Shopify beveiliging: wat regelt Shopify, wat regel jij?

"Is Shopify veilig?" Ja, het platform zelf wel. Maar de meeste incidenten bij Shopify-shops beginnen niet bij Shopify. Ze beginnen bij een gestolen wachtwoord, een app met te veel rechten of een script dat niemand meer kent.

Shopify beveiligt het platform. Jij beveiligt alles wat je erop zet en iedereen die erin mag. Dat heet shared responsibility. In dit artikel zie je precies waar de lijn loopt.

Het korte antwoord: gedeelde verantwoordelijkheid

Shopify is een gehoste SaaS-oplossing. Je hoeft geen servers te patchen, geen TLS-certificaten te verlopen en geen firewall te configureren. Dat scheelt een hele laag risico ten opzichte van zelf gehoste platformen.

Maar een gehost platform neemt niet jouw menselijke en commerciële keuzes over. Wie er inlogt, welke apps je installeert en welke scripts er in je checkout draaien, bepaal jij.

De eerlijke versie: "Shopify is veilig" en "mijn shop is veilig" zijn twee verschillende uitspraken.

Wat Shopify voor je regelt

Dit zit in het platform en kost je geen werk:

• Hosting en infrastructuur. Servers, netwerk, back-ups en beschikbaarheid draaien bij Shopify.
• Patching van het platform. Kwetsbaarheden in de kern van Shopify los jij niet op. Dat doet Shopify.
• TLS/HTTPS. Je shop draait standaard over een versleutelde verbinding.
• Betaalomgeving. Shopify staat bekend als PCI DSS Level 1 service provider. Dat is het hoogste niveau voor betaalverwerkers. Controleer de actuele attestatie in Shopify's eigen compliance-documentatie.
• Beveiligingsopties in de admin. Twee-staps-verificatie, security keys en passkeys zijn beschikbaar. Aanzetten moet je zelf (of je medewerkers).

Let op de nuance bij PCI. Die status geldt voor Shopify's eigen systemen. Je hebt als merchant nog steeds eigen verplichtingen, zoals de jaarlijkse zelfevaluatie (SAQ). Welke vragenlijst bij jouw situatie hoort, hangt af van hoe je betalingen afhandelt. Controleer dat bij je payment provider of bij de PCI Security Standards Council.

Wat jij zelf regelt

Dit is het deel waar het misgaat. Zes gebieden:

1. Staff accounts en inloggen

Elke gebruiker met admintoegang is een mogelijke ingang. Shopify raadt aan dat ook je medewerkers twee-staps-verificatie instellen. Als eigenaar kun je dat op reguliere plannen niet voor ze doen. Zij moeten het zelf activeren. Afdwingen kan op Plus. Controleer dat in de actuele Shopify-documentatie voor jouw plan.

Concreet:

• Zet 2FA aan voor alle gebruikers. Kies liever een passkey of security key dan sms.
• Geef medewerkers alleen de rechten die ze nodig hebben. Een marketeer hoeft geen betalingsinstellingen te zien.
• Verwijder oud-medewerkers en freelancers direct na het einde van de samenwerking.
• Gebruik geen gedeelde accounts. Dan weet je bij een incident niet wie wat deed.
• Bewaar recovery codes offline.

2. Apps en hun permissies

Elke app krijgt via scopes toegang tot data. Een reviewapp die klantgegevens, bestellingen en producten mag lezen en schrijven, vraagt meer dan nodig is.

• Lees de gevraagde permissies voor je installeert.
• Verwijder apps die je niet meer gebruikt. Verwijderen is veiliger dan uitzetten.
• Weet welke apps klantdata buiten Shopify opslaan. Dat is een AVG-vraag, niet alleen een securityvraag.
• Kijk wie de app bouwde en hoe het support-kanaal eruitziet.

Meer over het kiezen van apps lees je op onze pagina over Shopify apps.

3. Thema-code en scripts van derden

Elke tracking pixel, chatwidget en A/B-testtool is code van iemand anders in jouw shop. Gaat die leverancier fout, dan gaat jouw checkout mee.

