Tool Facebook ads basati su token e cookie: analisi di sicurezza
Lena Brandt
Ad Policy & Compliance Analyst
Ogni tool grey-hat per la pubblicità su Facebook ha bisogno di una cosa per funzionare: l'accesso al tuo account Facebook. Come ottiene quell'accesso, e cosa espone, è il cuore della sicurezza token e cookie facebook ads, ed è la domanda che la maggior parte dei media buyer non si fa mai. Questo articolo confronta le due scorciatoie più comuni, condividere un access token e condividere i cookie di sessione, con la strada ufficiale.
Risposta rapida: la sicurezza di token e cookie nelle Facebook ads dipende da come un tool raggiunge il tuo account. Alcuni tool grey-hat lavorano con un access token o con cookie di sessione presi dal tuo browser, il che consegna il tuo accesso da utente connesso con permessi ampi e difficili da revocare. L'alternativa sicura è la Marketing API ufficiale di Meta con OAuth, che concede un accesso mirato che puoi vedere e rimuovere, senza esporre la tua sessione.
Questa è una guida difensiva: spiega cosa viene esposto e come proteggerti, non come si mettono in pratica questi metodi. Per il confronto più ampio tra strumenti ufficiali e grey-hat, leggi la nostra guida su Meta ads API: tool ufficiali vs tool grey-hat.
Come funziona l'autenticazione su Facebook
Per un tool pubblicitario l'autenticazione su Facebook funziona in uno di due modi: o Meta concede l'accesso al tool tramite OAuth, o il tool prende in prestito l'accesso che il tuo browser ha già. Tutto il resto dell'articolo discende da questa differenza.
Il flusso OAuth ufficiale
Quando un'applicazione legittima come Wevion si collega al tuo account Facebook, segue il flusso OAuth 2.0 di Meta:
- Lo avvii tu: clicchi per collegare il tuo account Meta nell'applicazione.
- Meta mostra una finestra: una schermata ospitata da Meta elenca esattamente cosa chiede l'app.
- Dai il consenso: approvi o rifiuti i permessi.
- Meta emette un token: il token copre solo i permessi approvati e va all'ID registrato dell'app.
- Il controllo resta a te: il token ha una durata definita e puoi rimuovere l'app in qualsiasi momento.
Le app collegate in questo modo compaiono nelle impostazioni di Facebook alla voce Integrazioni aziendali, e l'app è vincolata ai Platform Terms di Meta. Wevion funziona così: si collega con il token utente che Meta emette tramite OAuth, e un amministratore aziendale può aggiungere anche un token System User, anche se OAuth è la strada principale.
Cosa fanno invece i tool grey-hat
I tool grey-hat saltano questo flusso. Invece di chiedere a Meta di concedere l'accesso, lavorano con una credenziale che il tuo browser già possiede:
- Un access token dalla tua sessione attiva
- I cookie di sessione che tengono connesso il tuo browser
In entrambi i casi il tool ottiene l'accesso senza una concessione di permessi mirata, senza un'app che Meta abbia approvato per quell'accesso e senza un'app collegata che tu possa rimuovere.
Access token: cosa sono e dove arrivano
Un access token è la credenziale che dice ai server di Meta chi sta facendo una richiesta e cosa può fare. Quando lavori in Ads Manager, il tuo browser usa dei token dietro le quinte, ed è quel tipo di token che alcuni tool grey-hat usano.
Cos'è un "token EAAB"?
"EAAB" non è un termine ufficiale di Meta. È il soprannome che i media buyer danno agli access token la cui stringa inizia con queste quattro lettere: gli access token di Facebook iniziano con "EAA", e quelli usati dall'interfaccia pubblicitaria di Facebook di solito iniziano con "EAAB". Meta non pubblica cosa significhi il prefisso, quindi diffida di qualsiasi spiegazione "ufficiale" trovi online.
