Panne Shopify en direct : checkouts et caisses à l’arrêt, les PME françaises exposées

Shopify traverse une panne mondiale. Le 3 juin 2026 ^[1], la plateforme canadienne ^[2] a publié un avis officiel reconnaissant un incident non résolu touchant simultanément quatre briques critiques de son écosystème: interfaces d’administration, tunnels de paiement (checkouts), vitrines marchandes (storefronts) et terminaux de point de vente physique (Retail POS) ^[3]. L’accès au support client est lui aussi coupé ^[4].

LES ENJEUX

Continuité d'activité des PME e-commerce

Un incident SaaS chez Shopify met simultanément à l'arrêt admins, checkouts et caisses physiques. Pour 51% des boutiques françaises exploitées sans salariés, aucun plan B opérationnel n'existe.

Dépendance critique à une plateforme étrangère

Shopify (société canadienne) capte 48,8% des nouvelles boutiques créées en France en 2025. Données de paiement hors UE, Cloud Act applicable, SLA contractuels symboliques: la souveraineté numérique des marchands est limitée.

Communication de crise et image de marque

Le message d'erreur 'This store does not exist' laisse croire aux clients que la boutique est frauduleuse. Le dommage réputationnel survit à la panne.

Cyber-résilience structurelle des TPE/PME

72% des TPE-PME n'ont aucun salarié dédié à la cybersécurité. Quatre leviers concrets existent pourtant: caisse bancaire de secours, page de maintenance hors plateforme, canal client alternatif, lecture du SLA.

Récidive d'incident en moins de six mois

Une panne similaire avait paralysé Shopify le 1er décembre 2025, avec un pic de 4 000 signalements. La répétition interroge la robustesse de l'infrastructure.

Sur sa page de statut, l’éditeur indique laconiquement: « We are investigating and will keep you updated » ^[5]. Aucune cause n’a été communiquée à la date de publication. Shopify n’a, à ce stade, pas qualifié l’événement de cyberattaque - le terme officiel reste celui d’incident.

Une chronologie qui s’emballe en milieu de journée

Les premiers signalements remontent à 9h20 EDT, soit 15h20 heure de Paris ^[6]. Le communiqué officiel Shopify suit à 13h27 UTC ^[7], une mise à jour de l’enquête tombe à 13h45 UTC ^[8]. Sur Downdetector, la répartition des plaintes est éclairante: 75% concernent le site web, 15% l’application, 10% la connexion ^[9][10][11].

Détail crucial pour les marchands: l’API Subscriptions est elle aussi tombée. Un développeur rapporte que « selling plans have inconsistent state » et que les requêtes GraphQL renvoient un « Not found » sur les mutations de création ^[12]. Le rétablissement est intermittent: « Came back for a few minutes, then went down again » ^[13]. Plusieurs commerçants signalent l’impossibilité d’encaisser en magasin via le POS ^[14]. À la mi-après-midi, un utilisateur indique pouvoir se reconnecter à son compte sans que sa boutique soit pour autant accessible ^[15].

« This store does not exist »: quand le message d’erreur tue la confiance

L’incident expose un angle mort de la communication de crise. Les boutiques inaccessibles affichent un message brutal: « This store does not exist » ^[16]. Plusieurs marchands dénoncent un libellé désastreux: « This makes Shopify stores look bad when it’s a Shopify problem. They need to say something like « Shopify is having technical difficulties » » ^[16]. Un autre vendeur résume: « We look like a scam or fraud store » ^[17]. Pour des PME qui investissent des mois à bâtir leur image, ce message renvoyé à leurs clients pendant plusieurs heures représente un dommage réputationnel direct, indépendant de la panne elle-même.

Un précédent récent: le Cyber Monday 2025

L’épisode rappelle furieusement celui du lundi 1er décembre ^[18]. Ce jour-là, Shopify avait subi une avarie technique majeure bloquant l’accès aux interfaces de gestion de milliers de boutiques ^[19]. Le pic d’incidents avait été atteint à 11h00 sur la côte Est des États-Unis (17h à Paris) avec plus de 4 000 signalements simultanés ^[20][21]; 2 400 utilisateurs rapportaient encore des difficultés à 12h37 ^[22][23]. Au Royaume-Uni, un pic de 2 500 signalements avait été enregistré à 9h45 (10h45 à Paris) ^[24][25]. Là aussi, les terminaux physiques en magasin avaient été touchés ^[26]. Shopify avait fini par identifier « un problème dans son flux d’authentification de connexion » ^[27].

