Ferramentas de Facebook Ads com token e cookie: análise de segurança
Lena Brandt
Ad Policy & Compliance Analyst
Toda ferramenta grey-hat de publicidade no Facebook precisa de uma coisa para funcionar: acesso à sua conta do Facebook. Como ela obtém esse acesso, e o que esse acesso expõe, é o centro da segurança de token e cookie no facebook ads, e é a pergunta que a maioria dos media buyers nunca faz. Este artigo compara os dois atalhos mais comuns, compartilhar um token de acesso e compartilhar cookies de sessão, com o caminho oficial.
Resposta rápida: a segurança de tokens e cookies no Facebook Ads se resume a como uma ferramenta chega à sua conta. Algumas ferramentas grey-hat trabalham com um token de acesso ou cookies de sessão tirados do seu navegador, o que entrega o seu acesso logado com permissões amplas e difíceis de revogar. A alternativa segura é a Marketing API oficial da Meta com OAuth, que concede um acesso limitado que você pode ver e remover, sem expor a sua sessão.
Este é um guia defensivo: explica o que fica exposto e como se proteger, não como qualquer um desses métodos é executado. Para a comparação mais ampla entre ferramentas oficiais e grey-hat, veja nosso guia sobre ferramentas oficiais da Meta Ads API vs ferramentas grey-hat.
Como funciona a autenticação do Facebook
Para uma ferramenta de publicidade, a autenticação do Facebook funciona de duas formas: ou a Meta concede acesso à ferramenta via OAuth, ou a ferramenta pega emprestado um acesso que o seu navegador já tem. Todo o resto deste artigo decorre dessa diferença.
O fluxo OAuth oficial
Quando um aplicativo legítimo como a Wevion se conecta à sua conta do Facebook, ele segue o fluxo OAuth 2.0 da Meta:
- Você inicia: clica para conectar sua conta da Meta no aplicativo.
- A Meta mostra uma janela: uma tela hospedada pela Meta lista exatamente o que o app pede.
- Você consente: aprova ou recusa as permissões.
- A Meta emite um token: o token cobre só as permissões aprovadas e vai para o ID registrado do app.
- Você mantém o controle: o token tem uma duração definida e você pode remover o app quando quiser.
Os apps conectados dessa forma aparecem nas configurações do Facebook em Integrações comerciais, e o app está sujeito aos Termos da Plataforma da Meta. A Wevion funciona assim: conecta-se com o token de usuário que a Meta emite via OAuth, e um administrador do negócio também pode adicionar um token de System User, mas o OAuth é o caminho principal.
O que as ferramentas grey-hat fazem no lugar
As ferramentas grey-hat pulam esse fluxo. Em vez de pedir à Meta que conceda acesso, trabalham com uma credencial que o seu navegador já guarda:
- Um token de acesso da sua sessão logada
- Cookies de sessão que mantêm o seu navegador logado
Em ambos os casos, a ferramenta obtém acesso sem uma concessão de permissões limitada, sem um app que a Meta tenha aprovado para esse acesso e sem um app conectado que você possa remover.
Tokens de acesso: o que são e o que alcançam
Um token de acesso é a credencial que diz aos servidores da Meta quem está fazendo uma solicitação e o que pode fazer. Quando você trabalha no Ads Manager, o seu navegador usa tokens nos bastidores, e é esse o tipo de token com que algumas ferramentas grey-hat trabalham.
O que é um "token EAAB"?
"EAAB" não é um termo oficial da Meta. É o apelido que os media buyers dão aos tokens de acesso cuja sequência começa com essas quatro letras: os tokens de acesso do Facebook começam com "EAA", e os usados pela própria interface de publicidade do Facebook normalmente começam com "EAAB". A Meta não publica o que o prefixo significa, então desconfie de qualquer explicação "oficial" que você leia na internet.
