Инструменты Facebook Ads на токенах и cookie: разбор безопасности

Любому grey-hat инструменту для рекламы в Facebook для работы нужно одно: доступ к вашему аккаунту Facebook. Как он получает этот доступ и что этот доступ открывает – суть темы безопасности токенов и cookie в facebook ads, и именно этот вопрос большинство медиабайеров себе не задают. В статье сравниваем два популярных обходных пути, передачу access token и передачу cookie сессии, с официальным способом.

Это защитное руководство: оно объясняет, что именно открыто и как себя защитить, а не как применяются эти методы. Более широкое сравнение официальных и grey-hat инструментов смотрите в нашем руководстве Meta Ads API: официальные инструменты и grey-hat.

Как работает аутентификация Facebook

Для рекламного инструмента аутентификация Facebook работает одним из двух способов: либо Meta выдаёт инструменту доступ через OAuth, либо инструмент заимствует доступ, который уже есть у вашего браузера. Всё остальное в статье следует из этой разницы.

Официальный процесс OAuth

Когда легитимное приложение, например Wevion, подключается к вашему аккаунту Facebook, оно проходит процесс OAuth 2.0 от Meta:

1. Вы запускаете его: нажимаете в приложении кнопку подключения аккаунта Meta.
2. Meta показывает окно: страница на стороне Meta перечисляет, что именно запрашивает приложение.
3. Вы даёте согласие: одобряете или отклоняете разрешения.
4. Meta выдаёт токен: токен покрывает только одобренные разрешения и привязан к зарегистрированному ID приложения.
5. Контроль остаётся у вас: у токена определённый срок действия, а приложение можно удалить в любой момент.

Приложения, подключённые таким образом, перечислены в настройках Facebook в разделе «Бизнес-интеграции», и приложение связано Platform Terms Meta. Wevion работает именно так: он подключается с пользовательским токеном, который Meta выдаёт через OAuth; администратор бизнеса также может добавить токен System User, но основной путь – OAuth.

Что вместо этого делают grey-hat инструменты

Grey-hat инструменты пропускают этот процесс. Вместо того чтобы просить Meta выдать доступ, они работают с учётными данными, которые уже хранит ваш браузер:

• Access token из вашей авторизованной сессии
• Cookie сессии, которые поддерживают вход в браузере

В обоих случаях инструмент получает доступ без ограниченного набора разрешений, без приложения, одобренного Meta для такого доступа, и без подключённого приложения, которое можно удалить.

Access token: что это и до чего он добирается

Access token – учётные данные, которые сообщают серверам Meta, кто делает запрос и что ему разрешено. Когда вы работаете в Ads Manager, браузер незаметно использует токены, и именно с такими токенами работают некоторые grey-hat инструменты.

Что такое «токен EAAB»?

«EAAB» – не официальный термин Meta. Так медиабайеры называют access token, строка которых начинается с этих четырёх букв: access token Facebook начинаются с «EAA», а токены собственного рекламного интерфейса Facebook обычно начинаются с «EAAB». Meta не публикует, что означает префикс, так что осторожнее с любыми «официальными» расшифровками из интернета.

До чего добирается токен

Токен несёт разрешения сессии, из которой он взят. В рекламном контексте это обычно:

Типы токенов и срок их действия

Документация Meta по access token описывает несколько типов токенов, и ведут они себя по-разному:

В документации Meta также сказано, что токены могут истечь досрочно, например после смены пароля. Токены System User принадлежат бизнес-портфолио, а не человеку, поэтому администраторы используют их для доступа между серверами; их всё равно нужно аккуратно ограничивать и отзывать, когда они больше не нужны.

Cookie сессии: более широкий доступ

Cookie сессии поддерживают вход браузера в Facebook. Если токен добирается до того, что позволяют его разрешения, то cookie сессии может открыть весь аккаунт, потому что для Facebook это выглядит как ваш уже авторизованный браузер.

Поэтому кража учётных данных – такой частый путь к аккаунтам. По данным Verizon 2025 Data Breach Investigations Report, злоупотребление учётными данными стало самым частым начальным вектором доступа в утечках, 22%. Передача cookie сессии третьей стороне добавляет ещё одно место, откуда они могут утечь.

