Comment utiliser l’API Shopify pour votre boutique ?

Depuis plus de douze ans que je développe des solutions web, j’ai vu l’écosystème e-commerce évoluer considérablement. Parmi toutes les plateformes que j’ai intégrées, Shopify se distingue par la qualité de son API. Que vous souhaitiez synchroniser votre stock avec un ERP, automatiser vos expéditions ou créer un tableau de bord personnalisé, la shopify api vous ouvre un champ de possibilités immense. Dans ce guide, je vous accompagne pas à pas pour comprendre, configurer et exploiter cette interface de programmation au service de votre boutique e-commerce.

Qu’est-ce que l’API Shopify et à quoi sert-elle ?

L’API Shopify (Application Programming Interface) est une interface de communication qui permet à des applications externes d’interagir avec les données de votre boutique. Concrètement, elle vous permet de lire, créer, modifier et supprimer des ressources comme vos produits, commandes, clients ou inventaires, le tout de manière programmatique.

Imaginons que vous gériez une boutique Shopify et un entrepôt doté de son propre logiciel. Sans API, vous devriez exporter manuellement vos commandes chaque jour. Avec la shopify api, votre logiciel d’entrepôt interroge directement Shopify pour récupérer les nouvelles commandes en temps réel. C’est un gain de temps considérable et une réduction drastique des erreurs humaines.

Shopify propose en réalité plusieurs API distinctes selon vos besoins :

• Admin API : la plus utilisée, elle donne accès à la gestion complète de votre boutique (produits, commandes, clients, stocks)
• Storefront API : conçue pour créer des expériences d’achat personnalisées côté client (headless commerce)
• Partner API : destinée aux agences et développeurs partenaires Shopify
• Payments Apps API : pour les fournisseurs de solutions de paiement

Pour la plupart des marchands et développeurs, c’est l’Admin API qui constitue le point d’entrée principal. C’est celle que je vais détailler dans cet article. Si vous découvrez Shopify, je vous recommande de consulter d’abord notre guide complet sur la formation Shopify pour maîtriser les bases de la plateforme.

REST ou GraphQL : quel protocole choisir ?

L’une des questions que l’on me pose le plus souvent : Shopify utilise-t-il GraphQL ou REST ? La réponse est simple : les deux. Shopify propose une REST Admin API et une GraphQL Admin API. Cependant, depuis 2023, GraphQL est officiellement le protocole recommandé par Shopify pour tous les nouveaux développements.

Voici un comparatif pour vous aider à choisir :

Mon conseil : si vous démarrez un nouveau projet, partez directement sur GraphQL. La syntaxe peut sembler déroutante au début, mais les avantages en termes de performance et de flexibilité sont indéniables. En revanche, si vous maintenez une intégration existante en REST, inutile de tout migrer dans l’urgence. La REST API reste fonctionnelle et documentée. Consultez la documentation officielle de l’API Shopify pour explorer les deux protocoles en détail.

Comment obtenir vos clés d’accès à l’API Shopify

Avant de pouvoir effectuer le moindre appel API, vous devez disposer d’une Shopify API key et d’un jeton d’accès. Voici la procédure que je suis systématiquement pour mes clients :

Étape 1 : créer une application personnalisée

Connectez-vous à votre tableau de bord Shopify, puis rendez-vous dans Paramètres > Applications et canaux de vente > Développer des applications. Si c’est votre première fois, vous devrez activer le développement d’applications personnalisées en cliquant sur le bouton dédié.

Étape 2 : configurer les portées d’accès (scopes)

Une fois votre application créée, vous devez définir les portées d’accès (scopes). Ce sont les permissions que vous accordez à votre application. Par exemple :

• read_products et write_products pour gérer les produits
• read_orders et write_orders pour les commandes
• read_customers pour consulter les données clients
• read_inventory et write_inventory pour le stock

Principe de moindre privilège : n’accordez que les permissions strictement nécessaires à votre cas d’usage. Si votre application ne fait que lire les commandes, inutile de lui donner un accès en écriture sur les produits.

Étape 3 : récupérer vos identifiants

Après configuration, Shopify vous fournit :

• Une API key (clé publique)
• Un API secret key (clé secrète)
• Un Access token (jeton d’accès Admin API)

Conservez ces identifiants en lieu sûr. Le jeton d’accès ne sera affiché qu’une seule fois. Si vous le perdez, vous devrez en générer un nouveau. Pour bien comprendre comment gérer un nom de domaine et l’infrastructure associée à votre boutique, consultez notre article sur la définition du nom de domaine.

Réaliser vos premiers appels API : exemples concrets

Passons à la pratique. Je vais vous montrer comment effectuer vos premiers appels à la shopify api avec des exemples concrets que j’utilise régulièrement en production.

