Personnes nommées
Donnez une identité individuelle et seulement les marques et actions nécessaires.
Guide de gouvernance des accès, vérifié le 12 août 2026
Gérer les comptes sociaux sans partager les mots de passe
Un mot de passe partagé transforme plusieurs personnes en une identité invisible. Il affaiblit attribution, départs et réponse aux incidents. Agences et équipes multi-marques doivent utiliser rôles fournisseur, consentement délégué et accès limités lorsque disponibles, avec une exception documentée ailleurs.
Les modèles de rôles et écrans de consentement évoluent. Vérifiez la documentation et l’éligibilité. Ce guide pose un socle, sans prétendre que tous les fournisseurs délèguent de la même façon.
Remplacer un secret par une autorité nommée
Remplacer un secret par une autorité nommée
Outils délégués
Connectez le logiciel par consentement fournisseur sans lui remettre le mot de passe principal.
Révocation rapide
Sachez qui retire un rôle, révoque un jeton et protège le travail planifié.
Inventorier tous les chemins d’accès
Listez propriétaires, administrateurs, salariés, prestataires, agences, applications, adresses de récupération, appareils et jetons. Notez but, approbateur, dernier usage et responsable de suppression. Un accès inconnu reste un problème même s’il semble légitime.
Séparez rôles du fournisseur et permissions dans l’outil social. Une personne peut voir un espace sans publier, tandis qu’un outil conserve un jeton après son départ. Examinez les deux couches et incluez les méthodes de récupération.
Utiliser rôles et consentement délégué
Préférez une identité individuelle ajoutée via le modèle business ou canal de la plateforme. Connectez les logiciels par OAuth ou consentement fournisseur avec les scopes les plus étroits. Ne transmettez jamais les mots de passe par chat, document, email ou champ de gestion de projet.
Confirmez la destination pendant le consentement. Les noms de marque se ressemblent et un opérateur contrôle plusieurs comptes. Conservez identifiant fournisseur, nom visible, propriétaire et scopes. Avant la première publication, faites vérifier la destination par une seconde personne.
Concevoir les rôles par action et marque
Définissez qui peut voir, créer, modifier, valider, planifier, publier, connecter, exporter et gérer la facturation. Limitez par marque au lieu d’ouvrir tout le portefeuille à un prestataire. Gestion des jetons et publication exigent une autorité supérieure à la simple consultation.
Évitez les droits administrateur permanents pour le travail courant. Utilisez des accès temporaires pour les lancements lorsque possible. Conservez l’attribution historique après retrait, mais empêchez sessions et jetons personnels d’autoriser de nouvelles actions.
Rendre onboarding et départ symétriques
L’arrivée exige demande du responsable, validation du rôle, compte individuel, authentification renforcée si disponible, formation et test. Ne copiez jamais les accès du prédécesseur. Conservez la liste des systèmes et marques pour préparer le départ.
Le départ retire espace, rôles fournisseur, sessions, récupération et jetons personnels. Réattribuez contenus planifiés et validations avant suppression. En fin de contrat client, exportez les éléments convenus, déconnectez, révoquez et confirmez les preuves à conserver.
Préparer exceptions et incidents
Un chemin ancien peut encore imposer un secret partagé. Rendez l’exception visible avec responsable, raison, durée et plan de migration. Utilisez un gestionnaire approuvé, jamais un message ou tableur, puis changez le secret à la fin.
En cas d’accès suspect, bloquez la publication, préservez les logs utiles, révoquez sessions et jetons, changez la récupération si nécessaire et contactez le fournisseur. Réconciliez ensuite publications distantes et intentions planifiées sans exposer le secret dans le rapport.
Références sur les accès et consentements
Références sur les accès et consentements
La référence sécurité décrit OAuth moderne. Les aides fournisseur définissent les contrôles actuels de compte et de connexion tierce.
- OAuth 2.0 Security Best Current PracticeVérifié le 12 août 2026
- Meta business integrations helpVérifié le 12 août 2026
- Google account third-party connectionsVérifié le 12 août 2026
- Connect social media accounts safelyVérifié le 12 août 2026
FAQ
FAQ de gestion sans mot de passe partagé
Une agence doit-elle connaître le mot de passe client ?
Préférez rôles et consentement. Sans chemin pris en charge, documentez une exception temporaire dans un gestionnaire approuvé.
OAuth empêche-t-il l’outil d’agir ?
OAuth délègue les scopes approuvés. L’outil peut agir dans ce périmètre, donc stockage, revue et révocation restent essentiels.
Que faire au départ d’un prestataire ?
Retirez rôles outil et fournisseur, révoquez sessions et jetons, réattribuez le travail et conservez l’attribution passée.
Quand revoir les accès ?
Régulièrement selon le risque et immédiatement après un changement d’équipe, client, propriétaire ou sécurité fournisseur.
Continuer avec un chemin précis
Continuer avec un chemin précis
Tester avec une marque et un vrai compte
Validez le workflow, les permissions et la preuve avant d’étendre le périmètre.
Créer un espace Cascads