Herramientas de Facebook Ads con tokens y cookies: análisis de seguridad
Lena Brandt
Analista de Políticas Publicitarias y Cumplimiento
Toda herramienta grey-hat de publicidad en Facebook necesita una cosa para funcionar: acceso a tu cuenta de Facebook. Cómo consigue ese acceso, y qué expone, es el núcleo de la seguridad de tokens y cookies en Facebook Ads, y es la pregunta que la mayoría de los media buyers nunca se hace. Este artículo compara los dos atajos habituales, compartir un token de acceso y compartir cookies de sesión, con la vía oficial.
Respuesta rápida: La seguridad de tokens y cookies en Facebook Ads se reduce a cómo llega una herramienta a tu cuenta. Algunas herramientas grey-hat trabajan con un token de acceso o con cookies de sesión sacados de tu navegador, lo que entrega tu acceso con la sesión iniciada, con permisos amplios y difíciles de revocar. La alternativa segura es la Marketing API oficial de Meta con OAuth, que concede un acceso acotado que puedes ver y eliminar, sin exponer tu sesión.
Esta es una guía defensiva: explica qué queda expuesto y cómo protegerte, no cómo se llevan a cabo estos métodos. Para la comparativa más amplia entre herramientas oficiales y grey-hat, mira nuestra guía sobre herramientas oficiales de la API de Meta Ads frente a herramientas grey-hat.
Cómo funciona la autenticación de Facebook
Para una herramienta publicitaria, la autenticación de Facebook funciona de una de dos formas: o Meta concede acceso a la herramienta mediante OAuth, o la herramienta toma prestado el acceso que ya tiene tu navegador. Todo lo demás en este artículo parte de esa diferencia.
El flujo oficial de OAuth
Cuando una aplicación legítima como Wevion se conecta a tu cuenta de Facebook, sigue el flujo OAuth 2.0 de Meta:
- Lo inicias tú: haces clic para conectar tu cuenta de Meta en la aplicación.
- Meta muestra un diálogo: una pantalla alojada por Meta enumera exactamente lo que pide la app.
- Das tu consentimiento: apruebas o rechazas los permisos.
- Meta emite un token: el token cubre solo los permisos aprobados y va al ID registrado de la app.
- Mantienes el control: el token tiene una duración definida y puedes eliminar la app cuando quieras.
Las apps conectadas así aparecen en tu configuración de Facebook, en Integraciones comerciales, y la app está sujeta a los Términos de la Plataforma de Meta. Wevion funciona así: se conecta con el token de usuario que emite Meta mediante OAuth, y un administrador del negocio también puede añadir un token de System User, aunque OAuth es la vía principal.
Qué hacen en su lugar las herramientas grey-hat
Las herramientas grey-hat se saltan ese flujo. En lugar de pedir a Meta que conceda acceso, trabajan con una credencial que tu navegador ya tiene:
- Un token de acceso de tu sesión iniciada
- Cookies de sesión que mantienen tu navegador con la sesión iniciada
En los dos casos, la herramienta obtiene acceso sin una concesión de permisos acotada, sin una app que Meta haya aprobado para ese acceso y sin una app conectada que puedas eliminar.
Tokens de acceso: qué son y a qué llegan
Un token de acceso es la credencial que indica a los servidores de Meta quién hace una petición y qué puede hacer. Cuando trabajas en Ads Manager, tu navegador usa tokens por detrás, y ese es el tipo de token con el que trabajan algunas herramientas grey-hat.
¿Qué es un "token EAAB"?
"EAAB" no es un término oficial de Meta. Es el apodo que usan los media buyers para los tokens de acceso cuya cadena empieza por esas cuatro letras: los tokens de acceso de Facebook empiezan por "EAA", y los que usa la propia interfaz publicitaria de Facebook suelen empezar por "EAAB". Meta no publica qué significa el prefijo, así que desconfía de cualquier explicación "oficial" que leas en internet.
A qué puede llegar un token
Un token lleva los permisos de la sesión de la que sale. En un contexto publicitario suelen incluir:
| Ámbito del permiso | Qué permite | Nivel de riesgo |
|---|---|---|
ads_management | Crear, editar y eliminar campañas, conjuntos de anuncios y anuncios | Alto |
ads_read | Leer datos publicitarios y métricas de rendimiento | Medio |
business_management | Gestionar la configuración del negocio, incluidas personas y activos | Crítico |
pages_manage_ads | Crear anuncios vinculados a tus páginas | Alto |
pages_read_engagement | Leer publicaciones e interacción de las páginas | Medio |
read_insights | Leer estadísticas y analítica | Medio |
Atención: No puedes acotar el alcance de un token sacado de tu sesión. Lleva todo lo que lleva tu sesión, y un tercero que lo tenga llega a lo mismo.
Tipos de token y duración
La documentación de tokens de acceso de Meta describe varios tipos de token, y cada uno se comporta de forma distinta:
| Tipo de token | Duración habitual | Cómo termina |
|---|---|---|
| Token de usuario de corta duración (OAuth) | Entre 1 y 2 horas aproximadamente | Caduca solo |
| Token de usuario de larga duración (OAuth) | Unos 60 días | Caduca, o eliminas la app |
| Token de página | Puede ser de larga duración | Se revoca a través del usuario o de la página |
| Token de System User | Se puede configurar para que no caduque | Lo revoca un administrador del negocio |
| Token sacado de una sesión | Poco claro, ligado a la sesión | No hay app que eliminar; termina cuando se invalida la sesión o el token |
La documentación de Meta también indica que los tokens pueden caducar antes de tiempo, por ejemplo tras un cambio de contraseña. Los tokens de System User pertenecen al portfolio comercial y no a una persona, y por eso los administradores los usan para el acceso de servidor a servidor; aun así hay que acotarlos con cuidado y revocarlos cuando ya no hagan falta.
Cookies de sesión: una exposición más amplia
Las cookies de sesión mantienen tu navegador con la sesión iniciada en Facebook. Mientras que un token llega a lo que permiten sus permisos, una cookie de sesión puede llegar a toda la cuenta, porque para Facebook parece tu navegador con la sesión ya iniciada.
Por eso el robo de credenciales es una vía de entrada tan común a las cuentas. El abuso de credenciales fue el vector de acceso inicial más frecuente en las brechas, con un 22%, según el informe Verizon 2025 Data Breach Investigations Report. Entregar cookies de sesión a un tercero añade otro sitio desde el que pueden perderse.
La autenticación en dos pasos no cubre bien este caso. La 2FA protege el momento del inicio de sesión; una sesión ya autenticada ha superado esa comprobación. Por eso el consejo es no exportar ni compartir nunca cookies, y por eso las herramientas que las piden merecen la máxima cautela.
Acceso con tokens frente a acceso con cookies
| Aspecto | Con tokens | Con cookies |
|---|---|---|
| Alcance del acceso | Lo que permitan los permisos del token | Toda la cuenta |
| Qué queda expuesto | Datos y gestión publicitaria | Anuncios más mensajes, perfil y ajustes |
| Visibilidad para ti | No hay app conectada que revisar | No hay app conectada que revisar |
| Revocación | Invalidar el token o la sesión | Cerrar todas las sesiones y cambiar la contraseña |
| Si la herramienta se ve comprometida | Activos publicitarios en riesgo | Cuenta completa en riesgo |
Categorías de herramientas y cómo se conectan
En lugar de señalar a proveedores concretos, es más útil conocer las categorías y preguntar a cualquier herramienta en cuál encaja:
| Categoría | Cómo obtiene acceso | ¿Puedes verla y eliminarla en tu configuración? |
|---|---|---|
| Herramientas de automatización con tokens | Un token de acceso de tu sesión | No |
| Herramientas de sesión con cookies | Tus cookies de sesión | No |
| Scripts de automatización de Ads Manager | Tu navegador con la sesión iniciada | No |
| Herramientas de perfiles de navegador | Tu propio inicio de sesión, en un perfil aislado que controlas tú | No aplica: inicias sesión tú |
| Plataformas de API oficial como Wevion | OAuth, permisos acotados emitidos por Meta | Sí |
Qué pones en riesgo al compartir acceso
Cuando das un token o cookies a una herramienta, creas una cadena con varios puntos de fallo, y confías en el proveedor en cada uno de ellos:
- Transporte: ¿va cifrada la credencial de camino al proveedor?
