Outils Facebook Ads basés sur les tokens et les cookies : analyse de sécurité
Lena Brandt
Analyste policies publicitaires et conformité
Tout outil publicitaire Facebook grey-hat a besoin d'une chose pour fonctionner : un accès à votre compte Facebook. La façon dont il obtient cet accès, et ce que cet accès expose, est le cœur de la sécurité des tokens et cookies Facebook Ads, et c'est la question que la plupart des media buyers ne posent jamais. Cet article compare les deux raccourcis courants, le partage d'un token d'accès et le partage des cookies de session, avec la voie officielle.
Réponse rapide : La sécurité des tokens et cookies Facebook Ads se résume à la façon dont un outil atteint votre compte. Certains outils grey-hat travaillent avec un token d'accès ou des cookies de session prélevés dans votre navigateur, ce qui revient à céder votre accès connecté, avec des permissions larges et difficiles à révoquer. L'alternative sûre est la Marketing API officielle de Meta avec OAuth, qui accorde un accès limité que vous pouvez voir et supprimer, sans exposer votre session.
C'est un guide défensif : il explique ce qui est exposé et comment vous protéger, pas comment ces méthodes sont mises en œuvre. Pour la comparaison plus large entre outils officiels et grey-hat, consultez notre guide sur les outils officiels de l'API Meta Ads face aux outils grey-hat.
Comment fonctionne l'authentification Facebook
Pour un outil publicitaire, l'authentification Facebook fonctionne de l'une de deux façons : soit Meta donne accès à l'outil via OAuth, soit l'outil emprunte un accès que votre navigateur possède déjà. Tout le reste de cet article découle de cette différence.
Le parcours OAuth officiel
Quand une application légitime comme Wevion se connecte à votre compte Facebook, elle suit le parcours OAuth 2.0 de Meta :
- Vous le lancez : vous cliquez pour connecter votre compte Meta dans l'application.
- Meta affiche une fenêtre : un écran hébergé par Meta liste exactement ce que l'app demande.
- Vous consentez : vous approuvez ou refusez les permissions.
- Meta émet un token : le token ne couvre que les permissions approuvées et est attribué à l'ID enregistré de l'app.
- Vous gardez le contrôle : le token a une durée de vie définie et vous pouvez supprimer l'app à tout moment.
Les apps connectées de cette façon sont listées dans vos paramètres Facebook sous Intégrations professionnelles, et l'app est liée par les Platform Terms de Meta. Wevion fonctionne ainsi : il se connecte avec le token utilisateur que Meta émet via OAuth, et un admin business peut aussi ajouter un token System User, mais OAuth reste la voie principale.
Ce que font les outils grey-hat à la place
Les outils grey-hat sautent ce parcours. Au lieu de demander à Meta de leur donner accès, ils travaillent avec un identifiant que votre navigateur détient déjà :
- Un token d'accès issu de votre session connectée
- Des cookies de session qui gardent votre navigateur connecté
Dans les deux cas, l'outil obtient l'accès sans attribution de permissions limitées, sans app que Meta a approuvée pour cet accès, et sans app connectée que vous puissiez supprimer.
Les tokens d'accès : ce qu'ils sont et ce qu'ils atteignent
Un token d'accès est l'identifiant qui indique aux serveurs de Meta qui fait une requête et ce qu'il a le droit de faire. Quand vous travaillez dans le Gestionnaire de publicités, votre navigateur utilise des tokens en coulisses, et c'est ce type de token avec lequel travaillent certains outils grey-hat.
Qu'est-ce qu'un « token EAAB » ?
« EAAB » n'est pas un terme officiel de Meta. C'est le surnom que les media buyers donnent aux tokens d'accès dont la chaîne commence par ces quatre lettres : les tokens d'accès Facebook commencent par « EAA », et ceux qu'utilise l'interface publicitaire de Facebook commencent généralement par « EAAB ». Meta ne publie pas la signification du préfixe, méfiez-vous donc de toute explication « officielle » trouvée en ligne.