Двухфакторная аутентификация плохо закрывает этот случай. 2FA защищает момент входа; уже авторизованная сессия эту проверку прошла. Поэтому совет – никогда не экспортировать и не передавать cookie, а к инструментам, которые их просят, относиться с наибольшей осторожностью.

Доступ через токены и через cookie

Категории инструментов и способы подключения

Полезнее не выделять отдельных поставщиков, а знать категории и спрашивать любой инструмент, к какой он относится:

Чем вы рискуете, передавая доступ

Отдавая инструменту токен или cookie, вы создаёте цепочку с несколькими точками отказа и доверяете поставщику на каждой из них:

1. Передача: шифруются ли учётные данные по пути к поставщику?
2. Хранение: шифруются ли они при хранении и кто может читать базу данных?
3. Контроль доступа: кто из сотрудников видит ваши учётные данные?
4. Реагирование на инциденты: что произойдёт, если поставщика взломают?
5. Срок хранения: как долго учётные данные хранятся после того, как вы перестали пользоваться сервисом?

У многих grey-hat инструментов ответы на эти вопросы не опубликованы. А поставщик, у которого хранятся активные сессии многих рекламодателей, сам по себе ценная мишень: стоит спрашивать не о том, выглядит ли он надёжным сегодня, а о том, до чего дотянется его взлом завтра.

Когда канал обновлений становится поверхностью атаки

Самообновляющееся расширение – это канал доставки кода, и поэтому его конвейер обновлений становится частью того, чему вы доверяете. Вы одобряете его разрешения один раз, при установке; после этого код за этими разрешениями может меняться без повторного запроса. Тот, кто контролирует конвейер, решает, что запускается в каждом браузере, который ему доверяет, причём одновременно.

Это переворачивает привычный совет. «Обновляйте программы» почти всегда верно, и именно на этом поведении держится заражённое обновление. Здесь нет ничего специфичного для одного продукта или категории: любой компонент с доступом на уровне браузера поставляется через конвейер.

Что это значит на практике

• До чего может добраться такой компонент: до всего, что браузер может читать в этом профиле, включая cookie сессий, токены в памяти страницы или локальном хранилище, данные других расширений и буфер обмена.
• До чего обычно не может: до всего, что находится в другом браузерном профиле. Разделение профилей – граница, которая держится, и она бесплатна.
• Масштаб ущерба определяется профилем, а не поставщиком. Профиль, где есть и кошелёк, и сессия Business Manager, в одном скомпрометированном компоненте от потери обоих.
• Последствия несимметричны. Ограничение рекламного аккаунта часто можно обжаловать. Опустошённый кошелёк – нет. Храните необратимое в другом месте.

Поэтому полезные вопросы касаются вашей собственной настройки: какие расширения видят профиль, где выполнен вход в рекламные аккаунты, что ещё живёт в этом профиле и до чего дотянется завтрашнее обновление.

Где место браузерных профилей

Инструменты браузерных профилей, которые часто называют антидетект-браузерами, решают задачи доступа и идентичности: отдельные профили для каждого аккаунта, которым вы имеете право пользоваться, и способ работать командой без пересылки паролей. Это другая задача, чем запуск кампаний, правила, бюджеты и аналитика на шести рекламных платформах в одном рабочем пространстве, чем и занимается Wevion. Во многих реальных настройках они работают рядом; как именно, показывает наше сравнение Wevion и антидетект-браузеров. Wevion подключается через официальный Marketing API Meta с OAuth, поэтому ничто на нашей стороне никогда не попросит у вас cookie.

OAuth и извлечение токена: прямое сравнение

И OAuth, и извлечение токена заканчиваются тем, что у инструмента есть токен, но они различаются тем, кто его выдал, что он покрывает и можно ли его забрать обратно.

Разница не в степени. OAuth существует, чтобы дать вам контроль над тем, что может делать третья сторона; заимствование сессии этот контроль убирает.