- Almacenamiento: ¿está cifrada en reposo, y quién puede leer la base de datos?
- Controles de acceso: ¿qué personal puede ver tus credenciales?
- Respuesta a incidentes: ¿qué pasa si el proveedor se ve comprometido?
- Conservación: ¿cuánto tiempo se guarda la credencial después de que dejes de usar el servicio?
En muchas herramientas grey-hat estas respuestas no están publicadas. Y un proveedor que guarda las sesiones activas de muchos anunciantes es en sí mismo un objetivo valioso: la pregunta que vale la pena no es si hoy parece de fiar, sino a qué llegaría mañana si lo comprometieran.
Cuando el canal de actualización es la superficie de ataque
Una extensión que se actualiza sola es un canal de distribución, y eso convierte su proceso de actualización en parte de aquello en lo que confías. Apruebas sus permisos una vez, al instalarla; a partir de ahí, el código que hay detrás de esos permisos puede cambiar sin volver a preguntarte. Quien controla ese proceso decide qué se ejecuta en todos los navegadores que confían en él, en el mismo momento.
Eso le da la vuelta al consejo habitual. "Mantén tu software actualizado" es acertado casi siempre, y es justo el comportamiento del que depende una actualización envenenada. Nada de esto es exclusivo de un producto o una categoría: cualquier componente con acceso a nivel de navegador se distribuye por un canal así.
Qué significa en la práctica
- A qué puede llegar un componente así: a todo lo que el navegador puede leer en ese perfil, incluidas cookies de sesión, tokens en la memoria de la página o en el almacenamiento local, datos de otras extensiones y el portapapeles.
- A qué no suele poder llegar: a nada que esté en un perfil de navegador distinto. La separación de perfiles es la barrera que aguanta, y es gratis.
- El radio de impacto depende del perfil, no del proveedor. Un perfil que tiene a la vez un monedero y una sesión de Business Manager está a un componente comprometido de perder ambos.
- Las consecuencias no son simétricas. Una cuenta publicitaria restringida a menudo se puede recurrir. Un monedero vaciado, no. Guarda lo irreversible en otro sitio.
Así que las preguntas útiles son sobre tu propia configuración: qué extensiones ven el perfil donde tienes la sesión de tus cuentas publicitarias, qué más vive en ese perfil y a qué llegaría la actualización de mañana.
Dónde encajan los perfiles de navegador
Las herramientas de perfiles de navegador, a menudo llamadas navegadores anti-detect, resuelven el acceso y la identidad: perfiles separados para cada cuenta que tienes autorización para usar, y una forma de que un equipo trabaje sin pasarse contraseñas. Es un trabajo distinto de lanzar, poner reglas, presupuestar y medir campañas en seis plataformas publicitarias en un mismo espacio de trabajo, que es lo que hace Wevion. En muchas configuraciones reales las dos cosas funcionan en paralelo; nuestra comparativa de Wevion y los navegadores anti-detect explica cómo. Wevion se conecta a través de la Marketing API oficial de Meta con OAuth, así que nada de nuestra parte te pedirá nunca una cookie.
Consejo: Separa el perfil que toca dinero del perfil que toca cuentas publicitarias. No cuesta nada y limita a qué puede llegar cualquier extensión comprometida.
OAuth frente a extracción de tokens: comparación directa
OAuth y la extracción de tokens terminan con una herramienta que tiene un token, pero se diferencian en quién lo emitió, qué cubre y si puedes recuperarlo.
| Aspecto | OAuth oficial (p. ej. Wevion) | Token o cookie sacados de tu sesión |
|---|---|---|
| Quién concede el acceso | Meta, a una app registrada | Nadie: se copia de tu sesión |
| Tu consentimiento | Explícito, permiso por permiso | Sin diálogo de permisos |
| Alcance | Los permisos que apruebas | Todo lo que tenga tu sesión |
| Duración | Definida por Meta | Poco clara |
| Visibilidad | App listada en tu configuración de Facebook | Nada que ver ni eliminar |
| Revocación | Eliminar la app en tu configuración | Invalidar sesiones y cambiar la contraseña |
| Normas que sigue la herramienta | Términos de la Plataforma y App Review de Meta | Fuera del acceso oficial de Meta |
| Si el proveedor se ve comprometido | Limitado a los permisos aprobados | Todo el alcance de tu sesión |
La diferencia no es de grado. OAuth existe para darte control sobre lo que puede hacer un tercero; tomar prestada una sesión te quita ese control.
