Attention aux applications de paiement Shopify : migration mTLS à compléter avant le 15 octobre

Le 16 juillet, Shopify a publié une mise à jour dans le journal des développeurs concernant un changement lié à la sécurité des données de paiement : les applications qui soumettent des données de titulaire de carte à Shopify d’une manière spécifique doivent compléter la migration mTLS avant le 15 octobre 2026.

Ce changement ne concerne pas toutes les applications Shopify, et toutes les applications de paiement ne seront pas affectées. Plus précisément, il concerne les applications qui soumettent des données de titulaire de carte de crédit brutes au point de dépôt de carte Shopify.

Si votre équipe maintient des applications de paiement Shopify, des outils de migration d’abonnement, des outils d’importation de méthodes de paiement, ou fournit un développement personnalisé pour des marques DTC, ce changement mérite d’être vérifié rapidement.

Quelles sont les exigences spécifiques de Shopify ?

Selon le changelog officiel de Shopify, le point de dépôt de carte de Shopify exige désormais que les requêtes soient accompagnées d’un certificat client mTLS émis par Shopify.

Le point de terminaison concerné est : https://checkout-mtls.pci.shopifyinc.com/sessions

Ce point de terminaison lui-même n’a pas changé, la modification réside dans le fait que chaque requête soumettant des données de titulaire de carte à ce point de dépôt doit désormais inclure un certificat client mTLS émis par Shopify.

La date limite de migration donnée par Shopify est le 15 octobre 2026. Après le début de l’exécution, si une requête ne dispose pas d’un certificat valide, la requête de dépôt concernée sera rejetée. Les applications qui n’auront pas complété la migration ne pourront plus soumettre de nouvelles données de titulaire de carte à Shopify.

Quelles API / applications seront affectées ?

Les applications concernées sont celles qui soumettent des données de titulaire de carte via le point de dépôt de carte Shopify et qui appellent ensuite les mutations de l’API GraphQL Admin suivantes :

• customerPaymentMethodCreditCardCreate
• customerPaymentMethodCreditCardUpdate

Ces deux types de mutations dépendent de sessionId. Ce sessionId provient de l’application qui soumet d’abord les données de carte au point de dépôt de carte /sessions de Shopify.

Le processus typique peut être compris comme suit : l’application traite les données de carte brutes dans un environnement conforme PCI ; soumet les données de carte au point de terminaison /sessions de Shopify ; Shopify renvoie un identifiant de session ; l’application appelle ensuite customerPaymentMethodCreditCardCreate ou customerPaymentMethodCreditCardUpdate, transmettant cet identifiant de session à Shopify.

Ces scénarios se rencontrent généralement dans des activités telles que la sauvegarde de cartes, la mise à jour de cartes, la migration de méthodes de paiement d’abonnement, et l’importation de méthodes de paiement client.

Quelles applications ne seront pas affectées ?

Shopify précise que customerPaymentMethodRemoteCreate n’est pas concerné par ce changement.

Si l’application se contente d’importer des références de méthodes de paiement existantes depuis des passerelles de paiement externes, telles que Stripe, Braintree, Authorize.Net, Adyen ou PayPal, et n’appelle que customerPaymentMethodRemoteCreate, alors aucune action n’est nécessaire concernant les exigences mTLS du point de dépôt de carte.

La raison en est que ces appels importent des références de méthodes de paiement existantes de passerelles externes et ne soumettent pas de données de titulaire de carte brutes au point de dépôt de carte de Shopify.

Qu’est-ce que mTLS ?

mTLS signifie TLS mutuel, c’est-à-dire une authentification TLS bidirectionnelle.

Dans un HTTPS/TLS ordinaire, le client vérifie généralement l’identité du serveur. Par exemple, lorsque le navigateur accède à un site web, il vérifie si le certificat du site est fiable. mTLS exige en outre que les deux parties vérifient l’autre : le client vérifie que le serveur est fiable, et le serveur vérifie également que le client est fiable.

Dans le contexte des paiements Shopify, la signification de mTLS est que la requête doit non seulement être transmise par un canal crypté, mais aussi prouver qui initie la requête.