Wevion – платформа для управления рекламными операциями, которая подключает Meta, Google, TikTok, Taboola, Snapchat и Outbrain через их официальные API (OAuth в Meta, Google, TikTok и Snapchat), синхронизирует данные примерно каждые 15 минут, а Wavo, ИИ-копилот, предлагает изменения, которые вы одобряете; правила срабатывают только при заданных вами условиях.

Как оценить и защитить вашу настройку

Пользовались вы grey-hat инструментами или нет, короткий аудит покажет, что сейчас имеет доступ к вашим рекламным аккаунтам, а несколько привычек помогут сохранить порядок.

Немедленные проверки

1. Центр аккаунтов, «Пароль и безопасность», «Где вы вошли в систему»: ищите сессии с незнакомых устройств или из незнакомых мест.
2. Настройки Facebook, «Бизнес-интеграции» и «Приложения и сайты»: удалите приложения, которые не узнаёте или больше не используете.
3. Настройки бизнеса, «Люди» и «Системные пользователи»: проверьте, нет ли незнакомых людей, ожидающих приглашений или токенов System User, которые вы не создавали.
4. Активность рекламного аккаунта: просмотрите недавние изменения на предмет того, что вы не делали.
5. Расширения браузера: в каждом профиле, где вы входите в Facebook, удалите ненужное, особенно всё, что имеет доступ ко всем сайтам.

Если вы подозреваете взлом

1. Выйдите из всех сессий в Центре аккаунтов.
2. Смените пароль от Facebook.
3. Включите двухфакторную аутентификацию, лучше через приложение-аутентификатор, а не SMS.
4. Удалите незнакомые приложения и заново авторизуйте только те, которым доверяете.
5. Проверьте рекламные аккаунты на кампании или изменения бюджета, которых вы не делали.
6. Проверьте бизнес-портфолио на незнакомых людей или системных пользователей.
7. Сообщите о несанкционированном доступе через Справочный центр Meta для бизнеса и подумайте о замене способов оплаты в затронутых рекламных аккаунтах.

Постоянные привычки

• Держите отдельный браузерный профиль для рекламных аккаунтов, с минимумом расширений и без всего, что связано с деньгами.
• Требуйте двухфакторную аутентификацию от всех в вашем бизнес-портфолио.
• Регулярно проверяйте подключённые приложения и системных пользователей и отзывайте доступ, когда человек уходит или инструмент выводится из работы.
• Научите команду основам: никогда не передавать токены или cookie, использовать официальные подключения через OAuth и сразу сообщать о чём-то необычном.

Путь к безопасному управлению рекламой

Риски передачи токенов и cookie не теоретические: они прямо следуют из того, что вы отдаёте широкий неограниченный доступ поставщику, чью безопасность не видите. Официальные API-инструменты убирают эту категорию риска:

• Ограниченные разрешения: вы решаете, к чему инструмент получает доступ
• Токены, выданные Meta: доступом управляет собственная система Meta
• Отзыв под вашим контролем: удаляйте приложение в настройках, когда захотите
• Видимость: каждое подключённое приложение указано в настройках
• Правила платформы: приложения связаны Platform Terms Meta и проходят App Review для расширенных разрешений
• Никакой передачи паролей и cookie: инструмент никогда не видит ваш пароль или вашу сессию

Это решает и командную задачу, из-за которой многие байеры переходят на общие логины. В Wevion вы один раз подключаете аккаунт Meta через собственное окно Meta, а затем приглашаете коллег по email с ролями и разрешениями, так что никому не нужно передавать логин от Facebook. Об инструментах, которые идут другим путём, читайте в нашем сравнении инструментов автозапуска Facebook.

Готовы перестать передавать токены и cookie? Начните 14-дневный бесплатный пробный период Wevion: официальный API Meta, аутентификация через OAuth, без передачи паролей и cookie.

Статьи по теме:

• Meta Ads API: официальные инструменты и риски grey-hat
• Wevion и антидетект-браузеры
• Сравнение инструментов автозапуска Facebook 2026
• Автозапуск или официальный API: что выбрать?