O que um token alcança
Um token carrega as permissões da sessão de onde veio. Em um contexto de publicidade, elas normalmente incluem:
| Escopo de permissão | O que permite | Nível de risco |
|---|---|---|
ads_management | Criar, editar e excluir campanhas, conjuntos de anúncios e anúncios | Alto |
ads_read | Ler dados de publicidade e métricas de desempenho | Médio |
business_management | Gerenciar as configurações do negócio, incluindo pessoas e ativos | Crítico |
pages_manage_ads | Criar anúncios ligados às suas Páginas | Alto |
pages_read_engagement | Ler publicações e engajamento das Páginas | Médio |
read_insights | Ler insights e análises | Médio |
Atenção: você não consegue reduzir o escopo de um token tirado da sua sessão. Ele carrega tudo o que a sua sessão carrega, e um terceiro que o tenha alcança o mesmo.
Tipos de token e duração
A documentação de tokens de acesso da Meta descreve vários tipos de token, que se comportam de forma diferente:
| Tipo de token | Duração típica | Como termina |
|---|---|---|
| Token de usuário de curta duração (OAuth) | Cerca de 1 a 2 horas | Expira sozinho |
| Token de usuário de longa duração (OAuth) | Cerca de 60 dias | Expira, ou você remove o app |
| Token de Página | Pode ser de longa duração | Revogado pelo usuário ou pela Página |
| Token de System User | Pode ser configurado para não expirar | Revogado por um administrador do negócio |
| Token tirado de uma sessão | Incerta, ligada à sessão | Não há app para remover; termina quando a sessão ou o token é invalidado |
A documentação da Meta também observa que os tokens podem expirar antes do prazo, por exemplo depois de uma troca de senha. Os tokens de System User pertencem ao portfólio empresarial e não a uma pessoa, e é por isso que os administradores os usam para acesso de servidor para servidor; mesmo assim, precisam de um escopo cuidadoso e de revogação quando deixam de ser necessários.
Cookies de sessão: a exposição mais ampla
Os cookies de sessão mantêm o seu navegador logado no Facebook. Enquanto um token alcança o que suas permissões permitem, um cookie de sessão pode alcançar a conta inteira, porque para o Facebook ele parece o seu navegador já logado.
É por isso que o roubo de credenciais é uma porta de entrada tão comum. O abuso de credenciais foi o vetor de acesso inicial mais comum nas violações, com 22%, segundo o Verizon 2025 Data Breach Investigations Report. Entregar cookies de sessão a um terceiro cria mais um lugar de onde eles podem vazar.
A autenticação de dois fatores não cobre bem esse caso. A 2FA protege o momento do login; uma sessão já autenticada já passou por essa verificação. É por isso que o conselho é nunca exportar nem compartilhar cookies, e por que as ferramentas que os pedem merecem a máxima cautela.
Acesso por token vs acesso por cookie
| Aspecto | Por token | Por cookie |
|---|---|---|
| Escopo do acesso | O que as permissões do token permitem | A conta inteira |
| O que fica exposto | Dados e gestão de publicidade | Anúncios mais mensagens, perfil e configurações |
| Visibilidade para você | Nenhum app conectado para revisar | Nenhum app conectado para revisar |
| Revogação | Invalidar o token ou a sessão | Sair de todas as sessões e trocar a senha |
| Se a ferramenta for comprometida | Ativos de publicidade em risco | Conta inteira em risco |
Categorias de ferramentas e como se conectam
Em vez de apontar fornecedores, é mais útil conhecer as categorias e perguntar a qualquer ferramenta a qual delas pertence:
| Categoria | Como obtém acesso | Você pode vê-la e removê-la nas configurações? |
|---|---|---|
| Ferramentas de automação baseadas em token | Um token de acesso da sua sessão | Não |
| Ferramentas de sessão baseadas em cookie | Os seus cookies de sessão | Não |
| Scripts de automação do Ads Manager | O seu navegador logado | Não |
| Ferramentas de perfis de navegador | Seu próprio login, em um perfil isolado que você controla | Não se aplica: você mesmo faz login |
| Plataformas da API oficial como a Wevion | OAuth, permissões limitadas emitidas pela Meta | Sim |
O que compartilhar o acesso coloca em risco
Quando você entrega um token ou cookies a uma ferramenta, cria uma cadeia com vários pontos de falha, e está confiando no fornecedor em cada um deles:
- Transporte: a credencial vai criptografada até o fornecedor?
