Как защитить рекламный кабинет Meta: 2FA, админы, платежи, восстановление
Кабинет теряют не из-за «слабого пароля креативщика». Теряют из-за одного админа, фишинга, карты на чужое имя и доступов уволенных. Владение — у компании, не у
Рекламный кабинет — актив с деньгами, аудиториями и историей. Его защищают как расчётный счёт: кто входит, кто может тратить, кто останется админом, если основной человек исчезнет. Красивый креатив не компенсирует один взломанный профиль без 2FA.
2FA у всех, кто может менять активы. Минимум админов, все — внутри компании, плюс резервный админ. Уволенных снимают в день ухода. Пароли и ссылки «подтвердите кабинет» не из мессенджера. Платёжный метод — компании. Восстановление продумывают до инцидента, не после. Владение портфелем не отдают подрядчику.
Что именно защищаете
Не «Instagram». Защищаете связку: личные входы администраторов, Business Portfolio, Page, профессиональный Instagram, рекламные аккаунты, платёжные методы, пиксели/datasets, каталоги, список людей и партнёров. Поверхности разные — разбор Suite / Portfolio / Ads Manager рядом. Здесь — риски и ритуал контроля.
- Деньги: чужая кампания на вашей карте за ночь.
- Актив: страницу или кабинет переписывают на другой портфель.
- Данные: аудитории, переписки, доступы к WhatsApp-каналу.
- Простой: блокировка, пока доказываете, что бизнес ваш.
2FA — не опция маркетолога
Двухфакторная аутентификация обязана быть у каждого человека с правом админа, финансов или рекламы. SMS лучше, чем ничего, приложение-аутентификатор обычно устойчивее к подмене SIM. Резервные коды хранят не в общем чате и не в таблице «пароли отдела».
Если 2FA только у подрядчика, а владелец входит «потом настроим» — кабинет фактически его. То же самое, если 2FA висит на личном телефоне единственного сотрудника: увольнение или потеря телефона = потеря входа.
Админы: мало, свои, с запасом
| Роль | Кто | Зачем |
|---|---|---|
| Основной админ портфеля | Владелец или внутренний ответственный | Снимать людей, платежи, владение |
| Резервный админ | Второй человек компании, не родственник «на всякий» без доступа к делам | Болезнь, отпуск, потеря телефона, конфликт с первым |
| Реклама | Маркетолог или партнёр с ограниченной ролью | Кампании без права выгнать владельца |
| Не держать | Бывшие сотрудники, «старое агентство», личные профили знакомых | Мёртвые админы — открытая дверь |
Полный контроль портфеля — узкий список. Таргетологу достаточно роли на рекламный аккаунт. Как выдавать доступ — отдельная инструкция. Здесь правило: чем больше полных админов, тем больше точек взлома и споров «кто настоящий владелец».
Уволенные и «временно поработали»
В день увольнения или окончания договора снимают: роли в портфеле, партнёрский доступ, общие пароли если они всё же были (и сразу меняют), доступ к почте, на которую зарегистрирован вход. Не через неделю «когда бухгалтер закроет акт».
Проверка списка людей — регулярная. Ищите неизвестные имена, агентства, которые уже не ведут бюджет, личные профили, которые «добавляли на тест». Это тот же класс ошибки, что домен на подрядчике: актив живёт не в компании.
Фишинг: кабинет просят «подтвердить»
- Письма и сообщения «ваш рекламный аккаунт будет отключён, перейдите по ссылке».
- Фейковые формы входа, которые собирают пароль и 2FA.
- Просьба «временно отключить 2FA, иначе не заведём пиксель».
- Звонок или чат от «поддержки Meta» с требованием кода из SMS.
Адрес справки и кабинета набираете сами или из сохранённой закладки, не из письма. Коды 2FA никому не диктуете. Если сомневаетесь — останавливаете работу и проверяете через официальную помощь Meta, а не через вложение в WhatsApp.
Платёжный метод
Карта или счёт должны принадлежать компании и быть привязаны к её рекламному аккаунту. Карта маркетолога, «карта жены таргетолога», общая карта с личными тратами — это и бухгалтерия, и риск: кто владеет методом, тот может удерживать кабинет или оставить вас с чужими списаниями.
Следите за лимитами, уведомлениями о платежах и тем, кто может добавлять методы. Смена карты после увольнения финансиста — обязательный шаг, как смена ключей от кассы.
Восстановление до того, как понадобится
- Зафиксировать: какой портфель, какие ID страницы и рекламного аккаунта, какие корпоративные email входов, кто резервный админ.
- Хранить документы компании и подтверждение владения активами там, где это потребуется платформе — не в личном мессенджере подрядчика.
- Понимать, какие входы ещё живы, если один профиль заблокирован.
- При инциденте: отозвать сомнительные сессии и партнёров, сменить доступы, писать в официальные каналы поддержки. Названия форм меняются — идите из справки Meta, не из «бота восстановления» в поиске.
Восстановление после передачи кабинета агентству «на себя» часто дороже запуска. Пока актив не в вашем портфеле, вы просите, а не управляете.
Чеклист собственника
- 2FA включена у всех админов и тех, кто запускает рекламу.
- Есть второй внутренний админ; подрядчик не единственный полный контроль.
- Список людей и партнёров просмотрен; уволенных нет.
- Платёжный метод компании; уведомления о списаниях приходят вам.
- Пароли и коды не лежат в чатах; фишинговые ссылки не используются для входа.
- ID портфеля и аккаунтов записаны; понятно, куда идти за официальной помощью.