Les restrictions des comptes publicitaires Facebook proviennent souvent d'anomalies de paiement, d'informations d'entreprise, de règles publicitaires ou de liens entre comptes. Classez les actifs par niveau, préparez une structure de secours séparée et, en cas d'incident, limitez d'abord les pertes, changez les accès, conservez les preuves puis faites appel.
Plus déstabilisant qu'une fermeture de compte, il y a le compte soudainement restreint alors que les campagnes tournent normalement, ou détourné pour dépenser une grosse somme en publicité. Dans le premier cas, le rythme de diffusion s'arrête ; dans le second, c'est la trésorerie qui part.
Ces deux situations paraissent différentes, mais elles sont souvent liées aux mêmes facteurs : les informations de l'entreprise ou du titulaire, le moyen de paiement, les créations publicitaires et l'environnement dans lequel le compte est habituellement utilisé.
Quatre causes fréquentes de restriction d'un compte
Les anomalies de paiement sont la catégorie la plus directe. Un moyen de paiement refusé, une carte bloquée par un contrôle de risque ou des informations de facturation qui ne correspondent pas à l'entreprise peuvent placer le compte en restriction. Utiliser la même carte pour plusieurs comptes ou changer souvent de moyen de paiement peut aussi attirer davantage de contrôles. Il vaut mieux utiliser un moyen de paiement dédié, fixer une limite et pouvoir couper rapidement les pertes en cas d'anomalie.
Les problèmes liés aux informations de l'entreprise sont plus progressifs. Des données d'inscription contradictoires, des informations de société dans Business Manager qui ne correspondent pas à l'identité de l'administrateur ou aux documents d'ouverture, ou encore la cession d'un compte dont la propriété est floue peuvent ressortir d'un coup lors d'un contrôle. Ces problèmes passent souvent inaperçus au quotidien, mais une fois déclenchés ils exigent généralement de nombreux justificatifs.
Les infractions aux règles dans les créations sont les plus fréquentes. Le niveau de tolérance pour une même catégorie de produits peut varier selon les marchés. Une page de destination qui ne correspond pas aux promesses de l'annonce, l'utilisation de catégories restreintes ou de formulations sensibles peuvent d'abord provoquer le refus de l'annonce, puis remonter au niveau du compte. Des refus répétés peuvent également nuire à l'évaluation du compte.
Les liens entre comptes sont les plus difficiles à voir. La plateforme peut croiser l'adresse IP, les informations de l'appareil et l'empreinte du navigateur pour déterminer si plusieurs comptes viennent de la même source. Un environnement partagé, une même sortie réseau ou des connexions alternées dans le même navigateur sont des déclencheurs typiques. Les effets ne sont pas forcément immédiats, mais une fois le lien établi, tout un groupe de comptes peut être touché.
Les dépenses non autorisées et les anciens droits d'accès méritent une attention particulière. Les comptes obtenus par des canaux non officiels peuvent être vendus à plusieurs acheteurs. Un vendeur peut rescanner puis revendre un compte déjà développé, de sorte que plusieurs personnes l'utilisent en même temps et déclenchent des alertes de connexion inhabituelle. Des administrateurs inconnus jamais supprimés de Business Manager, des autorisations jamais révoquées ou des jetons encore actifs peuvent eux aussi contrôler directement les actifs publicitaires. Dans les exemples évoqués plus haut, un annonceur a subi 2 millions de dollars de dépenses publicitaires et un autre a cliqué sur un lien dans un e-mail imitant un message officiel, perdant 200 000 dollars.
Structurer les actifs par niveau pour rendre les sauvegardes utiles
Les actifs publicitaires ne se résument pas à un compte : plusieurs éléments sont reliés entre eux. En cas de problème, il faut savoir ce que vous possédez et où chaque élément est rattaché :
- Business Manager : administrateurs, acheteurs média, utilisateurs système et applications autorisées ;
- Compte publicitaire : droits, limites et historique de diffusion du compte ;
- Page Facebook et compte Instagram : relation avec le compte publicitaire ;
- Pixel ou jeu de données : propriété du suivi des conversions, où une mauvaise modification affecte directement les données ;
- Moyen de paiement et facturation : cartes, solde du compte et paramètres de recharge automatique.
