Sécurité des comptes sociaux : prévenir un piratage et y survivre

La sécurité des comptes sociaux d'une entreprise est un problème de contrôle d'accès, pas de robustesse des mots de passe. Un compte pro ne se perd presque jamais parce que quelqu'un a cassé un mot de passe — il se perd à cause d'un identifiant partagé dans une conversation, d'un message de phishing déguisé en sanction de la plateforme, ou d'un prestataire parti en mars qui a toujours accès en novembre.

Les conseils grand public (« utilise un gestionnaire de mots de passe, active la 2FA ») partent du principe qu'il y a un compte et un humain, et ils s'effondrent dès qu'une deuxième personne doit publier. Voici la version équipe : comment structurer les accès, comment fonctionne la double authentification quand plusieurs personnes doivent entrer, et quoi faire dans la première heure si tu te retrouves verrouillé dehors.

L'anti-pattern du mot de passe partagé

Le montage courant dans les petites équipes et les agences : un identifiant par compte de marque, rangé dans un doc partagé, un message Slack épinglé, ou la tête du fondateur. Il échoue de façon prévisible.

• Aucune traçabilité. Quand une publication part alors qu'elle n'aurait pas dû, « qui a publié ça ? » reste sans réponse. Personne ne ment — le compte est réellement incapable de te le dire.
• Le départ d'une personne devient un marathon de rotation. Quelqu'un s'en va et tu réinitialises tous les mots de passe qu'il a pu voir, plus tous les outils dans lesquels ces identifiants ont été saisis.
• La double authentification se fait saboter. Les codes arrivent sur un seul téléphone, la personne est dans un avion, et le contournement consiste à désactiver la 2FA ou à la rediriger vers une boîte mail que tout le monde lit. Chaque contournement est pire que le précédent.
• Les plateformes trouvent ça suspect. Des connexions depuis cinq villes en une semaine ressemblent exactement à une prise de contrôle : tu te retrouves face à une vérification, voire bloqué par tes propres défenses.

La solution n'est pas un meilleur mot de passe partagé — c'est d'arrêter d'en partager un. Sur toute plateforme qui gère des rôles individuels, le mot de passe devient un identifiant de dernier recours détenu par une ou deux personnes ; tous les autres travaillent depuis leur propre compte.

Qui peut vraiment travailler sans le mot de passe

L'accès multi-utilisateurs natif varie beaucoup d'une plateforme à l'autre. Voici l'état des lieux en novembre 2025 — vérifie dans le compte lui-même avant de bâtir un flux de travail dessus.

Là où les rôles existent, partager un mot de passe est un choix et non une nécessité — règle ces comptes cette semaine en attribuant le rôle le plus restreint qui fasse le travail, et cartographie-le en même temps que ta structure d'équipe social media et ses rôles pour ne faire le travail qu'une fois. Partout ailleurs, tu te retrouves avec un seul vrai identifiant, et la question devient : comment protéger celui-là.

La double authentification quand cinq personnes ont besoin d'accéder

Active-la partout. Puis attaque-toi à la partie que personne n'explique.

Préfère une application d'authentification au SMS. Les codes SMS sont interceptables via des attaques par SIM swap, et le numéro appartient à une personne qui peut partir. Là où le SMS est la seule option, utilise un numéro contrôlé par l'entreprise.

Pour les comptes qui n'ont réellement qu'un seul identifiant, stocke la clé TOTP dans le gestionnaire de mots de passe de l'équipe, pas sur un seul téléphone. Tout gestionnaire de mots de passe sérieux génère des codes temporels à partir d'un élément de coffre partagé, et c'est ce changement qui empêche les équipes de désactiver la 2FA par exaspération : n'importe quelle personne autorisée peut produire un code, le secret ne transite jamais par une messagerie, et révoquer l'accès revient simplement à la retirer du coffre. Garde aussi les codes de secours à cet endroit, dans un élément distinct à n'ouvrir qu'en cas d'urgence.

Des clés physiques pour les comptes de niveau propriétaire. Le profil Facebook personnel qui détient les droits d'admin sur tes Pages et le compte Google propriétaire de la chaîne YouTube sont les joyaux de la couronne.

L'e-mail de récupération est la véritable clé maîtresse. Celui qui le contrôle contrôle tous les comptes qu'il peut réinitialiser. Fais-en une adresse détenue par l'entreprise, avec sa propre 2FA — pas le Gmail personnel du freelance qui a tout installé il y a des années, et pas la boîte d'équipe que six personnes consultent. Idem pour le numéro de téléphone de récupération.

Applications connectées : l'accès que tu as accordé puis oublié

Chaque outil que tu as un jour essayé conserve une autorisation active tant que tu ne l'as pas révoquée. Passe en revue la liste des accès tiers chaque trimestre et révoque tout ce que tu ne sais pas nommer.

Pendant que tu y es, distingue deux choses très différentes. Les connexions OAuth officielles — tu valides l'écran de consentement de la plateforme elle-même, l'outil reçoit un jeton au périmètre limité — sont le schéma sûr, révocable en un clic côté plateforme. Les outils qui te demandent de saisir ton identifiant et ton mot de passe dans leur propre interface sont le schéma dangereux, en particulier dans la catégorie des bots d'engagement décrite dans ce que l'automatisation Instagram peut et ne peut pas faire sans risque : ils confient ton compte à un service que tu ne peux pas auditer, et c'est toi qui prends la sanction.

C'est là qu'un outil de planification justifie son coût sur le terrain de la sécurité plutôt que du confort. Quand tu connectes chaque compte via le flux OAuth officiel, tes coéquipiers publient sur les onze plateformes sans détenir le moindre mot de passe de plateforme — ils détiennent un siège dans l'outil de planification à la place, et les plans Team et Enterprise de SocialKit ajoutent des flux de validation pour qu'un junior rédige et qu'un senior publie sans que ni l'un ni l'autre ne touche à un identifiant. Retirer quelqu'un est une modification de l'espace de travail ; les mots de passe n'ont jamais bougé, il n'y a donc rien à faire tourner sur onze comptes.

Une limite en toute honnêteté : un outil de planification n'est pas un périmètre de sécurité pour tout. SocialKit publie et fait du reporting — pas de boîte de réception unifiée, pas de file de modération des commentaires, pas de social listening — donc les DM, les fils de commentaires et les comptes usurpant ton identité restent du travail natif. Ce qu'il retire de l'équation, c'est le mot de passe de publication.

Le phishing, c'est comme ça que les comptes se font réellement prendre

La menace réaliste, c'est un message convaincant, et les équipes social media sont particulièrement exposées parce que recevoir des propositions non sollicitées toute la journée fait partie du métier. Les formats récurrents : un avis de « violation de droits d'auteur, faites appel sous 24 heures » venant d'un domaine sosie ; un DM de partenariat de marque avec un lien de contrat ou un fichier à télécharger ; une conversation « Meta Business Support » qui ouvre une page de connexion. Urgence plus page de connexion : c'est le signal, à chaque fois.

1. Ne t'authentifie jamais depuis un lien. Va toi-même sur la plateforme et vérifie l'espace support ou statut du compte dans l'application. Les vrais avis de sanction y apparaissent.
2. N'ouvre jamais un fichier issu d'une proposition non vérifiée sur un appareil qui a accès aux comptes.
3. Fais en sorte que signaler une erreur soit sans conséquence. Les dégâts se produisent dans les heures qui séparent le clic de l'aveu. Dis clairement que signaler immédiatement est le bon réflexe et que personne ne sera blâmé.

Ces règles doivent être écrites à côté de tes règles d'accès — le guide de la charte réseaux sociaux pour les entreprises explique où elles se placent, et ta procédure (SOP) réseaux sociaux est l'endroit où l'on planifie « qui vérifie la liste des applications connectées, et quand ».

La première heure si tu es verrouillé dehors

Imprime ça. Déroule dans l'ordre.