Wevion es una plataforma de operaciones publicitarias que conecta Meta, Google, TikTok, Taboola, Snapchat y Outbrain a través de sus API oficiales (OAuth en Meta, Google, TikTok y Snapchat), sincroniza los datos aproximadamente cada 15 minutos y cuenta con Wavo, el copiloto de IA, que propone cambios que tú apruebas, mientras las reglas actúan solo en las condiciones que tú fijas.
Cómo evaluar y proteger tu configuración
Hayas usado o no herramientas grey-hat, una auditoría breve te muestra qué puede llegar ahora mismo a tus cuentas publicitarias, y unos pocos hábitos lo mantienen así.
Comprobaciones inmediatas
- Centro de cuentas, Contraseña y seguridad, Dónde has iniciado sesión: busca sesiones de dispositivos o lugares que no reconozcas.
- Configuración de Facebook, Integraciones comerciales y Apps y sitios web: elimina cualquier app que no reconozcas o que ya no uses.
- Configuración del negocio, Personas y Usuarios del sistema: revisa si hay personas desconocidas, invitaciones pendientes o tokens de System User que no creaste tú.
- Actividad de la cuenta publicitaria: revisa los cambios recientes por si hay algo que no hiciste tú.
- Extensiones del navegador: en cada perfil donde inicias sesión en Facebook, elimina lo que no necesites, sobre todo lo que tenga acceso a todos los sitios web.
Si sospechas que te han comprometido
- Cierra todas las sesiones desde el Centro de cuentas.
- Cambia tu contraseña de Facebook.
- Activa la autenticación en dos pasos, a ser posible con una app de autenticación en lugar de SMS.
- Elimina las apps desconocidas y vuelve a autorizar solo las que sean de confianza.
- Revisa las cuentas publicitarias por si hay campañas o cambios de presupuesto que no hiciste tú.
- Revisa tu portfolio comercial por si hay personas o System Users desconocidos.
- Denuncia el acceso no autorizado en el servicio de ayuda para empresas de Meta y plantéate sustituir los métodos de pago de las cuentas publicitarias afectadas.
Hábitos continuos
- Ten un perfil de navegador dedicado a las cuentas publicitarias, con pocas extensiones y nada que toque dinero.
- Exige la autenticación en dos pasos a todas las personas de tu portfolio comercial.
- Revisa las apps conectadas y los System Users con una frecuencia fija, y revoca el acceso cuando alguien se vaya o retires una herramienta.
- Enseña lo básico al equipo: no compartir nunca tokens ni cookies, usar conexiones OAuth oficiales y avisar enseguida de cualquier cosa rara.
El camino hacia una gestión publicitaria segura
Los riesgos de compartir tokens y cookies no son teóricos: se derivan directamente de entregar un acceso amplio y sin acotar a un proveedor cuya seguridad no puedes ver. Las herramientas de API oficial eliminan esa categoría de riesgo:
- Permisos acotados: tú decides a qué puede acceder la herramienta
- Tokens emitidos por Meta: el acceso lo gestiona el propio sistema de Meta
- Revocación bajo tu control: elimina la app de tu configuración cuando quieras
- Visibilidad: todas las apps conectadas aparecen en tu configuración
- Normas de la plataforma: las apps están sujetas a los Términos de la Plataforma de Meta y pasan por App Review para los permisos avanzados
- Sin compartir contraseñas ni cookies: la herramienta nunca ve tu contraseña ni tu sesión
Esto también resuelve el problema de equipo que empuja a muchos media buyers a compartir accesos. En Wevion conectas tu cuenta de Meta una vez a través del propio diálogo de Meta y luego invitas a tus compañeros por email con roles y permisos, así que nadie tiene que entregar su inicio de sesión de Facebook. Para ver las herramientas que van por el otro camino, consulta nuestra comparativa de herramientas de autolaunch para Facebook.
¿Listo para dejar de compartir tokens y cookies? Empieza tu prueba gratuita de 14 días de Wevion: API oficial de Meta, autenticación OAuth, sin compartir contraseñas ni cookies.
Artículos relacionados: