Ce module est le plus technique des huit, et le plus rentable. Lis-le en entier même si les sigles te font peur au premier coup d'œil, je les traduis tous. C'est le module que j'aurais aimé qu'on me tende en 2018, plutôt que de le découvrir en passant trois soirées à comprendre pourquoi mes mails de confirmation dormaient dans les indésirables de la moitié de mes acheteurs.
Chapitre 2.1
Créer son compte et sécuriser ses accès
La réalité du terrain
Personne ne pense à la sécurité de son admin avant le jour où ça pète. Le scénario classique : tu crées ta boutique avec ton adresse Gmail perso, mot de passe recyclé de trois autres sites, pas de double authentification. Six mois plus tard tu as 200 commandes en base, donc les noms, adresses et téléphones de 200 personnes réelles. Si quelqu'un entre dans ton admin, ce n'est plus juste ton problème, c'est une fuite de données personnelles, avec les obligations qui vont avec.
Ça prend dix minutes à faire correctement au départ. Ça prend des semaines à réparer après.
Le pas-à-pas dans l'admin
1. Utilise une adresse dédiée pour le compte propriétaire. Pas ton adresse perso, pas celle que tu donnes sur les forums. L'adresse publique sera contact@tondomaine.fr, l'adresse admin quelque chose que personne ne connaît.
2. Active la double authentification. Ton avatar en haut à droite, Gérer le compte, section Sécurité, Authentification à deux facteurs. Choisis une application d'authentification plutôt que le SMS si tu as le choix. Note les codes de secours sur papier, ailleurs que sur le téléphone qui les génère.
3. Distingue le personnel et les collaborateurs. Paramètres > Utilisateurs et autorisations. Un accès collaborateur, pour un prestataire externe, ne consomme pas de siège et se retire d'un clic. Active aussi le code de demande de collaborateur, sinon n'importe quelle agence peut envoyer une demande d'accès à ta boutique.
Piège coûteux
Ne partage jamais tes identifiants propriétaire, à personne, même à un prestataire de confiance, même « juste pour cinq minutes ». Toute action faite avec ton compte est enregistrée comme faite par toi. Le système de collaborateur existe précisément pour ça, il est gratuit, utilise-le.
Chapitre 2.2
Domaine et email pro, ou comment ne plus finir dans les spams
La réalité du terrain
Le problème est simple à formuler. Ton client commande, il attend sa confirmation. Si le mail arrive dans son dossier spam, il ne le voit pas. Alors il t'écrit « je n'ai rien reçu, ma commande est passée ? », ou pire, il ne t'écrit pas et fait opposition auprès de sa banque parce qu'il pense s'être fait avoir. J'ai eu le cas : un litige bancaire pour une commande parfaitement expédiée, parce qu'un mail de confirmation dormait dans un dossier indésirable.
Le domaine
Le .myshopify.com doit disparaître de la barre d'adresse. Deux options : l'acheter chez Shopify (le plus simple, tout est configuré tout seul), ou chez un registrar externe (OVH, IONOS, Gandi) et le connecter via Paramètres > Domaines > Connecter un domaine existant. Shopify t'affiche alors les enregistrements A et CNAME à créer chez ton registrar. Ça peut prendre de dix minutes à quarante-huit heures, c'est normal.
SPF, DKIM, DMARC en français simple
Ces trois sigles servent à une seule chose : prouver aux boîtes mail de tes clients que le mail vient bien de toi. Imagine que tu envoies un courrier avec ton nom sur l'enveloppe. N'importe qui pourrait écrire ton nom sur une enveloppe et poster une lettre à ta place. Les trois réglages ci-dessous, c'est l'équivalent d'un tampon officiel, d'une signature manuscrite et d'une consigne au facteur.
SPF, c'est la liste des postiers autorisés. Tu déclares publiquement : « les seuls serveurs qui ont le droit d'envoyer des mails en mon nom sont ceux-ci ». Si un mail prétend venir de chez toi mais sort d'un serveur qui n'est pas sur la liste, il est jeté.
DKIM, c'est la signature manuscrite. Chaque mail qui part est signé électroniquement avec une clé secrète, vérifiée à l'arrivée avec la clé publique que tu as déclarée.
DMARC, c'est la consigne au facteur. Tu dis aux serveurs de réception quoi faire quand un mail échoue aux deux vérifications précédentes : ne rien faire, mettre en spam, ou rejeter.
Dans Paramètres > Notifications, section Expéditeur de l'e-mail, clique sur Authentifier. Shopify t'affiche les enregistrements DNS à créer chez ton registrar pour SPF et DKIM. Pour le DMARC, tu crées toi-même un enregistrement TXT sur le sous-domaine _dmarc de ton domaine :
v=DMARC1; p=none; rua=mailto:dmarc@tondomaine.frTraduction ligne à ligne : v=DMARC1 déclare la version. p=none veut dire « pour l'instant, ne rejette rien, contente-toi de m'envoyer des rapports ». rua= indique où envoyer ces rapports. Tu laisses p=none deux à quatre semaines, puis tu durcis en p=quarantine, puis en p=reject si tu veux la protection maximale.
Piège coûteux
Ne passe jamais directement en p=reject le premier jour. Si tu as oublié de déclarer un service qui envoie des mails en ton nom (newsletter, logiciel de facturation), tous ses envois seront rejetés d'un coup, silencieusement. Étape par étape : none, puis quarantine, puis reject.
Le piège du débutant
Mettre une adresse Gmail (maboutique@gmail.com) comme adresse expéditrice de la boutique. Depuis que Gmail et Yahoo ont durci leurs règles, envoyer des mails « au nom de » une adresse Gmail depuis les serveurs de Shopify ressemble techniquement à ce que fait un escroc. Résultat : tes confirmations partent en spam. Il te faut une adresse sur ton propre domaine, ce n'est pas optionnel.
Vous voulez vérifier si vos mails arrivent vraiment chez vos clients ?
Lancer le diagnostic gratuitLe conseil du commerçant
Trois vérifications avant chaque ouverture : passe une commande test et regarde où arrive la confirmation, sur Gmail et sur Outlook. Envoie un mail vers un outil de test de délivrabilité comme mail-tester.com, qui donne une note sur 10 : en dessous de 8, corrige avant d'ouvrir. Et dans Gmail, ouvre le mail reçu, trois points, Afficher l'original : tu dois voir SPF, DKIM et DMARC tous les trois en PASS.
Chapitre 2.3
Les paramètres de base à ne pas rater
La réalité du terrain
Ces réglages prennent quinze minutes. Mal faits, ils créent des bugs bizarres qu'on met des semaines à diagnostiquer : des commandes datées de la veille, des frais de port aberrants, un prix affiché en dollars à un client français. Fais-les maintenant, une bonne fois, avant d'avoir des vraies commandes en base.
Tout se passe dans Paramètres > Général. La devise : l'euro si tu vends en France, et à régler une bonne fois pour toutes avant tes premières commandes. Le fuseau horaire : Europe/Paris, sinon tes commandes du soir sont datées du lendemain. Les unités : choisis kilogrammes ou grammes et garde la même unité sur toutes tes fiches produits, le mélange est la cause numéro un des frais de port délirants.
Astuce de commerçant
Le compteur de commandes démarre à 1001, pas à 1. Ce n'est pas un hasard : Shopify évite de faire savoir à ton premier client qu'il est le premier. Laisse comme ça. Personne n'a envie d'être le cobaye numéro 1 d'une boutique inconnue.
Le conseil du commerçant
Bloque ta boutique sur un seul pays au lancement. Un pays, une devise, un transporteur, une TVA. L'international est tentant à ouvrir dès le départ parce que ça ne coûte rien de cocher les cases, mais c'est un chantier à part entière que tu ouvriras quand la France tournera.
David — e-commerçant depuis 2009, sur Shopify depuis 2018, plus de 77 000 clients servis sur mes propres boutiques. Trois soirées perdues sur ce sujet en 2018, condensées ici en dix-huit minutes de lecture.