La configuración de seguridad que uso en mis operaciones para proteger las tiendas Shopify de hackers incluye autenticación de dos pasos, correo secundario y claves de acceso biométricas. Son 4 medidas que implemento desde el día uno en cada tienda nueva.
¿Por qué empiezo por esto? Porque he visto operadores perder tiendas completas. Y cuando digo perder, hablo de perder acceso total, inventarios, bases de datos de clientes, campañas de Facebook conectadas — todo.
El otro día un alumno me escribió: "Andrey, mi tienda amaneció con productos que yo no subí y la configuración de pagos cambiada". Resultado: 3 semanas sin poder procesar pedidos mientras Shopify investigaba.
Por Qué Tu Tienda Shopify Es Un Blanco Fácil
Mira, los hackers saben que la mayoría de operadores de dropshipping:
- Usan la misma contraseña para todo
- Jamás configuran autenticación de dos pasos
- Acceden desde computadores públicos o redes WiFi abiertas
Tu tienda procesa plata real. Si vendes $2M COP al mes, eres un target jugoso. Y la mayoría de ataques no son hackers súper sofisticados — son bots automatizados probando contraseñas comunes.
He revisado casos de tiendas hackeadas y siempre es lo mismo: contraseña débil + cero configuración de seguridad.
Los 3 Ataques Más Comunes Contra Tiendas Shopify
- Ataques de fuerza bruta: Bots prueban miles de combinaciones de contraseña hasta encontrar la correcta
- Phishing de credenciales: Emails falsos que parecen de Shopify pidiendo que "confirmes" tu usuario y contraseña
- Malware en computadores: Software malicioso que roba contraseñas guardadas en el navegador
La diferencia entre perder la tienda o mantenerla segura son literally 10 minutos de configuración.
El Sistema de 4 Capas Que Uso Para Proteger Mis Tiendas
Vamos directo al método que implemento en todas mis operaciones:
Capa 1: Contraseña Robusta + Gestor
No uses la misma contraseña de tu Gmail o Facebook.
Genera una contraseña única para Shopify con estas características:
- Mínimo 12 caracteres
- Combinación de mayúsculas, minúsculas, números y símbolos
- Que NO contenga palabras del diccionario
- Que NO tenga datos personales (tu nombre, fecha de nacimiento, etc.)
Ejemplo de contraseña robusta: K9#mZ8$nQ2vX!
Usa un gestor de contraseñas. Yo uso LastPass para todas mis cuentas comerciales. Generas contraseñas únicas para cada plataforma y solo memorizas una contraseña maestra.
Capa 2: Correo Electrónico Secundario (Crítico)
Esto es obligatorio. Ve a tu panel de Shopify → Gestionar cuenta → Seguridad.
Agrega un correo secundario que cumpla estos requisitos:
- Diferente proveedor al principal (si tu principal es Gmail, el secundario que sea Outlook)
- Que SOLO tú tengas acceso
- Con autenticación de dos pasos activada también
¿Por qué esto es crítico? Si hackean tu correo principal O si simplemente pierdes acceso (le pasó a un alumno con un problema de dominio empresarial), el correo secundario es tu única forma de recuperar la tienda sin esperar semanas a que Shopify verifique tu identidad.
Capa 3: Autenticación de Dos Pasos (El Más Importante)
Acá es donde la mayoría la caga por pereza.
En Shopify → Gestionar cuenta → Seguridad → Autenticación en dos pasos → Activar.
Te va a pedir que escanees un código QR con Google Authenticator. Literal toma 30 segundos:
- Descarga Google Authenticator en tu celular
- Escanea el QR que te muestra Shopify
- Introduce el código de 6 dígitos que aparece en la app
- Guarda los códigos de respaldo en un lugar seguro
Importante: Los códigos de Google Authenticator cambian cada 30 segundos. No dependen de conexión a internet una vez configurados.
¿Cómo funciona? Cada vez que inicies sesión en Shopify:
- Introduces tu email y contraseña (factor 1)
- Introduces el código de 6 dígitos de Google Authenticator (factor 2)
Aunque un hacker tenga tu contraseña, necesita tu celular físico para entrar.
Capa 4: Claves de Acceso Biométricas (Opcional Pero Recomendado)
Esta función nueva de Shopify te permite usar:
- Huella digital
- Reconocimiento facial
- Código PIN del dispositivo
En lugar de escribir contraseña cada vez.
Se sincroniza entre dispositivos que tengan la misma cuenta (Google, Apple, etc.). Más cómodo y más seguro que contraseñas.
Configuración Paso a Paso (Toma 10 Minutos)
Te explico el proceso exacto que sigo:
Paso 1: Ve a tu dashboard de Shopify
- Esquina inferior izquierda → tu nombre/avatar
- "Gestionar cuenta"
Paso 2: Entra a la sección Seguridad
- Verás el estado actual: "No has creado una contraseña robusta", etc.
Paso 3: Configura correo secundario PRIMERO
- Agrega un correo que cumpla los requisitos que mencioné
- Verifica el correo (te llega un email de confirmación)
Paso 4: Activa autenticación de dos pasos
- "Método de autenticación: Desactivado" → Activar
- Escanea el QR con Google Authenticator
- Introduce el código de verificación
- IMPORTANTE: Descarga y guarda los códigos de respaldo
Paso 5: Crea clave de acceso (opcional)
- "Crear clave de acceso" → seguir instrucciones del dispositivo
- Configura huella/face ID/PIN según tu dispositivo
Los Errores Que Te Dejan Vulnerable (Y Cómo Evitarlos)
Error #1: Usar la Misma Contraseña Para Todo
He visto operadores usar la misma contraseña para Shopify, Facebook Ads, email, banco — todo.
Si hackean una cuenta, hackean todas.
Solución: Contraseña única para Shopify, diferente a cualquier otra cuenta.
Error #2: No Guardar Códigos de Respaldo
Google Authenticator está en tu celular. ¿Qué pasa si se te daña, se pierde o lo reseteas?
Quedas bloqueado de tu propia tienda.
Cuando actives autenticación de dos pasos, Shopify te da códigos de respaldo de un solo uso. Guárdalos en:
- Documento físico en lugar seguro
- Gestor de contraseñas
- Email cifrado
Error #3: Acceder Desde Redes Públicas Sin VPN
WiFi de cafeterías, centros comerciales, aeropuertos — son redes abiertas donde cualquiera puede interceptar datos.
Si accedes a Shopify desde ahí sin VPN, tus credenciales viajan sin cifrar.
Solución: Usa VPN siempre que accedas desde redes públicas. Yo uso NordVPN en todas mis operaciones.
Error #4: No Revisar Sesiones Activas
En Shopify puedes ver desde qué dispositivos y ubicaciones han accedido a tu cuenta.
Ve regularmente a Gestionar cuenta → Seguridad → Sesiones activas.
Si ves ubicaciones o dispositivos que no reconoces, cierra esas sesiones inmediatamente.
Qué Hacer Si Ya Te Hackearon
Si detectas actividad sospechosa:
- Cambia la contraseña INMEDIATAMENTE desde un dispositivo limpio
- Cierra todas las sesiones activas excepto la tuya
- Activa autenticación de dos pasos si no la tenías
- Revisa modificaciones recientes: productos, configuración de pagos, apps instaladas
- Contacta Shopify Support con evidencia del hackeo
Si no puedes acceder a tu cuenta:
- Usa el correo secundario para recuperar acceso
- Si no tienes correo secundario, contacta Shopify Support inmediatamente
- Tendrás que verificar tu identidad (puede tomar días o semanas)
Monitoreo Continuo: Las Alertas Que Configuro
Configuraciones de email que activo:
- Notificaciones de inicio de sesión desde nuevos dispositivos
- Cambios en información de facturación
- Instalación/desinstalación de apps
- Cambios en configuración de pagos
En Shopify → Settings → Notifications puedes personalizar qué eventos te notifican por email.
Revisión mensual que hago:
- Sesiones activas (cerrar las que no reconozco)
- Apps instaladas (desinstalar las que no uso)
- Usuarios con acceso a la tienda (remover ex-empleados, VAs que ya no trabajo)
- Logs de actividad reciente
Seguridad Para Equipos: Si Tienes VAs o Empleados
Nunca des credenciales de owner.
Crea cuentas de staff con permisos específicos:
- Staff: Pueden ver órdenes y productos, no pueden cambiar configuraciones críticas
- Editor: Pueden modificar productos y órdenes, no configuración de pagos
- Developer: Para programadores que necesitan acceso técnico limitado
En Shopify → Settings → Account → Permissions agregas usuarios por email y defines qué pueden hacer.
Protocolo para VAs:
- Cuenta de staff, nunca admin
- Autenticación de dos pasos obligatoria en su cuenta
- Remover acceso inmediatamente si termina la relación laboral
Herramientas Adicionales de Seguridad
Apps de Shopify Recomendadas
TinyIMG: Más allá de SEO, tiene funciones de seguridad para detectar malware en archivos subidos.
Locksmith: Para restringir acceso a ciertas páginas/productos por geolocalización (útil si solo vendes en ciertos países).
Fraud Filter: Shopify Plus incluye filtros avanzados de fraude, pero tiendas básicas pueden usar apps third-party.
Monitoreo Externo
Google Search Console: Configúralo para tu dominio. Te alerta si Google detecta malware o hackeos en tu sitio.
Sucuri SiteCheck: Herramienta gratuita para escanear tu tienda en busca de malware, blacklists, código malicioso.
Backup y Recuperación: Tu Plan B
Shopify hace backups automáticos, pero no controlas cuándo ni cómo restaurar.
Para backups adicionales uso:
- Rewind: App que hace snapshots diarios de toda la tienda (productos, temas, configuraciones)
- Export manual mensual: Descargo productos, órdenes y clientes en CSV
- Backup del tema: Descargo el código completo del tema personalizado
Si algo sale mal, puedes restaurar a un estado anterior sin depender 100% de Shopify Support.
Preguntas Frecuentes
¿Qué pasa si pierdo mi celular con Google Authenticator?
Usas los códigos de respaldo que guardaste cuando configuraste la autenticación. Cada código funciona una sola vez.
Si no guardaste los códigos, tendrás que contactar Shopify Support para que desactiven la autenticación de dos pasos. Esto puede tomar días.
¿Es seguro usar autenticación de dos pasos con SMS?
NO recomiendo SMS. Es vulnerable a ataques de SIM swapping (cuando alguien transfiere tu número a su celular).
Google Authenticator es mucho más seguro porque genera códigos offline.
¿Cada cuánto debo cambiar la contraseña?
Con autenticación de dos pasos activada, no necesitas cambiarla frecuentemente. Cada 6-12 meses está bien.
Cámbiala inmediatamente si:
- Sospechas que alguien más la conoce
- Accediste desde un computador público
- Recibes alertas de intentos de acceso sospechosos
¿Las claves de acceso biométricas son realmente más seguras?
Sí, porque:
- No se pueden adivinar como contraseñas
- No se pueden interceptar como SMS
- Están ligadas físicamente a tu dispositivo
Pero son más nuevas, así que algunos dispositivos/navegadores no las soportan aún.
La realidad es simple: 10 minutos de configuración te ahorran semanas de dolor de cabeza.
En este negocio el que no protege su operación, la pierde. Y cuando tienes una tienda generando plata real, no te puedes dar el lujo de asumir riesgos tontos.
La autenticación de dos pasos no es opcional. El correo secundario tampoco. Son la diferencia entre ser un operador profesional y ser otro que cuenta anécdotas de "cómo me hackearon la tienda".
Toma 10 minutos. Hazlo hoy.
