Depuis le 20 octobre 2026, une boutique Shopify ne laisse plus partir un client vers un autre site sans lui demander confirmation. Une fenêtre s'ouvre, affiche l'adresse de destination et propose deux boutons : revenir à la boutique ou continuer vers le site. Shopify présente ce changement comme une protection contre les redirections inattendues, et rien ne permet aujourd'hui de le désactiver.
Pour la plupart des boutiques, l'effet sera invisible. Pour celles qui envoient leurs clients vers un outil de réservation, une page de financement, un site vitrine séparé ou une seconde boutique, c'est une étape de plus dans le parcours, au moment où le client hésite déjà. Voici ce qui déclenche le message, ce qui y échappe, et la vérification à faire avant les fêtes de fin d'année.
Ce que Shopify a changé le 20 octobre
L'annonce tient en quelques lignes dans le journal des modifications de Shopify, publié le 20 octobre 2026 sous la rubrique Online Store : la boutique en ligne demande désormais au client de confirmer avant de l'envoyer vers un site extérieur. Le client voit un court message avec l'adresse du site, puis choisit de continuer ou de revenir.
La page d'aide qui accompagne le changement, « Understanding the confirmation when customers leave your store », en dit davantage. La fenêtre s'intitule « Are you sure you want to leave [nom de la boutique] ? » dans sa version anglaise, avec deux boutons : « Back to [nom de la boutique] » et « Go to site ». Elle peut s'ouvrir quand un lien ou un script de la boutique envoie le client hors du site. Shopify précise aussi que les liens ajoutés par les applications sont concernés, au même titre que ceux des menus.
L'objectif affiché est explicite : empêcher qu'un code installé sur la boutique redirige les clients vers une fausse page de paiement ou un site d'hameçonnage. La même page rappelle que le message ne signifie pas que le site de destination est dangereux. C'est un point de contrôle, pas un verdict.
Pourquoi maintenant
Shopify ne relie pas officiellement cette mesure à un incident. Le calendrier, lui, est parlant : entre le 10 et le 14 octobre, plusieurs applications Shopify compromises chez leurs éditeurs ont redirigé des clients vers de fausses pages de paiement. Nous avons détaillé cet épisode et le contrôle à faire dans notre article sur les apps Shopify piratées et les faux checkouts. Une fenêtre qui affiche l'adresse réelle de destination aurait donné au client une chance de voir que quelque chose clochait.
La logique d'ingénierie se défend. Une boutique Shopify exécute du code venu de dizaines de sources (thème, applications, scripts ajoutés à la main), et le marchand ne relit pas chaque ligne. Interposer une confirmation entre ce code et une sortie vers l'extérieur, c'est réduire le rayon d'action d'une application piratée. Le prix de cette sécurité est payé par les liens sortants légitimes.
Ce qui déclenche le message, et ce qui y échappe
D'après la page d'aide de Shopify, consultée le 23 octobre 2026, le message ne s'affiche pas pour les destinations suivantes :
| Destination | Message de confirmation |
|---|
| Domaines et sous-domaines de la boutique, listés dans la page Domaines de l'administration | Non |
| Le paiement (checkout) de la boutique | Non |
| Pages Shopify dont la boutique dépend (compte client, Shop Pay) | Non |
| Grands réseaux sociaux (Shopify cite Facebook, Instagram, TikTok, YouTube) | Non |
| Liens e-mail et téléphone, retour arrière du navigateur | Non |
| Tout autre site, y compris un site qui vous appartient mais n'est pas relié à la boutique | Oui, possible |
Deux zones restent floues. La liste des réseaux sociaux exemptés n'est donnée qu'à titre d'exemple : un lien WhatsApp, très utilisé par les commerces réunionnais pour le service client, n'y figure pas nommément. Ensuite, des marchands décrivent sur les forums de Shopify un comportement inégal d'une boutique à l'autre. Dans les deux cas, la seule réponse fiable est un test sur votre propre boutique.
Peut-on le désactiver ou déclarer des sites de confiance ?
Non, à la date de publication. La page d'aide est nette : « At this time, you can't turn off the message or choose websites that skip it. » Autrement dit, il est impossible pour l'instant de couper le message ou de choisir des sites qui y échappent. Des marchands rapportent la même réponse du support sur le forum de Shopify, et un développeur a ouvert le 21 octobre une demande sur le forum développeurs pour obtenir une liste de domaines de confiance, au motif que le sélecteur de pays entre deux boutiques d'une même marque déclenche désormais le message.
Un blog spécialisé affirme qu'un réglage de domaines de confiance serait apparu le 21 octobre dans les préférences de la boutique en ligne. Nous ne l'avons retrouvé ni dans le journal des modifications ni dans la page d'aide au 23 octobre. Si ce réglage arrive, ce sera une bonne nouvelle ; d'ici là, ne construisez rien en comptant dessus. Un coup d'œil dans Boutique en ligne puis Préférences suffit à vérifier s'il est apparu chez vous.
Le piège du conseil « reliez vos domaines »
Le journal des modifications indique qu'un site qui vous appartient mais n'est pas relié à la boutique peut déclencher le message. On en déduit vite qu'il suffit de « relier » ses autres sites pour les exempter. C'est vrai pour une partie seulement des cas, et c'est là que l'ingénierie compte.