Ce qu'un token peut atteindre
Un token porte les permissions de la session dont il provient. Dans un contexte publicitaire, elles comprennent généralement :
| Périmètre de permission | Ce qu'il permet | Niveau de risque |
|---|---|---|
ads_management | Créer, modifier et supprimer campagnes, ad sets et annonces | Élevé |
ads_read | Lire les données publicitaires et les métriques de performance | Moyen |
business_management | Gérer les paramètres Business, y compris les personnes et les actifs | Critique |
pages_manage_ads | Créer des publicités liées à vos Pages | Élevé |
pages_read_engagement | Lire les publications et l'engagement des Pages | Moyen |
read_insights | Lire les statistiques et les analyses | Moyen |
Attention : Vous ne pouvez pas restreindre le périmètre d'un token prélevé dans votre session. Il porte tout ce que porte votre session, et un tiers qui le détient a la même portée.
Types de tokens et durées de vie
La documentation de Meta sur les tokens d'accès décrit plusieurs types de tokens, qui se comportent différemment :
| Type de token | Durée de vie habituelle | Comment il prend fin |
|---|---|---|
| Token utilisateur de courte durée (OAuth) | Environ 1 à 2 heures | Expire de lui-même |
| Token utilisateur de longue durée (OAuth) | Environ 60 jours | Expire, ou vous supprimez l'app |
| Token de Page | Peut être de longue durée | Révoqué via l'utilisateur ou la Page |
| Token System User | Peut être configuré pour ne pas expirer | Révoqué par un admin business |
| Token prélevé dans une session | Incertaine, liée à la session | Aucune app à supprimer ; prend fin quand la session ou le token est invalidé |
La documentation de Meta précise aussi que les tokens peuvent expirer de façon anticipée, par exemple après un changement de mot de passe. Les tokens System User appartiennent au portefeuille business plutôt qu'à une personne, c'est pourquoi les admins les utilisent pour l'accès de serveur à serveur ; ils doivent quand même être limités avec soin et révoqués quand ils ne servent plus.
Les cookies de session : une exposition plus large
Les cookies de session gardent votre navigateur connecté à Facebook. Là où un token atteint ce que ses permissions autorisent, un cookie de session peut atteindre tout le compte, parce que pour Facebook il ressemble à votre navigateur déjà connecté.
C'est pourquoi le vol d'identifiants est une porte d'entrée si courante vers les comptes. L'abus d'identifiants était le vecteur d'accès initial le plus fréquent dans les violations de données, avec 22 %, selon le Verizon 2025 Data Breach Investigations Report. Remettre ses cookies de session à un tiers ajoute un endroit de plus d'où ils peuvent fuiter.
La double authentification couvre mal ce cas. La 2FA protège le moment où vous vous connectez ; une session déjà authentifiée a passé ce contrôle. C'est pourquoi le conseil est de ne jamais exporter ni partager vos cookies, et pourquoi les outils qui les demandent méritent la plus grande prudence.
Accès par token ou accès par cookie
| Aspect | Par token | Par cookie |
|---|---|---|
| Périmètre d'accès | Ce que les permissions du token autorisent | Tout le compte |
| Ce qui est exposé | Données et gestion publicitaires | Pubs plus messages, profil et paramètres |
| Visibilité pour vous | Aucune app connectée à vérifier | Aucune app connectée à vérifier |
| Révocation | Invalider le token ou la session | Déconnecter toutes les sessions et changer de mot de passe |
| Si l'outil est compromis | Actifs publicitaires en danger | Compte entier en danger |
Catégories d'outils et mode de connexion
Plutôt que de pointer des fournisseurs, il est plus utile de connaître les catégories et de demander à chaque outil à laquelle il appartient :
| Catégorie | Comment elle obtient l'accès | Pouvez-vous la voir et la supprimer dans vos paramètres ? |
|---|---|---|
| Outils d'automatisation par token | Un token d'accès issu de votre session | Non |
| Outils de session par cookie | Vos cookies de session | Non |
| Scripts d'automatisation du Gestionnaire de publicités | Votre navigateur connecté | Non |
| Outils de profils de navigateur | Votre propre connexion, dans un profil isolé que vous contrôlez | Sans objet : vous vous connectez vous-même |
| Plateformes sur l'API officielle comme Wevion | OAuth, permissions limitées émises par Meta | Oui |
Ce que le partage d'accès met en danger
Quand vous confiez un token ou des cookies à un outil, vous créez une chaîne avec plusieurs points de défaillance, et vous faites confiance au fournisseur à chacun d'eux :
- Transport : l'identifiant est-il chiffré pendant son transfert vers le fournisseur ?
- Stockage : est-il chiffré au repos, et qui peut lire la base de données ?
