Guide de la pile technologique · État des lieux au 23 octobre 2026

Shopify : guide de préparation

Ce que les 13,085 sites mesurés sur cette plateforme hébergée font bien, leurs lacunes et les mesures propres à Shopify qui comblent chacune d’elles.

Sites évalués: 13,085
Indice médian de préparation: 76/100
Profils utilisant cette pile technologique: 557

Préparation par axe

Activer

93/100

Tous les sites 77

Renforcer

64/100

Tous les sites 55

Accélérer

82/100

Tous les sites 63

Récupérer

7/100

Tous les sites 11

Le guide pratique Shopify

Lacunes classées par impact, avec la mesure propre à la plateforme lorsqu’elle existe.

HSTS conservé pendant au moins un an
3.7% observé · tous les sites 31%
Envoyez Strict-Transport-Security dans les réponses HTTPS. Commencez par une valeur max-age courte (par exemple 300 secondes), vérifiez que chaque sous-domaine fonctionne en HTTPS, puis augmentez-la par étapes jusqu’à 31536000. Ajoutez includeSubDomains uniquement lorsque tous les sous-domaines utilisent HTTPS. Le préchargement HSTS est facultatif et difficile à annuler ; hstspreload.org lui-même ne le recommande pas par défaut.
Guide : Guide HTTPS et TLS pour propriétaires de sites
La politique DMARC impose la mise en quarantaine ou le rejet
25% observé · tous les sites 31%
Publiez d’abord DMARC avec p=none et une adresse de réception des rapports, corrigez les problèmes des expéditeurs légitimes qui échouent à l’alignement SPF ou DKIM, puis passez à quarantine et enfin à reject.
Guide : Un contrôle pratique de l’état du site pour propriétaires
security.txt publié
<1% observé · tous les sites 5.5%
Publiez /.well-known/security.txt avec au minimum les champs Contact et Expires, comme l’exige la RFC 9116, et vérifiez-le avant son expiration.
Guide : Un contrôle pratique de l’état du site pour propriétaires
Les enregistrements CAA limitent les entités autorisées à émettre des certificats
28% observé · tous les sites 11%
Publiez des enregistrements CAA désignant toutes les autorités de certification que vous utilisez réellement, y compris celles que votre CDN utilise pour les certificats gérés. Ajoutez un contact iodef si vous souhaitez recevoir des rapports.
Guide : Guide HTTPS et TLS pour propriétaires de sites
Formats d’image modernes utilisés
53% observé · tous les sites 40%
Servez des images WebP ou AVIF avec une solution de repli JPEG ou PNG, soit via un CDN d’images, soit en générant les deux formats lors de la compilation.
Sur Shopify : Le CDN d’images de Shopify peut fournir des formats modernes ; suivez les recommandations de Shopify sur les performances web des thèmes.
Guide : AVIF, WebP, JPEG et PNG : choisissez le bon format d’image
DNSSEC signé
6.8% observé · tous les sites 8.1%
Activez DNSSEC chez votre fournisseur DNS, puis ajoutez l’enregistrement DS chez votre bureau d’enregistrement. Planifiez soigneusement les changements de fournisseur : un enregistrement DS obsolète peut empêcher la résolution du domaine.
Guide : Préparation à la disponibilité du site web — se préparer avant l'arrivée du trafic
Referrer-Policy défini
2.4% observé · tous les sites 23%
Envoyez Referrer-Policy: strict-origin-when-cross-origin, sauf si vous avez une raison de partager davantage d’informations.
Guide : Un contrôle pratique de l’état du site pour propriétaires
Serveurs de noms répartis entre plusieurs fournisseurs
7% observé · tous les sites 11%
Considérez cela comme une étape avancée. Ajoutez un fournisseur DNS secondaire au moyen de transferts de zone ou d’une configuration multifournisseur, puis testez soigneusement les modifications, car les deux fournisseurs doivent rester synchronisés.
Guide : Préparation à la disponibilité du site web — se préparer avant l'arrivée du trafic

Domaines dans lesquels les sites Shopify se distinguent

Politique de sécurité du contenu présente96% observéstous les sites 31%
HTTP/3 annoncé96% observéstous les sites 36%
X-Content-Type-Options: nosniff98% observétous les sites 48%
Intégration dans des cadres restreinte98% observétous les sites 49%

Un note sur les plateformes hébergées

Sur Shopify, la plateforme contrôle une grande partie de la configuration TLS, des en-têtes et de la mise en cache. Les propriétaires peuvent surtout agir sur les vérifications liées au contenu, comme les images, les données structurées, les aperçus sur les réseaux sociaux et le plan du site. Les lacunes au niveau des en-têtes méritent d’être signalées à la plateforme.

Les 31 vérifications sur Shopify

Contrôle	Axe	Observé	Tous les sites	Mesuré
Les requêtes HTTP sont redirigées vers HTTPS	Renforcer	>99%	91%	12,447
HSTS conservé pendant au moins un an	Renforcer	3.7%	31%	13,085
TLS 1.3 négocié	Renforcer	>99%	92%	12,984
Le certificat reste valide plus de 14 jours	Renforcer	>99%	>99%	12,984
Durée de validité du certificat de 100 jours ou moins	Renforcer	>99%	75%	12,984
Les enregistrements CAA limitent les entités autorisées à émettre des certificats	Renforcer	28%	11%	13,085
DNSSEC signé	Renforcer	6.8%	8.1%	13,084
security.txt publié	Renforcer	<1%	5.5%	12,878
La politique DMARC impose la mise en quarantaine ou le rejet	Renforcer	25%	31%	13,083
X-Content-Type-Options: nosniff	Renforcer	98%	48%	13,085
Intégration dans des cadres restreinte	Renforcer	98%	49%	13,085
Politique de sécurité du contenu présente	Renforcer	96%	31%	13,085
Referrer-Policy défini	Renforcer	2.4%	23%	13,085
HTTP/2 négocié	Accélérer	>99%	89%	12,984
HTTP/3 annoncé	Accélérer	96%	36%	13,085
HTML compressé	Accélérer	>99%	93%	13,085
Fichiers statiques mis en cache pendant 30 jours ou plus	Accélérer	69%	50%	12,582
Formats d’image modernes utilisés	Accélérer	53%	40%	12,971
Images hors écran chargées à la demande	Accélérer	91%	61%	12,872
Aucun script bloquant le rendu dans l’élément head	Accélérer	63%	44%	13,085
robots.txt publié	Activer	95%	79%	12,769
Plan de site XML détectable	Activer	>99%	73%	13,070
Accessible via IPv6	Activer	46%	44%	13,083
URL canonique déclarée	Activer	>99%	70%	13,085
Méta-description rédigée	Activer	98%	82%	13,085
Zone d’affichage mobile configurée	Activer	>99%	96%	13,085
Données structurées présentes	Activer	84%	53%	13,085
Image d’aperçu pour les réseaux sociaux définie	Activer	76%	55%	13,085
Langue de la page déclarée	Activer	99%	91%	13,085
Au maximum une redirection vers la page d’accueil	Activer	>99%	98%	13,085
Serveurs de noms répartis entre plusieurs fournisseurs	Récupérer	7%	11%	13,021

Sites Shopify à haut niveau de préparation

À consulter aussi

Guide du service : Shopify Tous les guides pratiques par pile technologique