PCI DSS 4.0.1 stelt eisen aan scripts die in de browser van de klant draaien op betaalpagina's (requirements 6.4.3 en 11.6.1). Die verantwoordelijkheid ligt bij jou als merchant. Hoe zwaar dat voor jouw checkout weegt, hangt af van je opzet. Vraag het na bij je PCI-assessor of payment provider.

Praktisch: houd een lijst bij van elk script, wie het toevoegde en waarom. Een script zonder eigenaar haal je weg.

4. API-tokens en integraties

Custom apps en koppelingen met je ERP, WMS of PIM werken met API-tokens. Zo'n token is een sleutel.

• Geef elke integratie een eigen token met minimale scopes.
• Zet tokens niet in code die in git of in de browser belandt.
• Roteer tokens bij elk personeelswissel of vermoeden van lekken.

Meer over beveiliging van koppelingen: API-beveiliging voor e-commerce integraties.

5. Domein, DNS en e-mail

Je domein is je identiteit. Wie je DNS overneemt, kan je shop omleiden en namens jou mailen.

• Zet 2FA op je domeinregistrar en DNS-provider.
• Stel SPF, DKIM en DMARC in voor je verzenddomein. Zo worden phishingmails die jouw naam misbruiken eerder geweigerd.
• Houd registrar-gegevens actueel, zodat je meldingen niet missen.
• Zet automatische verlenging aan.

6. Phishing tegen jou als merchant

Aanvallers mailen je niet als "hacker". Ze sturen een nette melding dat je betaling mislukt is of dat je account wordt opgeschort. Via een inlogpagina die er echt uitziet, halen ze je gegevens op.

Log in via je eigen bladwijzer, niet via een link in een mail. Een passkey of security key helpt hier extra, omdat die niet werkt op een nagemaakte site.

Checklist: wie doet wat

Zie het als een dagelijkse hygiëne-check. Je loopt de tabel een paar keer per jaar door, niet eenmalig.

Checkout, Plus en scripts: wat is de stand?

Als je nog oude checkout-aanpassingen hebt, dan is dit relevant. De bronnen die ik vond zijn overwegend van derden. Controleer de datums in Shopify's eigen documentatie. Het beeld:

• checkout.liquid, Additional Scripts en script tags zijn uitgefaseerd voor de Thank You- en Order Status-pagina's. Voor Plus-shops was dat eind augustus 2025.
• Shopify Scripts (de Ruby-scripts voor kortingen en verzendlogica) stopten volgens de bronnen op 30 juni 2026.
• Niet-Plus-shops kregen een deadline eind augustus 2026 voor Thank You en Order Status. De bronnen zeggen dat niet-geüpgradede shops automatisch zijn overgezet.

Waarom dit een securitypunt is: de nieuwe route is checkout extensibility met apps, UI-extensies en web pixels in een afgeschermde omgeving. Ongecontroleerde code rechtstreeks in de checkout is daarmee niet meer de norm. Dat verkleint de kans dat een derde script betaalgegevens meeleest.

Heb je tracking uit het oude Additional Scripts-veld verloren? Die hoort nu in web pixels. Lees de details in onze artikelen over checkout extensibility en Scripts migreren naar Functions. Meer over de Plus-mogelijkheden staat op de Shopify Plus-pagina.

Veelvoorkomende incidenttypes

Geen verhalen, wel patronen. Dit zijn de categorieën die in de praktijk terugkomen:

• Overgenomen admin-account. Via hergebruikt wachtwoord, phishing of een medewerker zonder 2FA.
• Misbruikte app of token. Een app met brede scopes of een uitgelekt API-token geeft toegang tot klantdata.
• Kwaadaardig of gehackt script. Een derde partij laadt extra code in je storefront, zoals een skimmer.
• Domein- of DNS-kaping. Een account bij je registrar wordt overgenomen of een domein verloopt.
• Spoofing van je merk. Iemand mailt namens jouw domein omdat DMARC ontbreekt.
• Datalek via spreadsheets of exports. Klantdata belandt in mail, Drive of een tool zonder toegangsbeheer.