- Contrôle des accès : quels employés peuvent voir vos identifiants ?
- Réponse aux incidents : que se passe-t-il si le fournisseur est compromis ?
- Conservation : combien de temps l'identifiant est-il gardé après que vous avez cessé d'utiliser le service ?
Pour beaucoup d'outils grey-hat, ces réponses ne sont pas publiées. Et un fournisseur qui détient les sessions actives de nombreux annonceurs est une cible de grande valeur en soi : la question utile n'est pas de savoir s'il semble digne de confiance aujourd'hui, mais ce qu'une compromission de ce fournisseur atteindrait demain.
Quand le canal de mise à jour est la surface d'attaque
Une extension qui se met à jour seule est un canal de distribution, et son pipeline de mise à jour fait donc partie de ce à quoi vous faites confiance. Vous approuvez ses permissions une fois, à l'installation ; ensuite, le code derrière ces permissions peut changer sans vous redemander votre accord. Celui qui contrôle le pipeline décide de ce qui tourne dans chaque navigateur qui lui fait confiance, au même moment.
Cela renverse le conseil habituel. « Gardez vos logiciels à jour » est juste presque toujours, et c'est exactement le comportement sur lequel compte une mise à jour piégée. Rien ici n'est propre à un produit ou à une catégorie : tout composant ayant un accès au niveau du navigateur est livré par un pipeline.
Ce que cela signifie en pratique
- Ce qu'un tel composant peut atteindre : tout ce que le navigateur peut lire dans ce profil, y compris les cookies de session, les tokens en mémoire de page ou en stockage local, les données des autres extensions et le presse-papiers.
- Ce qu'il ne peut normalement pas atteindre : tout ce qui se trouve dans un profil de navigateur différent. La séparation des profils est la frontière qui tient, et elle est gratuite.
- L'étendue des dégâts dépend du profil, pas du fournisseur. Un profil qui contient à la fois un wallet et une session Business Manager est à un composant compromis de perdre les deux.
- Les conséquences ne sont pas symétriques. Un compte publicitaire restreint peut souvent faire l'objet d'un recours. Un wallet vidé, non. Gardez les choses irréversibles ailleurs.
Les questions utiles portent donc sur votre propre setup : quelles extensions peuvent voir le profil où vos comptes publicitaires sont connectés, quoi d'autre vit dans ce profil, et ce que la mise à jour de demain atteindrait.
La place des outils de profils de navigateur
Les outils de profils de navigateur, souvent appelés navigateurs anti-détection, traitent l'accès et l'identité : des profils séparés pour chaque compte que vous êtes autorisé à utiliser, et un moyen pour une équipe de travailler sans faire circuler de mots de passe. C'est un autre métier que lancer, encadrer par des règles, budgéter et mesurer des campagnes sur six plateformes publicitaires dans un seul espace de travail, ce que fait Wevion. Dans beaucoup de setups réels, les deux fonctionnent côte à côte ; notre comparaison entre Wevion et les navigateurs anti-détection montre comment. Wevion se connecte via la Marketing API officielle de Meta avec OAuth, rien de notre côté ne vous demandera donc jamais un cookie.
Conseil pro : Séparez le profil qui touche à l'argent de celui qui touche aux comptes publicitaires. Cela ne coûte rien, et cela limite ce qu'une seule extension compromise peut atteindre.
OAuth ou extraction de token : comparaison directe
OAuth et l'extraction de token se terminent tous deux par un outil qui détient un token, mais ils diffèrent sur qui l'a émis, ce qu'il couvre et si vous pouvez le reprendre.
| Aspect | OAuth officiel (ex. Wevion) | Token ou cookie prélevé dans votre session |
|---|---|---|
| Qui donne l'accès | Meta, à une app enregistrée | Personne : il est copié depuis votre session |
| Votre consentement | Explicite, permission par permission | Aucune fenêtre de permissions |
| Périmètre | Les permissions que vous approuvez | Tout ce qu'a votre session |
| Durée de vie | Définie par Meta | Incertaine |
| Visibilité | App listée dans vos paramètres Facebook | Rien à voir ni à supprimer |
| Révocation | Supprimer l'app dans vos paramètres | Invalider les sessions et changer de mot de passe |
| Règles que suit l'outil | Platform Terms et App Review de Meta | En dehors de l'accès officiel de Meta |
| Si le fournisseur est compromis | Limité aux périmètres approuvés | Toute la portée de votre session |
La différence n'est pas une question de degré. OAuth existe pour vous donner le contrôle sur ce qu'un tiers peut faire ; emprunter une session vous retire ce contrôle.