Dove arriva un token
Un token porta con sé i permessi della sessione da cui proviene. In ambito pubblicitario di solito comprendono:
| Ambito del permesso | Cosa consente | Livello di rischio |
|---|---|---|
ads_management | Creare, modificare ed eliminare campagne, ad set e annunci | Alto |
ads_read | Leggere i dati pubblicitari e le metriche di performance | Medio |
business_management | Gestire le impostazioni aziendali, comprese persone e asset | Critico |
pages_manage_ads | Creare annunci collegati alle tue Pagine | Alto |
pages_read_engagement | Leggere post e interazioni delle Pagine | Medio |
read_insights | Leggere insight e analytics | Medio |
Attenzione: non puoi restringere il perimetro di un token preso dalla tua sessione. Porta con sé tutto quello che ha la tua sessione, e una terza parte che lo possiede arriva esattamente fin lì.
Tipi di token e durata
La documentazione sugli access token di Meta descrive diversi tipi di token, che si comportano in modo diverso:
| Tipo di token | Durata tipica | Come finisce |
|---|---|---|
| Token utente a breve durata (OAuth) | Circa 1-2 ore | Scade da solo |
| Token utente a lunga durata (OAuth) | Circa 60 giorni | Scade, oppure rimuovi l'app |
| Token della Pagina | Può essere a lunga durata | Revocato tramite l'utente o la Pagina |
| Token System User | Può essere impostato senza scadenza | Revocato da un amministratore aziendale |
| Token preso da una sessione | Incerta, legata alla sessione | Nessuna app da rimuovere; finisce quando la sessione o il token vengono invalidati |
La documentazione di Meta indica anche che i token possono scadere in anticipo, per esempio dopo un cambio di password. I token System User appartengono al portfolio aziendale e non a una persona, ed è per questo che gli amministratori li usano per l'accesso server-to-server; vanno comunque limitati con cura e revocati quando non servono più.
Cookie di sessione: l'esposizione più ampia
I cookie di sessione tengono il tuo browser connesso a Facebook. Mentre un token arriva dove gli consentono i suoi permessi, un cookie di sessione può arrivare all'intero account, perché per Facebook sembra il tuo browser già connesso.
Ecco perché il furto di credenziali è una via d'accesso così comune agli account. Secondo il Verizon 2025 Data Breach Investigations Report, l'abuso di credenziali è stato il vettore di accesso iniziale più frequente nelle violazioni, al 22%. Consegnare i cookie di sessione a una terza parte aggiunge un altro posto da cui possono andare persi.
L'autenticazione a due fattori non copre bene questo caso. La 2FA protegge il momento in cui accedi; una sessione già autenticata ha superato quel controllo. Ecco perché il consiglio è di non esportare né condividere mai i cookie, e perché i tool che li chiedono meritano la massima cautela.
Accesso tramite token vs tramite cookie
| Aspetto | Tramite token | Tramite cookie |
|---|---|---|
| Perimetro di accesso | Quello che consentono i permessi del token | L'intero account |
| Cosa viene esposto | Dati e gestione pubblicitaria | Ads più messaggi, profilo e impostazioni |
| Visibilità per te | Nessuna app collegata da controllare | Nessuna app collegata da controllare |
| Revoca | Invalidare il token o la sessione | Uscire da tutte le sessioni e cambiare password |
| Se il tool viene compromesso | Asset pubblicitari a rischio | Intero account a rischio |
Categorie di tool e come si collegano
Invece di puntare il dito su singoli fornitori, è più utile conoscere le categorie e chiedere a ogni tool a quale appartiene:
| Categoria | Come ottiene l'accesso | Puoi vederlo e rimuoverlo nelle impostazioni? |
|---|---|---|
| Tool di automazione basati su token | Un access token dalla tua sessione | No |
| Tool di sessione basati su cookie | I tuoi cookie di sessione | No |
| Script di automazione di Ads Manager | Il tuo browser connesso | No |
| Tool di profili browser | Il tuo login, in un profilo isolato che controlli tu | Non applicabile: accedi tu |
| Piattaforme sull'API ufficiale come Wevion | OAuth, permessi mirati emessi da Meta | Sì |
Cosa metti a rischio condividendo l'accesso
Quando dai un token o dei cookie a un tool, crei una catena con diversi punti di rottura, e ti stai fidando del fornitore in ognuno di essi:
- Trasmissione: la credenziale viaggia cifrata verso il fornitore?
- Conservazione: è cifrata a riposo, e chi può leggere il database?