"Shopify gehackt" is daarom meestal onnauwkeurig. In de meeste gevallen is een account of een component van de merchant overgenomen, niet het platform.

Wat je doet als je account gecompromitteerd is

Handel in deze volgorde. Elke minuut telt.

1. Neem het account terug. Reset het wachtwoord van de eigenaar en zet 2FA aan of opnieuw aan. Gebruik het officiële herstelkanaal.
2. Zet alle sessies uit en verwijder verdachte gebruikers. Controleer ook de rechten van legitieme staff.
3. Roteer alles wat toegang geeft. API-tokens, app-koppelingen, webhooks en wachtwoorden van gekoppelde systemen.
4. Controleer apps en thema. Zoek naar onbekende apps, nieuwe scripts en wijzigingen in thema-code.
5. Check betalingen en uitbetalingen. Kijk naar gewijzigde bankgegevens of payout-instellingen.
6. Controleer domein en DNS. Zijn records of e-mailforwarders aangepast?
7. Neem contact op met Shopify Support en met je payment provider.
8. Beoordeel de meldplicht. Is persoonsgegevens-data gelekt, dan kan een melding bij de Autoriteit Persoonsgegevens verplicht zijn, vaak binnen 72 uur. Dit is geen juridisch advies. Overleg met een jurist of je functionaris gegevensbescherming.

Leg alles vast met tijdstippen. Dat helpt bij de analyse en bij eventuele meldingen.

Wanneer het meer is dan hygiëne

Een standaardshop met een paar apps en strikte accounts komt een heel eind met bovenstaande. Maatwerk verandert het plaatje: custom apps, headless frontends en integraties met Laravel of een ERP voegen eigen aanvalsvlak toe. Dan hoort security in het ontwerp, niet achteraf in een checklist. Hoe wij daar tegenaan kijken, lees je op onze securitypagina.

De kosten van goede beveiliging zijn overigens beperkt. De meeste maatregelen hierboven kosten tijd, geen licentie. Wat een shop per groeifase kost, lees je in Shopify kosten per groeifase. Een overzicht van het platform staat op onze Shopify-pagina.

Veelgestelde vragen

Is Shopify veilig?

Ja, het platform is goed beveiligd en de infrastructuur wordt door Shopify beheerd. Maar jouw accounts, apps, scripts en domein vallen onder jouw verantwoordelijkheid. Een veilig platform beschermt je niet tegen een medewerker zonder 2FA of een app met te veel rechten.

Kan een Shopify-shop gehackt worden?

De shop kan overgenomen worden, meestal via een gestolen wachtwoord, phishing, een misbruikte app of een kwaadaardig script. Het platform zelf is zelden het zwakke punt. Met 2FA, beperkte rechten en opgeruimde apps verklein je de kans flink.

Hoe beveilig ik mijn Shopify-account?

Zet 2FA aan, bij voorkeur met een passkey of security key. Laat alle medewerkers hetzelfde doen. Beperk staffrechten, verwijder oude gebruikers en klik niet op inloglinks in e-mails. Beveilig ook het e-mailaccount dat aan je Shopify-account hangt.

Is mijn shop automatisch PCI-compliant?

Niet volledig. Shopify heeft als platform PCI DSS Level 1 status, maar als merchant heb je eigen verplichtingen, zoals een jaarlijkse zelfevaluatie en controle op scripts bij je checkout. Controleer bij je payment provider welke vragenlijst voor jou geldt.

Wat doe ik eerst als mijn Shopify-account gehackt is?

Neem het eigenaaraccount terug met een wachtwoordreset en 2FA. Zet daarna sessies uit, verwijder verdachte gebruikers en roteer API-tokens. Neem vervolgens contact op met Shopify Support en je payment provider.

Hulp bij een securitycheck

Wil je weten waar jouw shop staat op accounts, apps, scripts en koppelingen? Neem contact op. We lopen de lijst samen door en zeggen eerlijk wat nodig is en wat niet.