Shopify mentionne également dans ses exigences techniques pour les extensions de paiement que les extensions de paiement doivent utiliser mTLS pour garantir la sécurité et la fiabilité de la communication bidirectionnelle entre Shopify et l’extension de paiement. Pour les requêtes de paiement, de remboursement, de capture, d’annulation, etc., initiées par Shopify vers le serveur d’application de paiement, l’application de paiement doit vérifier que la requête provient bien de Shopify.

Le point central de ce changelog est légèrement différent : il concerne les applications soumettant des données de carte au point de dépôt de carte Shopify, qui doivent fournir un certificat client émis par Shopify pour permettre à Shopify de vérifier l’identité de l’expéditeur.

Pourquoi Shopify effectue-t-il cette migration ?

La raison donnée par Shopify est très directe : tout le trafic de données de titulaire de carte atteignant le point de dépôt de carte doit pouvoir être attribué à un appelant authentifié.

En d’autres termes, Shopify souhaite s’assurer que chaque requête de données de carte soumise à ce point de terminaison puisse être confirmée quant à son origine.

Ce changement est également décrit par Shopify comme une préparation de sécurité importante avant le Black Friday et le Cyber Monday de 2026. Le certificat client mTLS est la condition préalable à ce que Shopify refuse le trafic de dépôt non authentifié par la suite.

Pour les applications traitant des données de paiement, c’est également une direction de mise à niveau de sécurité raisonnable : améliorer la visibilité du trafic de soumission des données de titulaire de carte, réduire le risque d’entrée de trafic non authentifié dans des points de terminaison sensibles, renforcer la confiance bidirectionnelle dans la chaîne de paiement, et établir des exigences opérationnelles plus claires pour la rotation et la surveillance des certificats.

Impact réel sur les développeurs et les prestataires de services

Si l’application est affectée, les impacts principaux se concentrent sur trois points.

1. Les requêtes de dépôt nécessitent une modification

Lors de l’appel au point de dépôt de carte /sessions, il est nécessaire d’inclure le certificat client mTLS émis par Shopify.

Les mutations de l’API GraphQL Admin existantes restent inchangées. Les appels à customerPaymentMethodCreditCardCreate et customerPaymentMethodCreditCardUpdate n’ont pas changé en raison de ce changement, et continuent de transmettre l’identifiant de session retourné par l’appel de dépôt.

2. Le processus OAuth n’est pas affecté

La documentation officielle de Shopify indique que mTLS n’est pas utilisé pour obtenir un jeton d’accès OAuth. Les requêtes utilisant les mutations GraphQL de Shopify continuent d’être authentifiées par un jeton d’accès OAuth. Ne considérez pas ce changement comme un ajustement de la méthode d’authentification OAuth.

3. Les certificats deviendront un nouvel objet opérationnel

Shopify mentionne que le premier certificat est émis manuellement par Shopify et nécessite généralement quelques jours. Une fois le premier certificat obtenu, la rotation ultérieure peut être effectuée de manière autonome via le service de signature de certificats de Shopify.

La durée de validité du certificat est d’un an. Manquer la rotation peut entraîner l’arrêt des dépôts, donc la date d’expiration du certificat doit être intégrée dans les processus de surveillance, d’alerte et de vérification des publications.

Liste de contrôle des actions recommandées

Si vous maintenez des applications de paiement Shopify, vous pouvez vérifier dans l’ordre suivant.

Étape 1 : Confirmer si des mutations affectées sont appelées

Vérifiez dans le code, les scripts de tâches, les outils de migration et les services en arrière-plan si customerPaymentMethodCreditCardCreate ou customerPaymentMethodCreditCardUpdate sont appelés.

Si c’est le cas, continuez à confirmer si des données de titulaire de carte brutes seront soumises au point de dépôt de carte /sessions de Shopify.

Étape 2 : Distinguer l’importation distante du dépôt de carte

Si vous n’appelez que customerPaymentMethodRemoteCreate et que vous importez uniquement des références de méthodes de paiement existantes de passerelles externes, selon les indications actuelles de Shopify, cela ne fait pas partie de la portée de la migration mTLS.