- Controllo degli accessi: quali persone del fornitore possono vedere le tue credenziali?
- Gestione degli incidenti: cosa succede se il fornitore viene compromesso?
- Conservazione nel tempo: per quanto viene tenuta la credenziale dopo che smetti di usare il servizio?
Per molti tool grey-hat queste risposte non sono pubbliche. E un fornitore che detiene le sessioni attive di molti inserzionisti è di per sé un bersaglio di grande valore: la domanda da porsi non è se oggi sembri affidabile, ma dove arriverebbe domani una sua compromissione.
Quando il canale di aggiornamento è la superficie d'attacco
Un'estensione che si aggiorna da sola è un canale di distribuzione, e questo rende la sua pipeline di aggiornamento parte di ciò di cui ti fidi. Ne approvi i permessi una volta, all'installazione; dopo, il codice dietro quei permessi può cambiare senza chiederti di nuovo nulla. Chi controlla la pipeline decide cosa gira in ogni browser che se ne fida, nello stesso momento.
Questo ribalta il consiglio abituale. "Tieni il software aggiornato" è giusto quasi sempre, ed è proprio il comportamento su cui conta un aggiornamento avvelenato. Niente di tutto questo riguarda un singolo prodotto o una singola categoria: qualsiasi componente con accesso a livello di browser viene distribuito tramite una pipeline.
Cosa significa in pratica
- Dove può arrivare un componente del genere: tutto ciò che il browser può leggere in quel profilo, compresi cookie di sessione, token nella memoria della pagina o nel local storage, dati di altre estensioni e appunti.
- Dove di norma non può arrivare: niente che stia in un profilo browser diverso. La separazione dei profili è il confine che regge, ed è gratis.
- Il raggio dei danni dipende dal profilo, non dal fornitore. Un profilo che contiene sia un wallet sia una sessione di Business Manager è a un solo componente compromesso dal perderli entrambi.
- Le conseguenze non sono simmetriche. Contro un account pubblicitario limitato spesso si può fare ricorso. Un wallet svuotato no. Tieni le cose irreversibili da un'altra parte.
Quindi le domande utili riguardano il tuo setup: quali estensioni vedono il profilo in cui sei connesso agli account pubblicitari, cos'altro vive in quel profilo e dove arriverebbe l'aggiornamento di domani.
Dove si collocano i tool di profili browser
I tool di profili browser, spesso chiamati browser anti-detect, risolvono accesso e identità: profili separati per ogni account che sei autorizzato a usare, e un modo per far lavorare un team senza passarsi le password. È un lavoro diverso dal lanciare campagne, applicare regole, gestire budget e misurare risultati su sei piattaforme pubblicitarie in un unico workspace, che è quello che fa Wevion. In molti setup reali i due convivono; il nostro confronto tra Wevion e i browser anti-detect mostra come. Wevion si collega tramite la Marketing API ufficiale di Meta con OAuth, quindi da parte nostra nessuno ti chiederà mai un cookie.
Consiglio pro: tieni il profilo che tocca i soldi separato da quello che tocca gli account pubblicitari. Non costa nulla, e limita dove può arrivare una singola estensione compromessa.
OAuth vs estrazione dei token: confronto diretto
OAuth ed estrazione dei token finiscono entrambi con un tool che possiede un token, ma cambiano chi l'ha emesso, cosa copre e se puoi riprendertelo.
| Aspetto | OAuth ufficiale (es. Wevion) | Token o cookie presi dalla tua sessione |
|---|---|---|
| Chi concede l'accesso | Meta, a un'app registrata | Nessuno: è copiato dalla tua sessione |
| Il tuo consenso | Esplicito, permesso per permesso | Nessuna finestra di permessi |
| Perimetro | I permessi che approvi | Tutto quello che ha la tua sessione |
| Durata | Definita da Meta | Incerta |
| Visibilità | App elencata nelle impostazioni di Facebook | Niente da vedere o rimuovere |
| Revoca | Rimuovi l'app nelle impostazioni | Invalida le sessioni e cambia password |
| Regole che il tool segue | Platform Terms e App Review di Meta | Fuori dall'accesso ufficiale di Meta |
| Se il fornitore viene compromesso | Limitato ai permessi approvati | Tutta la portata della tua sessione |
La differenza non è di grado. OAuth esiste per darti il controllo su cosa può fare una terza parte; prendere in prestito una sessione ti toglie quel controllo.