Wevion est une plateforme d'opérations publicitaires qui connecte Meta, Google, TikTok, Taboola, Snapchat et Outbrain via leurs API officielles (OAuth sur Meta, Google, TikTok et Snapchat), synchronise les données environ toutes les 15 minutes et fait proposer par Wavo, le copilote IA, des modifications que vous approuvez, tandis que les règles n'agissent que selon les conditions que vous fixez.
Comment évaluer et protéger votre setup
Que vous ayez utilisé des outils grey-hat ou non, un court audit montre ce qui peut actuellement atteindre vos comptes publicitaires, et quelques habitudes permettent que cela reste ainsi.
Vérifications immédiates
- Espace Comptes, Mot de passe et sécurité, Où vous êtes connecté : cherchez des sessions depuis des appareils ou des lieux que vous ne reconnaissez pas.
- Paramètres Facebook, Intégrations professionnelles et Apps et sites web : supprimez toute app que vous ne reconnaissez pas ou n'utilisez plus.
- Paramètres Business, Personnes et Utilisateurs système : vérifiez qu'il n'y a pas de personnes inconnues, d'invitations en attente ou de tokens System User que vous n'avez pas créés.
- Activité des comptes publicitaires : passez en revue les changements récents pour repérer ce que vous n'avez pas fait.
- Extensions de navigateur : dans chaque profil où vous vous connectez à Facebook, supprimez ce dont vous n'avez pas besoin, surtout ce qui a accès à tous les sites.
Si vous soupçonnez une compromission
- Déconnectez toutes les sessions depuis l'Espace Comptes.
- Changez votre mot de passe Facebook.
- Activez la double authentification, idéalement avec une app d'authentification plutôt que par SMS.
- Supprimez les apps inconnues et ne réautorisez que celles en qui vous avez confiance.
- Vérifiez les comptes publicitaires pour repérer des campagnes ou des changements de budget que vous n'avez pas faits.
- Vérifiez votre portefeuille business pour repérer des personnes ou des System Users inconnus.
- Signalez tout accès non autorisé via le Centre d'aide Business de Meta, et envisagez de remplacer les moyens de paiement des comptes publicitaires concernés.
Habitudes durables
- Gardez un profil de navigateur dédié aux comptes publicitaires, avec peu d'extensions et rien qui touche à l'argent.
- Exigez la double authentification pour toutes les personnes de votre portefeuille business.
- Passez en revue les apps connectées et les System Users à intervalles réguliers, et révoquez l'accès quand une personne part ou qu'un outil est abandonné.
- Formez l'équipe aux bases : ne jamais partager de tokens ni de cookies, utiliser les connexions OAuth officielles, et signaler immédiatement toute anomalie.
Vers une gestion publicitaire sécurisée
Les risques du partage de tokens et de cookies ne sont pas théoriques : ils découlent directement du fait de confier un accès large et non limité à un fournisseur dont vous ne voyez pas la sécurité. Les outils de l'API officielle suppriment cette catégorie de risque :
- Permissions limitées : vous décidez de ce à quoi l'outil peut accéder
- Tokens émis par Meta : l'accès est géré par le propre système de Meta
- Révocation sous votre contrôle : supprimez l'app de vos paramètres quand vous le voulez
- Visibilité : chaque app connectée est listée dans vos paramètres
- Règles de la plateforme : les apps sont liées par les Platform Terms de Meta et passent l'App Review pour les permissions avancées
- Aucun partage de mot de passe ni de cookie : l'outil ne voit jamais votre mot de passe ni votre session
Cela règle aussi le problème d'équipe qui pousse beaucoup de media buyers vers les logins partagés. Dans Wevion, vous connectez votre compte Meta une seule fois via la fenêtre de Meta, puis vous invitez vos collègues par e-mail avec des rôles et permissions, sans que personne ait à céder un login Facebook. Pour un aperçu des outils qui prennent l'autre voie, consultez notre comparatif des outils d'autolaunch Facebook.
Prêt à arrêter de partager tokens et cookies ? Lancez votre essai gratuit de 14 jours de Wevion : API Meta officielle, authentification OAuth, aucun mot de passe ni cookie partagé.
Articles liés :