Une campagne peut fonctionner parfaitement et rester exposée à un risque très simple : personne ne sait exactement qui possède le compte, qui peut modifier les moyens de paiement et comment reprendre la main si l’administrateur principal devient indisponible. La sécurité marketing commence rarement par un outil supplémentaire. Elle commence par une cartographie des responsabilités.
Les actifs concernés dépassent les réseaux sociaux. Il faut compter les comptes publicitaires, les propriétés analytics, le gestionnaire de balises, les noms de domaine, les services d’emailing, les plateformes de création et les applications connectées. Un accès oublié à l’un de ces maillons peut suffire à perturber les autres.
L’objectif raisonnable est double : réduire la probabilité d’un incident et conserver la capacité d’agir lorsqu’il survient. Un compte correctement protégé mais impossible à récupérer reste un problème opérationnel.
En bref — Utilisez des identités nominatives, appliquez le moindre privilège, protégez les comptes sensibles par une authentification adaptée et documentez la récupération. Une revue des accès doit examiner les personnes, les partenaires et les applications. Le propriétaire de chaque actif doit rester identifiable dans l’entreprise.
Commencer par ce que l’entreprise possède réellement
Un inventaire utile décrit des actifs, pas seulement des mots de passe. Pour chaque service, relevez son identifiant, son propriétaire organisationnel, son administrateur responsable, ses administrateurs de secours, les partenaires autorisés et les intégrations techniques. Ajoutez la personne qui reçoit les alertes et celle qui rapproche les dépenses avec la comptabilité.
Ne stockez pas les secrets dans ce tableau.
L’inventaire peut indiquer où ils sont gérés, par exemple dans un coffre d’entreprise, mais il ne doit pas devenir un fichier contenant tous les moyens d’entrer. Les codes de récupération ont eux aussi besoin d’un stockage contrôlé et distinct des usages courants.
La question de la propriété mérite une vérification particulière. Une page créée par une agence, un compte d’annonces ouvert avec l’adresse d’un ancien salarié ou un domaine enregistré au nom d’un prestataire peuvent fonctionner pendant des années. Le problème apparaît au changement d’équipe. Vérifiez les règles de propriété de chaque plateforme et régularisez les situations avant de négocier un départ.
Un organigramme ne suffit pas. La responsable marketing peut décider de la stratégie, le service informatique gérer l’identité et la finance contrôler les paiements. Le registre doit montrer cette répartition, avec un remplaçant pour les responsabilités critiques. Ce travail sert aussi à préparer le budget marketing : les coûts de protection et de continuité appartiennent aux dépenses nécessaires au fonctionnement du dispositif.
Donner l’accès nécessaire, puis vérifier ce qu’il permet
Le moindre privilège consiste à accorder les droits nécessaires à la tâche, et non à reproduire les droits de la personne qui invite. Un analyste n’a pas nécessairement besoin de modifier les campagnes. Une agence créative n’a pas forcément besoin de consulter les prospects. Un comptable peut avoir besoin d’informations financières sans devenir administrateur de toute la plateforme.
Les rôles ne sont pas interchangeables entre services. Google Ads distingue plusieurs niveaux d’accès et des capacités associées. LinkedIn Business Manager sépare les permissions de l’organisation de celles des comptes publicitaires et des Pages. Il faut donc examiner les droits effectifs sur l’actif final, pas uniquement le titre du rôle affiché au niveau supérieur.
Cette distinction évite une erreur fréquente : retirer une personne d’une équipe interne tout en lui laissant un accès direct à une Page. L’inverse existe également. Un partenaire peut sembler absent de la liste habituelle des utilisateurs, mais continuer d’intervenir à travers une relation d’organisation à organisation.
| Besoin opérationnel | Droit à rechercher | Contrôle complémentaire |
|---|---|---|
| Lire les résultats | Consultation | Vérifier les données sensibles visibles |
| Modifier les annonces | Gestion des campagnes | Encadrer budgets et validations |
| Produire des créations | Accès aux ressources nécessaires | Éviter les exports de prospects inutiles |
| Administrer les utilisateurs | Administration | Réserver aux responsables désignés |
| Consulter les dépenses | Accès financier adapté | Séparer des changements de propriété |
Cette matrice est une méthode de travail, pas une équivalence garantie entre plateformes. Avant d’attribuer un rôle, ouvrez sa description officielle et faites un contrôle avec un compte de test si le service le permet. Documentez la justification des droits élevés et leur date de réexamen.
Pour une mission temporaire, prévoyez la date de fin dès l’invitation. Certains services proposent des accès expirants ; ailleurs, une tâche de révocation doit être inscrite au suivi de la mission. L’absence d’automatisation n’empêche pas un contrôle, mais elle impose un responsable explicite.
L’identité nominative protège aussi le travail quotidien
Un compte partagé masque la responsabilité des actions. Il complique le départ d’un collaborateur, rend les alertes moins lisibles et pousse souvent à partager un second facteur d’authentification dans une messagerie. Remplacer cette habitude par des accès nominatifs améliore à la fois la sécurité et la traçabilité.
Les invitations doivent être envoyées vers les identités professionnelles autorisées, selon les possibilités de la plateforme. Évitez qu’un salarié utilise son adresse personnelle pour détenir un actif qui appartient à l’entreprise. Lorsque le réseau exige un profil personnel pour accéder à une Page, distinguez clairement ce profil de la propriété organisationnelle et conservez plusieurs responsables internes autorisés.
Une adresse de service peut recevoir des notifications. Cela ne signifie pas qu’elle doit devenir une identité partagée de connexion. La boîte de notification elle-même doit être administrée, car elle peut contenir des liens de récupération ou des informations sur les changements d’accès.
L’authentification multifacteur ajoute une protection lorsque le mot de passe est compromis. Les recommandations de l’ANSSI invitent à adapter les moyens d’authentification au contexte et aux risques. Pour les comptes les plus sensibles, privilégiez les mécanismes résistants au phishing lorsqu’ils sont disponibles et compatibles avec l’organisation. Le choix doit être validé avec l’équipe chargée des identités.
Le second facteur ne remplace pas la vigilance. Un attaquant peut chercher à faire approuver une demande inattendue, à voler une session ou à tromper un collaborateur en reproduisant une page de connexion. Une procédure simple doit dire quoi faire face à une sollicitation inhabituelle : interrompre l’action, vérifier par un canal connu et signaler l’événement.
La récupération mérite une répétition, pas seulement une documentation. Le remplaçant sait-il où trouver la procédure ? Les coordonnées de secours sont-elles encore valides ? Une clé de secours ou un code peut-il être utilisé sans dépendre de la personne indisponible ? Faites cet exercice sans désactiver les protections ni exposer les secrets.
Les applications connectées sont des utilisateurs à part entière
Un outil de reporting peut lire les performances de plusieurs comptes. Un service d’automatisation peut exporter des formulaires de prospects. Un outil de création peut publier au nom d’une Page. Ces connexions doivent apparaître dans l’inventaire avec les mêmes exigences de justification que les personnes.
Relevez les permissions demandées, la finalité, le responsable métier et les données accessibles. Vérifiez si le service conserve une copie des données et comment révoquer sa connexion. Un abonnement résilié ne retire pas toujours automatiquement tous les jetons d’accès précédemment accordés.
Les secrets techniques ne doivent pas être copiés dans des documents de brief, des tickets publics ou des exemples destinés à la formation. Privilégiez les coffres et mécanismes prévus par l’outil. Lorsqu’une clé a été exposée, la supprimer du document ne suffit pas : sa rotation ou sa révocation doit être évaluée par l’équipe compétente.
Il faut aussi distinguer l’accès en lecture de l’accès en écriture. Une intégration qui peut seulement produire un rapport n’expose pas les mêmes conséquences qu’un agent autorisé à modifier des annonces. Avant de connecter un système plus autonome, les principes du cadrage des agents IA aident à définir les actions qui doivent conserver une validation humaine.
Un test de révocation est instructif. Sur une intégration non critique, vérifiez que la suppression des droits produit l’effet attendu et que les erreurs remontent au bon interlocuteur. Cette expérience révèle parfois des dépendances inconnues, par exemple un tableau de bord utilisé par la direction qui dépend du compte personnel d’un stagiaire parti depuis longtemps.
Organiser les arrivées, les changements de mission et les départs
Le cycle de vie des accès doit suivre celui du travail. À l’arrivée, la personne reçoit les seuls actifs nécessaires, une courte formation et une explication des alertes importantes. Elle sait comment demander un droit supplémentaire et qui peut l’approuver. Cette étape évite que l’urgence serve systématiquement de justification à un rôle administrateur.
Lorsqu’elle change de mission, ses anciens droits sont réévalués. Une promotion n’est pas la seule situation à surveiller. Une personne qui passe de la gestion des campagnes à la production de contenus peut conserver des accès devenus inutiles si aucun processus ne prévoit leur retrait.
Au départ, il faut révoquer les sessions et accès selon les possibilités des services, retirer les relations directes et vérifier les applications qu’elle administrait. Les changements de propriétaire, d’adresse de récupération ou de facturation peuvent nécessiter des opérations distinctes. La procédure doit les citer, car une simple désactivation de messagerie ne règle pas tous ces cas.
L’entreprise doit conserver ses contenus et ses historiques professionnels selon ses règles internes, sans s’approprier les données personnelles du collaborateur. Les équipes RH, juridique et informatique ont ici des responsabilités complémentaires. Le marketing apporte la liste précise des actifs et des dépendances.
Pour éviter un contrôle de pure forme, demandez une preuve de clôture : liste des actifs vérifiés, date de révocation, responsable et éventuels points restant ouverts. Un point non résolu ne doit pas disparaître parce que la date de départ est passée. Il doit recevoir un propriétaire et une échéance.
Que faire quand une campagne change sans explication ?
Une hausse anormale de dépense, une annonce inconnue ou un administrateur ajouté sans raison justifie un examen rapide. Ne concluez pas immédiatement à une attaque : une modification légitime peut être mal documentée. Mais ne laissez pas non plus un doute persister simplement parce que le compte continue de diffuser.
Commencez par limiter les conséquences avec les personnes autorisées : examiner les dépenses, mettre en pause ce qui doit l’être, préserver les journaux disponibles et contacter l’équipe de sécurité. Ne détruisez pas les traces en supprimant précipitamment toutes les campagnes ou toutes les connexions.
La réponse doit couvrir l’identité, l’appareil et les intégrations. Changer uniquement le mot de passe peut être insuffisant si une session reste active, si une application conserve son autorisation ou si l’adresse de récupération est compromise. La plateforme, l’équipe informatique et, selon les circonstances, les professionnels de la réponse à incident doivent coordonner les actions.
Préparez une fiche d’urgence courte : responsables joignables, identifiants des comptes, canaux officiels d’assistance, méthode de conservation des preuves et personnes habilitées à décider d’un arrêt de diffusion. Aucun mot de passe ne doit y figurer. Le document doit être accessible lorsque la messagerie habituelle est indisponible.
Dans un scénario fictif, une agence termine une mission le vendredi et conserve deux accès directs ainsi qu’une intégration de reporting. Le lundi, le client découvre que le tableau de bord dépend du compte de l’agence. Une clôture préparée aurait permis de transférer la connexion avant la révocation. La sécurité ne consiste donc pas à couper tous les accès brutalement : elle consiste à préparer une sortie maîtrisée.
Mesurer une réduction du risque, pas une collection de réglages
Un suivi utile peut tenir dans quelques indicateurs : proportion d’actifs dotés d’un propriétaire et d’un remplaçant, nombre de droits administrateur justifiés, accès externes sans échéance, intégrations sans responsable et délais de clôture des départs. Ces indicateurs décrivent l’état réel de l’organisation.
Évitez de fixer un objectif arbitraire de zéro administrateur supplémentaire. Certaines plateformes et certains processus exigent une continuité interne. LinkedIn recommande notamment plusieurs administrateurs pour éviter qu’une organisation dépende d’une seule personne. L’enjeu est de conserver un nombre maîtrisé de responsables compétents, pas de rendre le service impossible à administrer.
Une revue trimestrielle peut constituer un point de départ organisationnel, à ajuster selon la taille de l’équipe, la sensibilité des données et le rythme des prestataires. Elle ne remplace pas les revues déclenchées par un départ, une nouvelle agence, un incident ou un changement de périmètre. La fréquence proposée n’est pas une obligation réglementaire universelle.
Le bon résultat se voit dans les gestes ordinaires : une invitation correctement limitée, une connexion technique documentée, un remplaçant capable de récupérer un actif et une mission terminée sans droits résiduels. Ce sont des détails. Ce sont aussi les conditions pour continuer à publier, mesurer et vendre quand quelque chose se passe mal.
La preuve de continuité à demander au prestataire
Au démarrage d’une collaboration, faites préciser qui détient les comptes, où les créations sources seront remises et comment les connexions seront transférées à la fin. Demandez un inventaire des services utilisés pour publier, mesurer et exporter les données. La liste doit comprendre les outils sous-traités, pas uniquement ceux qui apparaissent sur la facture principale.
Prévoyez également un exercice de passation. Un membre interne autorisé doit pouvoir retrouver une campagne, comprendre son marquage et consulter ses dépenses sans dépendre de l’ordinateur du prestataire. Il ne s’agit pas de reprendre son travail au quotidien, mais de vérifier que l’entreprise conserve sa capacité de décision. Cette précaution réduit les tensions lors d’un changement d’agence et protège la continuité des opérations.