Wevion è una piattaforma di ad operations che collega Meta, Google, TikTok, Taboola, Snapchat e Outbrain tramite le loro API ufficiali (OAuth su Meta, Google, TikTok e Snapchat), sincronizza i dati circa ogni 15 minuti e ha Wavo, il copilota AI, che propone modifiche che approvi tu, mentre le regole agiscono solo alle condizioni che imposti.
Come valutare e proteggere il tuo setup
Che tu abbia usato tool grey-hat o no, un breve controllo mostra cosa può raggiungere oggi i tuoi account pubblicitari, e qualche abitudine fa sì che resti così.
Controlli immediati
- Centro gestione account, Password e sicurezza, Dove hai effettuato l'accesso: cerca sessioni da dispositivi o luoghi che non riconosci.
- Impostazioni di Facebook, Integrazioni aziendali e App e siti web: rimuovi le app che non riconosci o che non usi più.
- Impostazioni aziendali, Persone e Utenti di sistema: controlla se ci sono persone sconosciute, inviti in sospeso o token System User che non hai creato tu.
- Attività dell'account pubblicitario: rivedi le modifiche recenti cercando quelle che non hai fatto tu.
- Estensioni del browser: in ogni profilo in cui accedi a Facebook, rimuovi quelle che non ti servono, soprattutto quelle con accesso a tutti i siti web.
Se sospetti una compromissione
- Esci da tutte le sessioni dal Centro gestione account.
- Cambia la password di Facebook.
- Attiva l'autenticazione a due fattori, meglio con un'app di autenticazione che con gli SMS.
- Rimuovi le app sconosciute e autorizza di nuovo solo quelle di cui ti fidi.
- Controlla negli account pubblicitari campagne o modifiche di budget che non hai fatto tu.
- Controlla nel portfolio aziendale persone o System User sconosciuti.
- Segnala l'accesso non autorizzato tramite il Centro assistenza per le aziende di Meta, e valuta di sostituire i metodi di pagamento sugli account pubblicitari coinvolti.
Abitudini da mantenere
- Usa un profilo browser dedicato agli account pubblicitari, con poche estensioni e niente che tocchi i soldi.
- Rendi obbligatoria l'autenticazione a due fattori per tutti nel tuo portfolio aziendale.
- Controlla app collegate e System User a intervalli regolari, e revoca l'accesso quando una persona se ne va o un tool viene dismesso.
- Insegna al team le basi: mai condividere token o cookie, usare connessioni OAuth ufficiali e segnalare subito qualsiasi cosa insolita.
La strada verso una gestione ads sicura
I rischi della condivisione di token e cookie non sono teorici: derivano direttamente dal consegnare un accesso ampio e non limitato a un fornitore di cui non puoi vedere la sicurezza. I tool sull'API ufficiale eliminano questa categoria di rischio:
- Permessi mirati: decidi tu a cosa può accedere il tool
- Token emessi da Meta: l'accesso è gestito dal sistema di Meta
- Revoca sotto il tuo controllo: rimuovi l'app dalle impostazioni quando vuoi
- Visibilità: ogni app collegata è elencata nelle tue impostazioni
- Regole della piattaforma: le app sono vincolate ai Platform Terms di Meta e passano l'App Review per i permessi avanzati
- Nessuna condivisione di password o cookie: il tool non vede mai la tua password né la tua sessione
Questo risolve anche il problema del team che spinge molti buyer verso i login condivisi. In Wevion colleghi il tuo account Meta una volta, tramite la finestra di Meta, poi inviti i colleghi via email con ruoli e permessi, così nessuno deve consegnare un login di Facebook. Per uno sguardo ai tool che seguono l'altra strada, leggi il nostro confronto dei tool di autolaunch per Facebook.
Pronto a smettere di condividere token e cookie? Inizia la tua prova gratuita di 14 giorni di Wevion: Meta API ufficiale, autenticazione OAuth, nessuna password o cookie condivisi.
Articoli correlati: