Cuentas falsas de clientes en Shopify: origen y cómo frenarlas

Las cuentas falsas de clientes en Shopify suelen ser bots que envían tus formularios de newsletter, de contacto o de cuentas antiguas. Shopify crea un perfil de cliente por cada suscripción a la lista de correo o registro de cuenta. Para frenarlas, mantén hCaptcha activado, pásate a las cuentas de cliente actuales sin contraseña y activa el doble opt-in para que los registros no confirmados nunca reciban marketing. Después borra los falsos que no tienen pedidos.

Todo lo que sigue se basa en el Centro de ayuda y la documentación para desarrolladores de Shopify al 6 de octubre de 2026, enlazados en cada sección. Shopify cambia su panel de administración con frecuencia, así que si una ruta de menú se movió, busca el nombre del ajuste en el Centro de ayuda.

De dónde salen los perfiles falsos

Cualquier formulario que recoja un correo puede crear un perfil de cliente, y los bots llenan formularios automáticamente.

La página de Shopify sobre gestión de clientes enumera qué crea un perfil: "suscribirse a tu lista de correo o a una cuenta de cliente", "hacer un pedido" y "empezar un pedido, pero abandonar el checkout". El formulario de newsletter es el blanco más fácil. Solo pide un correo, y la guía de información de contacto de Shopify dice que esas direcciones "se guardan en el segmento de clientes Email subscribers".

Hay dos patrones comunes, y conllevan riesgos distintos:

Lo que ves	Causa probable	Riesgo principal
Nombres aleatorios, direcciones sin sentido, ráfagas de registros	Spam genérico en formularios	Rebotes cuando envías marketing
Direcciones de aspecto real en Gmail o en dominios de empresa, nunca abiertas	Un bot que envía direcciones de víctimas a muchos sitios (list bombing)	Quejas de spam de personas que nunca se suscribieron

La segunda fila es la peligrosa. Tu tienda se convierte en uno de los remitentes de un ataque contra la bandeja de entrada de alguien, como se describe en cómo frenar los registros falsos. Comerciantes en los foros de la comunidad de Shopify han descrito oleadas de cuentas falsas que llegan pese al CAPTCHA, así que trata los ajustes como una capa de protección, no como una cura.

Paso 1: mantén hCaptcha activado

hCaptcha viene activado por defecto. Comprueba que no se haya desactivado y no uses otra app de CAPTCHA a la vez.

Según la página de preferencias de la tienda online de Shopify, hCaptcha puede funcionar "en los formularios de contacto, de suscripción a la newsletter y de comentarios" y "en las páginas de inicio de sesión, creación de cuenta y recuperación de contraseña". Para comprobarlo, ve a Online Store > Preferences, busca Spam protection y asegúrate de que ambas casillas estén marcadas:

• Enable hCaptcha on contact and comment forms
• Enable hCaptcha on login, create account, and password recovery pages

Dos advertencias de esa misma página. Primero, "hCaptcha no es compatible con código personalizado ni con apps de terceros que agregan CAPTCHA", así que si una app agrega su propio CAPTCHA, usa uno u otro. Segundo, el ajuste de las páginas de cuenta se aplica a las cuentas de cliente antiguas. Shopify actualizó la forma en que hCaptcha se conecta a los formularios antiguos de inicio de sesión, cuenta y registro el 28 de octubre de 2024 y dejó obsoleta la antigua página /challenge, así que un tema más viejo puede necesitar una actualización para que la protección funcione.

Paso 2: pasa de las cuentas de cliente antiguas a las actuales

Las cuentas de cliente antiguas (legacy) están obsoletas, y las cuentas de cliente actuales usan un código de un solo uso por correo en lugar de una contraseña.

La guía de actualización de Shopify lo dice sin rodeos: "Las cuentas de cliente antiguas están obsoletas". Con las cuentas de cliente actuales, los clientes "introducen su dirección de correo y reciben un código de verificación de 6 dígitos de un solo uso. No se necesita contraseña para iniciar sesión". La página de preferencias agrega que "el proceso de verificación de las cuentas de cliente no requiere hCaptcha".

Shopify no publica cifras antiabuso al respecto, así que no vamos a afirmar ningún número. El punto de diseño es simple: iniciar sesión exige leer un código enviado a esa bandeja de entrada, algo que un bot con una dirección inventada no puede hacer. Revisa primero las limitaciones de la guía de actualización, sobre todo si creaste un formulario de registro personalizado o dependes de flujos que se activan con las cuentas antiguas.

Paso 3: activa el doble opt-in para marketing

El doble opt-in no impide que se cree el perfil, pero deja las direcciones no confirmadas fuera de tu marketing.

Ve a Settings > Notifications > Customer notifications y luego, en Marketing double opt-in, selecciona Customer marketing confirmation. Shopify lo describe como pedir "a los clientes que hagan clic en un enlace de un correo para confirmar que quieren recibir tu marketing por correo y SMS".

Tres detalles de la documentación de Shopify:

• "Los clientes que se suscriben a tu lista antes de que actives el doble opt-in no tienen que confirmar su estado". Los falsos existentes siguen suscritos, y por eso existe el paso 4.
• Si una app de suscripciones recoge los registros, configura también el doble opt-in en esa app. Si no tiene esa opción, "cualquier cliente que se registre queda marcado como suscriptor".
• Actualiza el mensaje de confirmación de tu formulario de newsletter para pedir a la gente que revise su bandeja de entrada.

Un correo de confirmación por registro sigue siendo un correo a una posible víctima. Combina el doble opt-in con hCaptcha para que los bots no puedan disparar miles de ellos. Las ventajas y desventajas están en doble opt-in vs. verificación de correo.

Paso 4: encuentra y borra los falsos que ya tienes

Arma un segmento de perfiles sin pedidos del periodo del ataque, revísalo y luego bórralo en bloque.

El editor de segmentos de Shopify usa un lenguaje de consultas. Su referencia documenta number_of_orders, customer_added_date y customer_email_domain, con fechas relativas como -30d. Un segmento para empezar:

number_of_orders = 0 AND customer_added_date >= -30d

Acótalo antes de borrar. Ordena por fecha de alta y busca ráfagas. Para revisar un dominio sospechoso, agrega AND customer_email_domain = 'example.com'. En esta vista, los suscriptores reales sin pedidos se parecen mucho a los falsos, así que borra solo los grupos de los que estés seguro.

Después, en la página Customers, selecciona los perfiles y elige Delete customers. Las reglas de Shopify:

• El borrado "no se puede deshacer".
• No se pueden borrar perfiles si el cliente "está asociado a uno o más pedidos", "alguna vez tuvo una suscripción", espera un borrado por GDPR o tiene pendiente una tarjeta de regalo programada.
• En un borrado en bloque, "solo se borran los perfiles que se pueden borrar".

Borrar los datos personales no es lo mismo que borrar el perfil. Shopify oculta el nombre y la dirección, "pero el perfil y el historial de pedidos se conservan".

Si quieres automatizar esto, revisa qué activa realmente tu herramienta. El disparador Customer created de Shopify Flow está documentado como uno que se inicia "cuando un cliente nuevo hace un pedido en tu tienda, o cuando se crea un perfil de cliente manualmente", así que no des por hecho que capta las suscripciones a la newsletter.

Paso 5: verifica antes de enviar

Exporta el segmento Email subscribers, verifícalo y quita lo que rebota antes de tu próxima campaña.

Los registros falsos hacen más daño cuando les envías correos. Las direcciones que no existen generan un rebote duro, y una serie de rebotes en un mismo envío les indica a los proveedores de correo que recoges tu lista sin cuidado. Algunas direcciones basura además son trampas de spam.

Exporta el segmento como CSV, pásalo por un verificador y da de baja o borra las filas invalid. Deja los resultados risky y catch-all fuera de los envíos grandes hasta que hayan mostrado interacción. Para esto sirve cualquier servicio de verificación. SimpleVerifier acepta archivos CSV de hasta 100,000 filas en los planes mensuales, y la revisión gratuita de salud de la lista de correos te da una idea rápida de qué tan grave es el problema. Los errores de escritura en el checkout y el abuso de los pop-ups de descuento, las otras fuentes de direcciones malas en ecommerce, se tratan en verificación de correo para tiendas de ecommerce.

La versión corta

1. Online Store > Preferences > Spam protection: mantén marcadas las dos casillas de hCaptcha y no sumes una segunda app de CAPTCHA.
2. Pásate a las customer accounts (cuentas de cliente) actuales, que usan códigos de un solo uso y reemplazan a las cuentas antiguas obsoletas.
3. Settings > Notifications > Customer notifications > Customer marketing confirmation: activa el doble opt-in.
4. Segmenta los perfiles con number_of_orders = 0 del periodo del ataque, revísalos y bórralos en bloque. Los perfiles con pedidos no se pueden borrar.
5. Verifica la lista Email subscribers antes de cada campaña grande.