- Armazenamento: fica criptografada em repouso, e quem pode ler o banco de dados?
- Controles de acesso: quais funcionários conseguem ver suas credenciais?
- Resposta a incidentes: o que acontece se o fornecedor for comprometido?
- Retenção: por quanto tempo a credencial é guardada depois que você para de usar o serviço?
Em muitas ferramentas grey-hat, essas respostas não são publicadas. E um fornecedor que guarda as sessões ativas de muitos anunciantes é, por si só, um alvo valioso: a pergunta que vale fazer não é se ele parece confiável hoje, mas o que um comprometimento dele alcançaria amanhã.
Quando o canal de atualização é a superfície de ataque
Uma extensão que se atualiza sozinha é um canal de distribuição, e isso torna o pipeline de atualização dela parte daquilo em que você confia. Você aprova as permissões uma vez, na instalação; depois disso, o código por trás delas pode mudar sem pedir de novo. Quem controla o pipeline decide o que roda em todos os navegadores que confiam nele, no mesmo momento.
Isso inverte o conselho de sempre. "Mantenha seu software atualizado" está certo quase sempre, e é exatamente o comportamento de que depende uma atualização envenenada. Nada disso é específico de um produto ou de uma categoria: qualquer componente com acesso no nível do navegador chega por um pipeline.
O que isso significa na prática
- O que um componente desses alcança: tudo o que o navegador lê naquele perfil, incluindo cookies de sessão, tokens na memória da página ou no armazenamento local, dados de outras extensões e a área de transferência.
- O que normalmente não alcança: nada em um perfil de navegador diferente. A separação de perfis é a fronteira que funciona, e é gratuita.
- O raio de impacto pertence ao perfil, não ao fornecedor. Um perfil com uma carteira e uma sessão do Business Manager está a um componente comprometido de perder as duas coisas.
- As consequências não são simétricas. Uma conta de anúncios restringida muitas vezes admite recurso. Uma carteira esvaziada, não. Mantenha o que é irreversível em outro lugar.
Então as perguntas úteis são sobre a sua própria configuração: quais extensões enxergam o perfil em que suas contas de anúncios estão logadas, o que mais vive nesse perfil e até onde chegaria a atualização de amanhã.
Onde ficam as ferramentas de perfis de navegador
As ferramentas de perfis de navegador, muitas vezes chamadas de navegadores anti-detect, resolvem acesso e identidade: perfis separados para cada conta que você está autorizado a usar e uma forma de a equipe trabalhar sem ficar passando senhas. É um trabalho diferente de lançar, criar regras, orçar e medir campanhas em seis plataformas de anúncios em um só workspace, que é o que a Wevion faz. Em muitas configurações reais as duas coisas rodam lado a lado; nossa comparação entre a Wevion e os navegadores anti-detect mostra como. A Wevion se conecta pela Marketing API oficial da Meta com OAuth, então nada do nosso lado jamais pede um cookie a você.
Dica: mantenha o perfil que mexe com dinheiro separado do perfil que mexe com contas de anúncios. Não custa nada e limita o que qualquer extensão comprometida consegue alcançar.
OAuth vs extração de tokens: comparação direta
O OAuth e a extração de tokens terminam com uma ferramenta segurando um token, mas diferem em quem o emitiu, o que ele cobre e se você consegue retirá-lo.
| Aspecto | OAuth oficial (ex.: Wevion) | Token ou cookie tirado da sua sessão |
|---|---|---|
| Quem concede o acesso | A Meta, para um app registrado | Ninguém: é copiado da sua sessão |
| Seu consentimento | Explícito, por permissão | Nenhuma janela de permissões |
| Escopo | As permissões que você aprova | Tudo o que a sua sessão tem |
| Duração | Definida pela Meta | Incerta |
| Visibilidade | App listado nas configurações do Facebook | Nada para ver ou remover |
| Revogação | Remover o app nas configurações | Invalidar as sessões e trocar a senha |
| Regras que a ferramenta segue | Termos da Plataforma da Meta e App Review | Fora do acesso oficial da Meta |
| Se o fornecedor for comprometido | Limitado aos escopos aprovados | Todo o alcance da sua sessão |
A diferença não é de grau. O OAuth existe para dar a você controle sobre o que um terceiro pode fazer; pegar uma sessão emprestada tira esse controle.
A Wevion é uma plataforma de operações de anúncios que conecta Meta, Google, TikTok, Taboola, Snapchat e Outbrain pelas APIs oficiais (OAuth na Meta, no Google, no TikTok e no Snapchat), sincroniza os dados mais ou menos a cada 15 minutos e tem Wavo, o copiloto de IA, que propõe mudanças que você aprova, enquanto as regras agem só nas condições que você define.
Como avaliar e proteger sua configuração
Tenha você usado ferramentas grey-hat ou não, uma auditoria rápida mostra o que hoje consegue chegar às suas contas de anúncios, e alguns hábitos mantêm tudo em ordem.
Verificações imediatas
- Central de Contas, Senha e segurança, Onde você está conectado: procure sessões de dispositivos ou lugares que você não reconhece.
- Configurações do Facebook, Integrações comerciais e Apps e sites: remova qualquer app que você não reconhece ou não usa mais.
- Configurações do negócio, Pessoas e Usuários do sistema: procure pessoas desconhecidas, convites pendentes ou tokens de System User que você não criou.
- Atividade da conta de anúncios: revise as mudanças recentes em busca de algo que você não fez.
- Extensões do navegador: em cada perfil em que você entra no Facebook, remova o que não precisa, principalmente o que tem acesso a todos os sites.
Se você suspeita de um comprometimento
- Saia de todas as sessões na Central de Contas.
- Troque sua senha do Facebook.
- Ative a autenticação de dois fatores, de preferência com um app autenticador em vez de SMS.
- Remova os apps desconhecidos e autorize de novo só os que você confia.
- Verifique nas contas de anúncios se há campanhas ou mudanças de orçamento que você não fez.
- Verifique no portfólio empresarial se há pessoas ou System Users desconhecidos.
- Denuncie o acesso não autorizado pela Central de Ajuda para Empresas da Meta e considere substituir as formas de pagamento das contas de anúncios afetadas.
Hábitos contínuos
- Mantenha um perfil de navegador dedicado às contas de anúncios, com poucas extensões e nada que mexa com dinheiro.
- Exija a autenticação de dois fatores de todos no seu portfólio empresarial.
- Revise os apps conectados e os System Users com regularidade, e revogue o acesso quando uma pessoa sai ou uma ferramenta é aposentada.
- Ensine o básico à equipe: nunca compartilhar tokens ou cookies, usar conexões OAuth oficiais e reportar na hora qualquer coisa estranha.
O caminho para uma gestão de anúncios segura
Os riscos de compartilhar tokens e cookies não são teóricos: decorrem diretamente de entregar um acesso amplo e sem limites a um fornecedor cuja segurança você não consegue ver. As ferramentas da API oficial eliminam essa categoria de risco:
- Permissões limitadas: você decide o que a ferramenta pode acessar
- Tokens emitidos pela Meta: o acesso é gerenciado pelo sistema da própria Meta
- Revogação sob seu controle: remova o app das suas configurações quando quiser
- Visibilidade: todo app conectado aparece nas suas configurações
- Regras da plataforma: os apps estão sujeitos aos Termos da Plataforma da Meta e passam pelo App Review para permissões avançadas
- Sem compartilhar senhas nem cookies: a ferramenta nunca vê sua senha nem sua sessão
Isso também resolve o problema de equipe que leva muitos media buyers a compartilhar logins. Na Wevion você conecta sua conta da Meta uma vez, pela própria janela da Meta, e depois convida colegas por e-mail com papéis e permissões, então ninguém precisa entregar um login do Facebook. Para conhecer as ferramentas que seguem o outro caminho, veja nossa comparação de ferramentas de autolaunch para Facebook.
Pronto para parar de compartilhar tokens e cookies? Comece seu teste grátis de 14 dias da Wevion: API oficial da Meta, autenticação OAuth, sem compartilhar senhas nem cookies.
Artigos relacionados: