Toute page de MyShop demande une connexion ; seules celle-ci, la sonde /sante et les pages d'erreur s'en passent. Un client professionnel entre avec l'adresse e-mail de son compte ; une personne de l'équipe, avec son code utilisateur Divalto. La page ne propose aucune liste d'identifiants.

Le mot de passe d'un client est celui que MyShop garde pour lui, haché, jamais en clair (comptes-clients.json) ; il n'entre que si son compte est actif et son client encore en service dans Divalto. Celui de l'équipe est son mot de passe Divalto, vérifié par Divalto ; l'équipe n'entre que depuis le réseau interne, et seulement si un menu lui est ouvert. Un mot de passe provisoire, donné par l'ADV, se remplace ici avant d'entrer : 8 caractères au moins, trois sortes parmi minuscules, majuscules, chiffres et autres signes, différent du provisoire. « Mot de passe oublié ? » envoie au client un lien par e-mail, quand l'envoi des e-mails est en service.

Après Connexion:EchecsMax échecs de suite (5), l'identifiant est bloqué Connexion:BlocageMinutes minutes (10) ; le message ne dit pas si c'est l'identifiant ou le mot de passe qui est faux. Un poste ne tente pas plus de 10 connexions par minute. Un compte client désactivé par l'ADV ne le dit qu'après un mot de passe juste. La session dure Connexion:DureeHeures heures (12) et tombe si le mot de passe change ou si le compte est désactivé.