques expédient des commandes en ligne, essayez d’abord le traitement par lots là-bas.
• Déplacez tout modèle de reçu Liquid vers le nouvel éditeur de reçus avant la conversion automatique du 1er janvier 2027. La plupart des personnalisations migrent automatiquement, mais vérifiez les vôtres.

Si vous êtes développeur ou sur une architecture Headless :

• Tout ce qui appelle encore la version 2025-10 de l’API bascule désormais sur la 2026-01, qui elle-même sera retirée le 16 janvier 2027. Testez avec la 2026-04 ou une version ultérieure ; la 2026-10 est la dernière version stable.
• Déployez votre app embed si vous utilisez encore des script tags, faites un lien profond pour que les marchands l’activent, et supprimez votre script tag une fois l’embed confirmé en ligne.
• Exécutez shopify app security check avant chaque version, en particulier si une extension d’application de thème fait le rendu de paramètres de texte d’un marchand au format HTML.
• Déplacez les abonnements Events de unstable vers 2026-10, et passez les requêtes de segments à la syntaxe MATCHES.
• Ceux qui appellent l’API REST du Global Catalog ont jusqu’au 2 novembre pour passer au Global Catalog MCP.

Mises à jour pour les développeurs Shopify et la liste des échéances

Events est en disponibilité générale (GA). Le système de webhooks de nouvelle génération de Shopify est passé en GA sur la version 2026-10 de l’API le 1er octobre.³⁷ Les abonnements se configurent dans shopify.app.toml avec des déclencheurs, une requête GraphQL et un filtre, et 18 topics (sujets) sont disponibles, allant des produits et commandes aux métaobjets et transferts d’inventaire. Les webhooks classiques continuent de fonctionner, et une application peut exécuter les deux. Les utilisateurs de la version preview doivent seulement changer la version de l’API des événements de unstable à 2026-10.

Hydrogen 2026-10 est sorti. Le nouveau Hydrogen est une bibliothèque qui fonctionne avec n’importe quel framework JavaScript, avec des starters pour React Router et Next.js. Vercel maintient d’ailleurs une vitrine Next.js basée dessus.³⁸ Il utilise les mêmes actions de vitrine standard que les thèmes Liquid, fonctionne avec les agents WebMCP et inclut un ensemble de compétences (skills) pour agents. Les vitrines Hydrogen existantes continuent de fonctionner, et l’hébergement Oxygen est toujours gratuit.

Le contrôle de sécurité des applications. La nouvelle commande shopify app security check s’exécute localement dans le CLI ou la boîte à outils IA (AI Toolkit). Elle est open source et scanne le code de l’application, la configuration des extensions et les dépendances, et passe le relais à votre agent de code pour les cas plus complexes.⁴ Ses vérifications incluent le cross-site scripting dans les extensions de thème, les paramètres textuels rendus de façon non sécurisée en HTML, les URL de script tag qu’un attaquant pourrait contrôler, et les identifiants divulgués. Vu l’actualité du mois, exécutez-le.

Shop MCP pour les créateurs d’agents. Le serveur Shop MCP sur mcp.shop.com expose la recherche dans le catalogue, les paniers, le checkout, Shop Pay et la consultation des commandes, avec un nouveau CLI shop. Il n’y a pas de webhooks au lancement, les agents interrogent donc le statut du checkout (polling).¹⁰

Sidekick se superpose désormais aux applications intégrées. Un message du staff le 14 octobre a expliqué qu’après la refonte de l’interface d’administration, Sidekick flotte en bas au centre de chaque écran d’administration, y compris sur les pages des applications intégrées (embedded apps), et qu’il n’y a pas d’API pour le masquer. Shopify recommande aux applications de respecter les marges de sécurité (safe-area insets) et d’utiliser les notifications (toasts) d’App Bridge. Ce sont des recommandations, pas des exigences de l’App Store, et les développeurs s’y sont opposés dans les réponses.³⁹

Changements nécessitant du code, en bref :

• Les requêtes de segments de clients utilisent MATCHES et NOT MATCHES à partir de 2026-10, et les dates relatives comme -12m remplacent les dates nommées telles que 12_months_ago.
• Le consentement au marketing par SMS a été déplacé vers CustomerPhoneNumber.smsMarketingConsent, et les anciens champs de consentement SMS plats sont dépréciés.
• Les réductions qui appartiennent à un Déploiement (Rollout) ont une connexion rollouts sur la version 2026-10, et leurs propres dates de début et de fin ne suffisent plus à décrire totalement quand elles sont actives.
• Les extensions d’interface POS renvoient le pourcentage, et non le montant financier, pour les remises en pourcentage à partir de POS 11.15, quelle que soit la version d’API fixée. Sur 2026-10, les mutations de panier sont rejetées lorsque le POS ne confirme pas l’écriture.
• Une mise à jour de panier qui ne change rien ne déclenche plus carts/update (12 octobre).
• L’API Customer Account est limitée à 3 000 requêtes par minute par client et par boutique, partagées entre toutes les applications, avec un en-tête Retry-After sur les erreurs 429 (7 octobre).
• Les extensions d’interface utilisateur de checkout et de comptes clients doivent déclarer owner_type sur les champs méta dans la version 2027-01, et la condition de collection metafieldInteger de l’API Admin est supprimée dans la même version.

Le récapitulatif des échéances, par ordre chronologique : 1er octobre (les appels de création et de mise à jour des script tags échouent ; API 2026-10 stable ; passé), 15 octobre (le point de terminaison de dépôt de carte nécessite un certificat mTLS émis par Shopify ; passé), 16 octobre (version 2025-10 de l’API retirée ; passé), 23 octobre (la taxe est calculée sur les frais de retour pour les boutiques américaines utilisant Shopify Tax ou Tax Platform), 2 novembre (l’API REST Global Catalog cesse de traiter le trafic), 1er décembre (les applications de retours et d’abonnements labellisées Built for Shopify doivent connecter les acheteurs via l’API Customer Account), 1er janvier 2027 (des jetons d’accès hors ligne avec expiration seront exigés pour toutes les applications publiques ; les modèles de reçus Liquid POS convertis automatiquement ; 2027-01 stable), 16 janvier 2027 (version 2026-01 de l’API retirée), 1er mars 2027 (les script tags cessent de se charger sur les vitrines), 1er mai 2027 (les applications Built for Shopify doivent correspondre à la nouvelle interface de l’administration), 1er juillet 2027 (les expéditions gérées par marché seront activées pour chaque boutique, et chaque application devra être compatible).⁴⁰

Vers où se dirige Shopify

Le mois d’août était consacré au retrait par Shopify du code personnalisé de son chemin critique. Septembre était axé sur l’ajout de la distribution par défaut par Shopify. Octobre porte sur qui peut modifier ce que vos acheteurs voient, et trois parties ont gagné en portée au cours de la même quinzaine. La propre IA de Shopify peut désormais reconcevoir l’ensemble de la boutique via Canvas. Tout agent prenant en charge MCP peut y effectuer des recherches via Shop MCP et, pour un acheteur connecté avec Shop, payer sans l’ouvrir. Et les attaquants opérant à travers les systèmes des fournisseurs d’applications ont modifié ce que les acheteurs voyaient au moment de payer.

La date limite des script tags est le fil conducteur qui les relie. Depuis plusieurs années, Shopify déplace le code des endroits où il s’exécutait avec peu de limites (Shopify Scripts, scripts additionnels de checkout, script tags) vers des endroits aux limites définies et avec un bouton on/off visible (Functions, extensions de checkout, app embeds). La campagne de phishing montre où cela s’arrête : la charge utile de Hulk Product Options est passée par une extension d’application de thème, et un app embed exécute toujours ce que son fournisseur envoie. Un interrupteur aide le marchand à s’en rendre compte et à désactiver quelque chose. Il ne vérifie pas le code. Canvas aborde le problème de l’autre côté : plus l’IA de Shopify peut construire la vitrine par elle-même, moins les applications ont besoin d’y charger du code. Ses limites au lancement, sans app embeds et sans thèmes tiers du Theme Store, montrent le chemin qu’il reste à parcourir.

Pour un marchand, la liste pour le reste d’octobre est courte et sans fioritures : testez votre checkout, comptez vos app embeds, obtenez une date de chaque fournisseur encore sur des script tags, vérifiez ce que les agents peuvent lire dans votre catalogue, et exécutez un traitement par lots avant que novembre ne s’en charge à votre place.

FAQ