Appel REST : récupérer la liste des produits

Voici un exemple simple avec cURL pour récupérer vos produits :

curl -X GET "https://votre-boutique.myshopify.com/admin/api/2024-01/products.json" \
  -H "X-Shopify-Access-Token: votre_access_token" \
  -H "Content-Type: application/json"

Cette requête retourne un objet JSON contenant l’ensemble de vos produits avec toutes leurs propriétés (titre, description, prix, variantes, images, etc.).

Appel GraphQL : récupérer les 10 dernières commandes

Avec GraphQL, vous pouvez sélectionner précisément les champs dont vous avez besoin :

curl -X POST "https://votre-boutique.myshopify.com/admin/api/2024-01/graphql.json" \
  -H "X-Shopify-Access-Token: votre_access_token" \
  -H "Content-Type: application/json" \
  -d '{
    "query": "{ orders(first: 10) { edges { node { id name totalPriceSet { shopMoney { amount currencyCode } } createdAt } } } }"
  }'

Remarquez la différence : au lieu de recevoir tous les champs de chaque commande, vous ne récupérez que l’identifiant, le nom, le montant total et la date de création. En production, cette économie de bande passante fait une vraie différence quand vous traitez des milliers de commandes.

Exemple en Python

Pour ceux qui préfèrent travailler en Shopify API Python, voici un script minimaliste :

import requests

SHOP_URL = "https://votre-boutique.myshopify.com"
ACCESS_TOKEN = "votre_access_token"
API_VERSION = "2024-01"

headers = {
    "X-Shopify-Access-Token": ACCESS_TOKEN,
    "Content-Type": "application/json"
}

# Récupérer les produits
response = requests.get(
    f"{SHOP_URL}/admin/api/{API_VERSION}/products.json",
    headers=headers
)

if response.status_code == 200:
    products = response.json()["products"]
    for product in products:
        print(f"{product['title']} - {product['variants'][0]['price']} EUR")
else:
    print(f"Erreur : {response.status_code}")

Ce script est un excellent point de départ. En quelques lignes, vous pouvez interroger votre boutique et exploiter les données dans n’importe quel contexte : reporting, synchronisation, migration. Si vous souhaitez aller plus loin avec les langages de programmation côté web, notre guide pour apprendre JavaScript vous sera utile.

Cas d’usage courants : commandes, produits et clients

En douze ans de développement, j’ai constaté que 80 % des intégrations Shopify tournent autour de trois ressources principales. Détaillons les opérations les plus demandées.

Shopify API get orders : récupérer et filtrer les commandes

La récupération des commandes est de loin le cas d’usage le plus fréquent. Voici comment filtrer les commandes par statut et par date :

GET /admin/api/2024-01/orders.json?status=any&created_at_min=2024-01-01T00:00:00-00:00&limit=50

Les paramètres utiles incluent status (open, closed, cancelled, any), financial_status (paid, pending, refunded), et fulfillment_status (shipped, unshipped). Pour les boutiques à fort volume, pensez à utiliser la pagination par curseur plutôt que par page pour éviter les incohérences de données.

Gestion des produits

Créer un produit via l’API est particulièrement utile lorsque vous importez un catalogue depuis un autre système :

POST /admin/api/2024-01/products.json
{
  "product": {
    "title": "T-shirt Premium",
    "body_html": "<p>T-shirt en coton bio</p>",
    "vendor": "Ma Marque",
    "product_type": "Vêtements",
    "variants": [
      {
        "price": "29.99",
        "sku": "TSHIRT-001",
        "inventory_quantity": 100
      }
    ]
  }
}

J’utilise cette approche pour migrer des catalogues entiers. Sur un projet récent, j’ai importé plus de 3 000 produits avec leurs variantes en moins d’une heure grâce à un script automatisé. Si vous cherchez à optimiser l’apparence de votre boutique pendant ce processus, consultez notre sélection de templates Shopify gratuits et performants.

Exploitation des données clients

L’API permet également de segmenter vos clients pour des campagnes marketing ciblées. Vous pouvez récupérer les clients ayant passé plus de trois commandes, ceux dont le panier moyen dépasse un certain montant, ou encore ceux qui n’ont pas commandé depuis plus de six mois. Ces données sont précieuses pour piloter votre stratégie de rétention.

Limites de requêtes et bonnes pratiques

Chaque plan Shopify impose des limites de débit (rate limits) sur les appels API. Les ignorer, c’est s’exposer à des erreurs 429 (Too Many Requests) qui peuvent bloquer vos intégrations. Voici ce que vous devez savoir :

Pour explorer les différents tarifs en détail, consultez notre article dédié aux prix Shopify et leurs coûts complets. Les abonnements sont également détaillés dans notre guide sur les abonnements Shopify.

Voici les bonnes pratiques que j’applique systématiquement dans mes projets :

• Implémentez un mécanisme de retry avec un délai exponentiel (exponential backoff) pour gérer les erreurs 429
• Utilisez les webhooks plutôt que le polling : au lieu d’interroger l’API toutes les minutes pour vérifier s’il y a de nouvelles commandes, configurez un webhook qui vous notifie instantanément
• Cachez les réponses lorsque c’est possible. Les données produits changent rarement ; inutile de les recharger à chaque requête
• Paginez correctement : ne tentez jamais de récupérer l’intégralité de vos commandes en un seul appel
• Surveillez vos en-têtes de réponse : Shopify y inclut le nombre de requêtes restantes dans votre bucket

Bibliothèques officielles et outils complémentaires

Shopify met à disposition des bibliothèques officielles qui simplifient considérablement l’intégration. Plutôt que de gérer manuellement les requêtes HTTP, l’authentification et la pagination, ces SDK s’en chargent pour vous.

Les SDK officiels

La bibliothèque @shopify/shopify-api pour Node.js est la plus mature. Elle gère l’authentification OAuth, les appels REST et GraphQL, les webhooks et le rate limiting de manière transparente. Pour Ruby, le gem shopify_api offre les mêmes fonctionnalités. Côté Python, la bibliothèque shopify_python_api est maintenue par la communauté avec un support solide.

Outils de développement recommandés

Pour tester vos appels, je vous recommande d’utiliser Shopify GraphiQL Explorer, un outil interactif accessible depuis votre panneau d’administration. Il vous permet de construire et tester vos requêtes GraphQL directement dans le navigateur, avec autocomplétion et documentation intégrée. C’est un gain de temps considérable lors de la phase de développement.

Postman reste également un excellent choix pour tester l’API REST. Shopify propose d’ailleurs des collections Postman préconfigurées que vous pouvez importer directement. Pour les développeurs qui s’intéressent aux approches modernes du développement web, notre article sur le développement no-code offre une perspective complémentaire intéressante.

Enfin, l’outil Shopify CLI permet de créer des applications complètes avec un scaffolding prêt à l’emploi. En une seule commande, vous obtenez un projet Node.js ou Ruby configuré avec l’authentification OAuth, un serveur de développement et le hot reload. C’est la méthode la plus rapide pour démarrer un projet sérieux.

Sécurité et authentification de votre application

La sécurité est un sujet que je prends très au sérieux, et l’API Shopify ne fait pas exception. Une faille dans votre intégration pourrait exposer les données personnelles de vos clients ou permettre des modifications non autorisées sur votre boutique.

Les mécanismes d’authentification

Shopify propose deux méthodes d’authentification principales :

• Accès par jeton privé (applications personnalisées) : un jeton statique que vous incluez dans l’en-tête de chaque requête. Simple mais moins flexible.
• OAuth 2.0 (applications publiques ou installées par des tiers) : un flux d’autorisation complet avec échange de codes et jetons temporaires. Plus complexe mais bien plus sécurisé pour les applications distribuées.

Quelle que soit la méthode choisie, ne stockez jamais vos clés API en dur dans le code source. Utilisez des variables d’environnement ou un gestionnaire de secrets comme AWS Secrets Manager ou HashiCorp Vault. J’ai vu trop de projets où les clés API se retrouvaient exposées sur un dépôt GitHub public.

Vérification des webhooks

Lorsque vous recevez un webhook de Shopify, vérifiez systématiquement la signature HMAC incluse dans l’en-tête X-Shopify-Hmac-Sha256. Cette vérification garantit que la requête provient bien de Shopify et non d’un acteur malveillant. Voici comment procéder en Python :

import hmac
import hashlib
import base64

def verify_webhook(data, hmac_header, secret):
    digest = hmac.new(
        secret.encode('utf-8'),
        data,
        hashlib.sha256
    ).digest()
    computed_hmac = base64.b64encode(digest).decode('utf-8')
    return hmac.compare_digest(computed_hmac, hmac_header)

Shopify impose également le respect du RGPD via des webhooks obligatoires. Votre application doit répondre aux requêtes de suppression de données clients conformément à la réglementation européenne. La CNIL détaille les obligations liées au RGPD sur son site officiel, et je vous recommande de le consulter avant tout traitement de données personnelles.

N’oubliez pas de renouveler régulièrement vos jetons et de révoquer immédiatement ceux qui ne sont plus utilisés. La surface d’attaque augmente avec chaque jeton actif non surveillé. Pensez aussi à activer la journalisation de tous les appels API pour détecter toute activité suspecte. Vous trouverez des informations complémentaires sur les bonnes pratiques de sécurité dans la documentation Shopify sur l’authentification des applications.