Relier un domaine à Shopify, ce n'est pas le déclarer comme ami. C'est faire pointer ses enregistrements DNS (l'annuaire qui dit à quel serveur correspond une adresse) vers les serveurs de Shopify : l'enregistrement A vers l'adresse IP de Shopify, le sous-domaine www vers shops.myshopify.com. Une fois relié, ce domaine affiche la boutique. Votre site vitrine hébergé ailleurs, votre outil de réservation ou votre seconde boutique ne peuvent donc pas être « reliés » sans cesser d'exister à cette adresse.
Relier un domaine règle en revanche bien les cas suivants : un ancien nom de domaine que vous avez gardé et qui doit mener à la boutique, une variante (.re, .fr, .com) achetée pour protéger la marque, un domaine de campagne qui pointe vers une collection. Si l'un d'eux figure dans vos liens sans apparaître dans la page Domaines, l'ajouter supprime le message. Pour tout le reste, il faut traiter le lien lui-même.
La vérification à faire avant les fêtes
Le pic d'activité de fin d'année n'est pas le moment de découvrir qu'un parcours clé passe par une fenêtre d'avertissement. La vérification prend une heure, en cinq étapes.
1. Faire l'inventaire des liens sortants. Menus et pied de page, pages (livraison, retours, à propos), descriptions de produits, articles de blog, bannières. Le pied de page est l'endroit où se cachent le plus de liens oubliés : logos de partenaires, labels, anciennes campagnes.
2. Lister ce que les applications ajoutent. Chat et service client, formulaires d'e-mail, prise de rendez-vous, avis clients, paiement en plusieurs fois avec une page hébergée chez l'organisme de financement. La page d'aide le confirme : les liens ajoutés par les applications déclenchent le message.
3. Trier les destinations. Pour chaque lien sortant, trois cas : la destination peut être reliée à la boutique (ancien domaine, variante de marque), alors on la relie ; la destination peut être rapatriée (une fiche technique en PDF se dépose dans les fichiers Shopify, un formulaire de devis peut souvent être intégré à une page de la boutique), alors on la rapatrie ; ou elle doit rester externe (réservation, financement, seconde boutique), alors on garde le lien et on prépare le client.
4. Préparer le client quand le lien reste externe. Un bouton « Réserver » qui ouvre sans prévenir une fenêtre « Êtes-vous sûr de vouloir quitter ? » inquiète. Un bouton « Réserver sur notre plateforme de réservation » suivi d'une phrase qui annonce la redirection rassure. Le client qui lit l'adresse affichée doit y reconnaître ce qu'on lui a annoncé.
5. Tester sur téléphone, puis annoter. Cliquez chaque lien important depuis un mobile, en navigation privée. Si un lien que vous croyiez interne déclenche le message, c'est un signal à examiner : un domaine oublié, ou un script qui redirige sans que vous le sachiez. Notez enfin la date du 20 octobre dans votre outil d'analyse : si le taux de clics vers un partenaire baisse, vous saurez pourquoi.
Le message comme détecteur
Ce changement a un bénéfice que peu de marchands verront spontanément. La page d'aide de Shopify le dit elle-même : si vos clients voient le message à un endroit inattendu, ou s'il affiche un site que vous ne connaissez pas, une application ou du code du thème redirige peut-être vos clients. Un client qui vous écrit « j'ai eu un message bizarre en cliquant sur Ajouter au panier » vous signale potentiellement une compromission.
Shopify conseille alors de demander au client la page, le clic et le site affiché, de passer en revue les applications récemment installées ou mises à jour et le code du thème, puis de contacter le support avec une capture d'écran. Prévenez votre service client pour que ce type de remontée ne soit pas classé comme une simple bizarrerie.
Ce qu'il faut retenir
La confirmation de sortie est une bonne mesure de sécurité appliquée sans réglage, comme beaucoup de changements Shopify cette année. Elle ne casse rien, mais elle ajoute une étape à chaque parcours qui quitte la boutique, et le seul levier dont vous disposez aujourd'hui est la conception de ces parcours. C'est exactement le genre de changement silencieux qui justifie qu'une boutique qui vend soit une boutique surveillée, comme nous l'expliquions dans notre dossier sur la maintenance Shopify.
Si votre boutique renvoie vers une réservation, un financement ou un second site et que vous voulez savoir ce que vos clients voient réellement, nous pouvons faire cet inventaire avec vous. Notre audit gratuit couvre les parcours sortants, les applications et les domaines. Vous pouvez aussi découvrir notre accompagnement e-commerce, notre approche d'agence web à La Réunion, ou simplement nous écrire.
Sources
- Shopify Changelog, « New protection against unexpected redirects », 20 octobre 2026
- Shopify Help Center, « Understanding the confirmation when customers leave your store », consulté le 23 octobre 2026
- Shopify Help Center, connexion manuelle d'un domaine tiers (enregistrements A et CNAME)
- Shopify Developer Community, demande de liste de domaines de confiance, 21 octobre 2026
- Shopify Community, « Leave Store Confirmation: Please add an opt-out or trusted domain list », 21 octobre 2026
- eCommerce Paradise, « Shopify Now Warns Shoppers Before They Leave Your Store », octobre 2026