1. Vérifie d'abord la boîte mail. Les attaquants prennent généralement la boîte mail avant le compte social, parce qu'elle réinitialise tout le reste. Change ce mot de passe, révoque les sessions, et inspecte les règles de transfert et les adresses de récupération secondaires — un transfert discret est la suite classique de l'opération.
2. Passe par un autre admin. Un second admin de Page ou de chaîne non compromis peut souvent retirer son rôle à l'intrus plus vite que n'importe quelle file de support. L'accès par rôles est une stratégie de récupération, pas seulement une question d'hygiène.
3. Lance la récupération depuis un appareil déjà connecté — les appareils déjà utilisés s'en sortent bien mieux dans les parcours de récupération des plateformes qu'un navigateur tout neuf. Ensuite, termine toutes les autres sessions, change le mot de passe et régénère la 2FA.
4. Mets ta file de publication en pause. Des promotions programmées qui se publient dans un compte détourné, c'est une mauvaise image dont tu n'as pas besoin, et un calendrier unique et visible en fait une affaire de deux minutes.
5. Préviens les gens depuis un canal que tu contrôles encore. Un bref « nous avons perdu l'accès à ce compte, ne cliquez pas sur les liens qui en proviennent » sur une autre plateforme et sur ta liste e-mail évite que ton audience se fasse arnaquer en ton nom. Gère ça comme un incident en direct, avec un responsable nommé et un journal, comme dans la gestion de crise sur les réseaux sociaux.
6. Note les horodatages et les preuves — les formulaires de support les demandent, et des réponses vagues te ralentissent.
7. Si des comptes publicitaires ou des moyens de paiement sont rattachés, retire le moyen de paiement et préviens l'émetteur de la carte. Les comptes pro détournés sont monétisés en dépenses publicitaires très vite.

Compte en jours, pas en heures, pour récupérer un compte. Le meilleur prédicteur de la rapidité, c'est ta capacité à prouver la propriété : un admin qui a encore accès, un appareil encore connecté, un e-mail que tu contrôles — autant d'éléments qui doivent exister avant l'incident.

Les agences portent une couche supplémentaire : ne jamais détenir les identifiants clients sous forme de connexions partagées. Demande un accès par rôles dès l'intégration client et tiens à jour le registre des accès issu de la gestion de plusieurs clients réseaux sociaux, pour pouvoir dire exactement ce que tu détenais si un client est compromis.

Par où commencer : un socle en une semaine

Tu n'as pas besoin d'un programme de sécurité. Tu as besoin que ces points-là soient faits une fois, puis revus chaque trimestre.

• Jour 1 — Inventaire. Chaque compte de marque, qui y a accès et comment, y compris les profils personnels détenant des droits d'admin, l'e-mail de récupération et le numéro de téléphone de récupération.
• Jour 1 — Déplace l'e-mail de récupération vers une adresse contrôlée par l'entreprise, avec sa propre 2FA et une liste d'accès courte.
• Jour 2 — Bascule en rôles toutes les plateformes qui le permettent : Meta Business Suite, admins de Page LinkedIn, autorisations YouTube, gestionnaires Google Business Profile. Le rôle le plus restreint qui fonctionne.
• Jour 2 — 2FA partout, application d'authentification plutôt que SMS, clés physiques sur les comptes de niveau propriétaire.
• Jour 3 — Monte le coffre partagé pour les comptes qui n'ont vraiment qu'un identifiant : mot de passe, clé TOTP, codes de secours, un élément par compte.
• Jour 4 — Audite les applications connectées et révoque tout ce que tu ne sais pas nommer. Remplace tout outil qui t'a demandé un mot de passe en clair.
• Jour 5 — Écris deux pages : les règles d'accès (qui détient quoi, ce qui se passe au départ d'une personne) et la procédure de verrouillage ci-dessus.

Puis cale la revue trimestrielle : relis la liste des accès, révoque ce qui est devenu obsolète, régénère les codes de secours, vérifie que l'e-mail de récupération appartient toujours à quelqu'un qui travaille encore ici.

FAQ

Quelle est la façon la plus sûre de donner accès à un freelance ?

Les rôles de plateforme là où ils existent, limités à la publication, plus un siège dans ton outil de planification plutôt que des identifiants bruts. La personne ne détient jamais d'identifiant, son activité est attribuable, et la retirer à la fin de la mission ne demande qu'une seule action au lieu d'un cycle de réinitialisation de mots de passe.

Un créateur solo doit-il s'embêter avec tout ça ?

Oui, avec une liste plus courte : la 2FA par application d'authentification, un e-mail de récupération contrôlé par l'entreprise et que tu as testé, des codes de secours stockés hors ligne, un passage en revue trimestriel des applications connectées. Les opérateurs solo sont plus exposés, pas moins, parce qu'il n'y a pas de second admin pour récupérer le compte à leur place — une différence entre organisations solo et en équipe qui apparaît le plus nettement le jour où tout va mal.

Un flux de validation améliore-t-il la sécurité ?

Indirectement, mais réellement. Une seconde paire d'yeux avant publication signifie qu'un compte compromis ou négligent ne peut pas mettre du contenu en ligne tout seul, et cela consigne qui a validé quoi. Intègre-le à ton flux de validation de contenu plutôt que d'ajouter par-dessus un contrôle séparé.