L'intérêt de cette séparation est de savoir quels actifs seront touchés lorsqu'un niveau rencontre un problème et où se trouvent les actifs de secours. La sauvegarde consiste à préparer à l'avance une seconde structure équivalente : un autre Business Manager, une Page et un pixel indépendants ainsi qu'un moyen de paiement distinct, sans les mélanger dans l'usage courant. En cas d'incident, le coût du basculement sera de reconstruire l'historique de données, pas de repartir de zéro.
Une règle d'accès mérite d'être répétée : moins il y a d'administrateurs, mieux c'est. Accordez les droits selon les responsabilités et retirez-les le jour même d'un départ ou d'un changement de poste. Dans une liste d'accès, le plus dangereux n'est pas un droit manquant, mais un droit supplémentaire que personne ne reconnaît.
Ordre de traitement après un incident
Un mauvais ordre d'action peut aggraver les pertes. La logique est d'abord de stopper les dégâts, ensuite de sécuriser les accès, puis seulement de faire appel.
Première étape, arrêter : mettez en pause les campagnes concernées et, si nécessaire, limitez ou remplacez le moyen de paiement pour éviter de nouvelles dépenses. Deuxième étape, modifier et retirer : changez le mot de passe de connexion et celui de l'e-mail, supprimez les administrateurs inconnus et les autorisations suspectes, puis forcez tous les appareils à se reconnecter. Troisième étape, conserver les preuves : enregistrez des captures de l'activité publicitaire anormale, des changements de facturation et des alertes de connexion inhabituelle. Quatrième étape, faire appel : passez par les canaux officiels en indiquant quand le problème a été découvert, les anomalies observées et les mesures déjà prises. La dernière étape est le retour d'expérience : déterminer s'il s'agissait de phishing, d'anciens droits ou d'un environnement non sûr, sans quoi le même incident risque de se reproduire.
Quelques habitudes de maintenance sont également utiles. Effectuez tôt les vérifications de l'e-mail et du paiement ; changez le mot de passe et activez l'authentification à deux facteurs dès la réception d'un compte ; lorsque le solde couvre plus de 30 jours ou que le compte ne diffuse plus, envisagez de traiter le solde restant dans l'interface ; ne cliquez jamais sur les liens et ne saisissez aucune information dans des e-mails ou SMS d'origine inconnue ; enfin, contrôlez régulièrement les pixels et applications autorisées liés au compte et supprimez ce que vous ne reconnaissez pas.
Questions fréquentes
Peut-on récupérer le solde du compte et les dépenses publicitaires frauduleuses ? Cela dépend du cas. Un appel rapide et des preuves complètes augmentent nettement les chances de récupération ; limiter les pertes dès la découverte est donc plus important que tenter de réparer après coup.
Un environnement isolé garantit-il la sécurité ? Un environnement isolé réduit l'exposition liée à l'environnement et aux liens entre comptes. Le phishing et les anciens droits d'accès doivent toujours être évités par des procédures et de bonnes habitudes. Les deux sont indispensables.
Une petite équipe doit-elle aussi nettoyer les droits d'accès ? Oui. Même à quelques personnes, il est recommandé de définir clairement qui est administrateur, qui n'a que des droits de diffusion et de conserver une trace des opérations.
Conclusion
La sécurité d'un compte publicitaire Facebook dépend autant de facteurs externes qu'internes. À l'extérieur : phishing, logiciels malveillants et comptes vendus à plusieurs acheteurs ; à l'intérieur : droits non supprimés, identifiants partagés et environnements non isolés. Des sources de comptes propres, des environnements séparés, des revues régulières des droits et des actifs de secours intégrés au processus coûtent bien moins cher qu'un appel après incident.