Si vous avez à la fois une logique d’importation distante et de dépôt de carte, vous devez les traiter séparément, et ne pas tirer de conclusions uniquement en fonction du nom de l’application ou du nom du module commercial.

Étape 3 : Demander un certificat client émis par Shopify

Shopify exige que les applications affectées demandent un certificat à shopify-mtls-partnerships@shopify.com. Lors de la demande, il est nécessaire de fournir l’ID client API et le contact technique.

Étant donné que le premier certificat est émis manuellement par Shopify et nécessite quelques jours, il n’est pas conseillé d’attendre octobre pour le traiter.

Étape 4 : Modifier l’appel de dépôt /sessions

Lors de l’envoi d’une requête à https://checkout-mtls.pci.shopifyinc.com/sessions, incluez le certificat. Une fois cela fait, continuez à transmettre l’identifiant de session retourné aux mutations de l’API GraphQL Admin correspondantes. La mutation GraphQL elle-même n’a pas besoin d’être ajustée pour l’authentification mTLS en raison de cette migration.

Étape 5 : Vérification et surveillance

Une fois la migration terminée, il est nécessaire de confirmer que le trafic de dépôt est désormais accompagné d’un certificat valide. Shopify vérifiera la transition de son côté.

Il est également conseillé d’ajouter une surveillance de la date d’expiration des certificats, de surveiller le taux d’échec des requêtes de dépôt, d’alerter sur les échecs de poignée de main mTLS, de simuler le processus de rotation des certificats, ainsi que d’évaluer les risques de gel de mise en production avant le 15 octobre.

Rappels pour les marques et les prestataires de services

Si vous êtes un commerçant Shopify, une marque DTC ou une équipe de commerce électronique transfrontalier, vous n’avez généralement pas besoin de gérer vous-même la migration du code mTLS. Cependant, si vous utilisez des services de paiement personnalisés, de migration d’abonnement, de sauvegarde de cartes, ou de migration de méthodes de paiement client, il est conseillé de confirmer avec le prestataire de services :

• Si cela implique customerPaymentMethodCreditCardCreate ou customerPaymentMethodCreditCardUpdate ;
• Si des données de titulaire de carte sont soumises au point de dépôt de carte Shopify ;
• Si un certificat client mTLS émis par Shopify a déjà été demandé ;
• Si la mise en production et la vérification peuvent être complétées avant le 15 octobre 2026 ;
• Si une surveillance de la rotation et de l’expiration des certificats a été mise en place.

Ces changements peuvent sembler être de bas niveau, mais si la date limite est manquée, l’impact peut se traduire directement au niveau commercial : de nouvelles données de carte ne peuvent pas être enregistrées, et les processus de migration des abonnements ou des méthodes de paiement client sont interrompus.

Résumé

La migration mTLS de Shopify vise à imposer des exigences d’authentification plus strictes pour les applications soumettant des données de titulaire de carte au point de dépôt de carte Shopify.

Les points d’attention principaux sont les applications appelant customerPaymentMethodCreditCardCreate, customerPaymentMethodCreditCardUpdate, et dépendant du processus de dépôt /sessions pour obtenir un identifiant de session.

Si l’application utilise uniquement customerPaymentMethodRemoteCreate pour importer des références de méthodes de paiement de passerelles externes, selon les indications actuelles de Shopify, aucune action n’est nécessaire concernant ce changement.

La date limite est le 15 octobre 2026. Étant donné que le premier certificat doit être émis manuellement par Shopify, et qu’une vérification et une surveillance doivent être mises en place après la mise en production, il est conseillé aux équipes concernées de vérifier, de demander le certificat et de compléter la validation en douceur le plus tôt possible.

Sources de référence

• Changelog des développeurs Shopify : Le point de dépôt de carte nécessite désormais un certificat mTLS (2026-07-16)
• Changelog des développeurs Shopify : Renouvellement du certificat client mTLS pour les applications de paiement (2026-04-16)
• API GraphQL Admin de Shopify : customerPaymentMethodCreditCardCreate / customerPaymentMethodCreditCardUpdate / customerPaymentMethodRemoteCreate
• Considérations d’implémentation des applications de paiement Shopify