Quelques mois plus tard, la mécanique se répète. Avec une question lancinante: qu’est-ce qui, dans l’architecture de la plateforme, expose à nouveau l’ e-commerce français - où WooCommerce, Shopify et PrestaShop totalisent à eux trois plus de 111 000 boutiques actives ^[28] - à un point unique de défaillance?

La France, marché stratégique devenu vulnérable

L’impact hexagonal est massif. Selon le baromètre publié par Friends of Presta le 26 mars 2026 ^[29], basé sur l’analyse de 125 512 sites e-commerce actifs ^[30] - soit 82% du marché français estimé par la FEVAD ^[31] - Shopify capte 48,8% des nouvelles boutiques créées en France en 2025 ^[32]. À titre de comparaison, PrestaShop n’en récupère que 5,4% ^[33]. WooCommerce, Shopify et PrestaShop représentent ensemble près de 9 sites e-commerce sur 10 ^[34][35].

Le e-commerce français pèse désormais plus de 200 milliards d’euros ^[36]. Shopify y génère un chiffre d’affaires cumulé de 5,76 milliards d’euros ^[37], derrière PrestaShop (7,96 milliards) ^[38] mais devant WooCommerce (4,79 milliards) ^[39].

L’angle mort: 51% des boutiques n’ont aucun salarié

C’est le chiffre que personne ne met en avant dans la couverture de l’incident. Selon le même baromètre, 51% des sites e-commerce français sont exploités par des structures sans salariés ^[40] - des soloentrepreneurs. Quand le tunnel de paiement de leur boutique tombe pendant plusieurs heures un jour ouvré, il n’y a personne pour activer un plan de continuité, basculer sur un canal de secours ou rassurer les clients en temps réel. La panne Shopify ne frappe pas des directions e-commerce dotées de cellules de crise: elle frappe des indépendants seuls face à leur dashboard.

Souveraineté numérique: les données de paiement hors de portée du marchand

Au-delà de l’indisponibilité technique, l’incident pose une question rarement formulée par les marchands au moment de leur inscription: où sont les données? Shopify est une société canadienne ^[2], dont les flux de paiement transitent par Shopify Payments ^[41], lui-même opéré sur une infrastructure cloud nord-américaine. Pour un marchand français, cela signifie que les données personnelles de ses clients (nom, adresse, panier, parfois carte bancaire) sont traitées sous un régime hybride: le RGPD impose certes des garanties contractuelles au sous-traitant Shopify, mais le Cloud Act américain, selon plusieurs sources, permet en théorie à des autorités étrangères d’exiger l’accès aux données stockées par leurs entreprises nationales, même hors de leur sol.

Sur le plan contractuel, les CGU de la plupart des plateformes SaaS plafonnent la responsabilité à quelques mois d’abonnement en cas d’indisponibilité - un montant sans commune mesure avec une journée de chiffre d’affaires perdue pour un marchand en pleine campagne. La CNIL et la FEVAD se sont à plusieurs reprises inquiétées de cette dépendance aux SaaS extra-européens pour des flux contenant des données personnelles sensibles, sans qu’aucune doctrine claire ne s’impose à l’échelle européenne.

Cyber-: ce qu’un marchand Shopify peut activer dès demain

Les chiffres de l’ANSSI ^[42] donnent l’échelle du problème structurel. L’agence a traité 4 386 cyberattaques en France en 2024 ^[43], en hausse de 15% par rapport à 2023 ^[44]. Et 60% des cyberattaques en France ciblent les plus petites entreprises ^[45]. Surtout: dans 50% des cas, une attaque entraîne un risque de défaillance dans les six mois ^[46]. Les TPE-PME et ETI concentrent 40% des attaques par rançongiciel rapportées à l’agence ^[47]. Selon le point cybersécurité 2025 du BGE, 72% des TPE-PME ne comptent aucun salarié dédié à la cybersécurité ^[48].

David Ofer, président de la fédération française de Cybersécurité ^[49], constate: « Le sujet cyber est très bien encadré au niveau des OIV, des grands groupes et des grosses ETI, mais dès que l’on descend vers les TPME, très nombreuses en France, on s’aperçoit qu’il n’y a plus vraiment de prises, car les messages sont dilués et les chefs d’entreprise trop occupés » ^[50].

Si l’incident du 3 juin n’est pas une cyberattaque, il en partage la conséquence opérationnelle: une indisponibilité totale du système nerveux commercial. Or la cyber- ne se limite pas à la défense contre les intrusions - elle inclut la continuité face aux pannes des fournisseurs. Pour un marchand Shopify isolé, quatre mesures concrètes peuvent être activées sans changer de plateforme:

• Une caisse de secours hors-ligne en boutique physique: un terminal de paiement bancaire indépendant du POS Shopify (Sumup, Zettle, terminal de la banque) permet d’encaisser même quand le Retail POS tombe.
• Une page de maintenance personnalisée, hébergée hors Shopify (sur un domaine secondaire ou un CDN tiers), redirigeable en quelques minutes via un changement DNS - pour éviter que les clients tombent sur « This store does not exist ».
• Un canal de communication client de secours: liste e-mail exportée régulièrement, compte WhatsApp Business, présence Instagram active. Quand le checkout est mort, le marchand peut au moins prévenir, prendre des précommandes manuelles et préserver la confiance.
• Une lecture annuelle du SLA Shopify et des clauses de responsabilité du contrat. Même quand l’indemnisation est symbolique, connaître ses droits permet de documenter les pertes pour son assurance perte d’exploitation cyber, lorsqu’elle est souscrite.

SaaS hébergé: le revers de la simplicité

L’incident remet sur la table une équation que les marchands préfèrent ignorer en période normale. Le modèle SaaS de Shopify dispense les commerçants d’opérer leur propre infrastructure - c’est précisément son argument commercial. Mais il transfère intégralement le risque d’indisponibilité au fournisseur. Contrairement aux solutions Open Source comme PrestaShop ou WooCommerce ^[51][52], hébergées par le marchand ou son prestataire, une boutique Shopify ne peut être ni patchée, ni basculée, ni redémarrée par son propriétaire. Quand le cloud Shopify tombe, le marchand attend.

Le risque n’est d’ailleurs pas propre à Shopify. Selon plusieurs sources, on se souvient de la grande panne AWS de décembre 2021, qui avait paralysé pendant plusieurs heures des milliers de services tiers - de Netflix aux applications de livraison - ou des incidents répétés chez Cloudflare en 2022, dont une coupure de plus d’une heure ayant rendu inaccessibles des pans entiers du web marchand. Stripe a lui aussi connu plusieurs avaries notables ces dernières années, avec des conséquences directes sur les encaissements. À chaque fois, le constat est le même: la mutualisation cloud apporte des gains de performance massifs, mais concentre le risque sur quelques points névralgiques.

Cette dépendance s’inscrit dans une question plus large de souveraineté numérique, sur laquelle les médias européens reviennent régulièrement.

Ce que les sources ne disent pas

À l’heure de publication, plusieurs questions restent sans réponse dans les communications officielles. La cause technique précise de l’incident n’a pas été révélée - Shopify s’en tient à l’investigation ^[5]. L’éditeur n’a pas chiffré le nombre de marchands affectés, ni l’éventuel impact sur les paiements en cours. Aucune source consultée ne mentionne le sort des transactions de paiement initiées au moment de la coupure - débitées, en attente ou annulées - ni la position des acquéreurs bancaires partenaires de Shopify Payments ^[41]. Aucune voix institutionnelle française (Bercy, ANSSI, FEVAD) ne s’est exprimée sur cet incident spécifique à la date de publication, et aucun témoignage de marchand français n’a pu être recueilli - les retours publics disponibles à l’heure de bouclage proviennent essentiellement de communautés anglophones (Reddit, X, forums Shopify). Le précédent de décembre 2025 avait également mis plusieurs heures à recevoir une explication post-mortem ^[27] - un délai qui, pour des soloentrepreneurs, équivaut à une journée de chiffre d’affaires en moins.

► Lire aussi: la page officielle de statut Shopify (mises à jour en direct)