Доступы к аккаунтам: как безопасно выдать их подрядчику

Почему доступы к аккаунтам — вопрос владельца, а не SMM-щика

Instagram, Telegram-канал, рекламный кабинет и страница в Facebook давно стали рабочим активом: в них накоплены подписчики, история переписки с клиентами, пиксели и аудитории для рекламы. Если это всё держится на одном пароле, который лежит в чьём-то телефоне, бизнес зависит от случайности.

Типичная картина в Ташкенте и регионах: магазин одежды или салон запускал страницу на личную почту знакомого, потом нанял SMM-специалиста, потом сменил его на агентство. В итоге никто не знает, к какому номеру привязан вход, а восстановление упирается в телефон человека, с которым давно нет связи. Поэтому управление доступами стоит считать частью бизнес-процессов, а не технической мелочью.

Кто должен владеть аккаунтами

Правило одно: владельцем всегда является компания. Это значит, что почта, на которую зарегистрирован аккаунт, и номер телефона для восстановления принадлежат вам или доверенному сотруднику, а не подрядчику. Подрядчик получает право работать, но не право распоряжаться профилем.

Хорошая практика — иметь минимум двух человек со стороны компании, у которых есть полный контроль. Если один заболеет, уйдёт в отпуск или уволится, второй сможет выдать или отозвать доступ без обращений в поддержку площадки.

Как выдать доступ без передачи пароля: пошагово

Передача пароля в мессенджере кажется самым быстрым способом, но именно она создаёт большинство проблем. Правильный порядок действий выглядит так.

• Проверьте, что аккаунт Instagram переведён в профессиональный тип и привязан к странице Facebook вашей компании.
• Создайте бизнес-портфолио Meta на сотрудника компании и добавьте туда страницу, Instagram и рекламный кабинет.
• Попросите подрядчика прислать рабочий аккаунт, с которого он будет входить, — не создавайте для него новый на вашу почту.
• Добавьте специалиста в портфолио и назначьте права под конкретные задачи, а не полный доступ.
• Включите двухфакторную защиту у себя и у всех, кто имеет административные права.
• Резервные коды сохраните у владельца в защищённом месте, а не в общем чате.
• Запишите в таблицу, кому и что выдано, с датой.

Какие права кому давать

Принцип минимальных прав работает так же, как с ключами от офиса: курьеру не нужен ключ от сейфа. Разделите задачи и выдавайте ровно то, что нужно для работы.

• Публикации и ответы на сообщения — SMM-специалист или контент-менеджер.
• Рекламный кабинет — таргетолог; платёжные данные лучше оставить на стороне компании.
• Статистика без права изменений — аналитик или маркетолог на стороне заказчика.
• Полный контроль и право добавлять людей — только владелец и один доверенный сотрудник.

Telegram, почта и другие точки входа

Instagram — не единственная уязвимость. В Telegram-канале владелец назначает администраторов и отмечает, что им разрешено: публиковать, редактировать, удалять сообщения. Право добавлять других администраторов подрядчику, как правило, не нужно, а именно через него доступ потом расползается.

Отдельно проверьте почту и телефон. Если вход в соцсеть восстанавливается через ящик подрядчика, реальный владелец именно он. То же касается домена сайта, Telegram-бота, кабинета Google Ads, аккаунтов на Uzum и объявлений на OLX: смотрите, на чью почту и номер они оформлены. Платёжные кабинеты Click и Payme лучше не делегировать вовсе — подрядчику достаточно отчётов.

Типичные ошибки при выдаче доступов

Большинство инцидентов повторяет одни и те же сценарии. Сверьтесь со списком и честно ответьте себе, нет ли чего-то из этого у вас.

• Пароль отправлен в мессенджер и остаётся в истории чата навсегда.
• Один общий вход на нескольких людей: невозможно понять, кто что опубликовал или удалил.
• Аккаунт создан на личную почту сотрудника, который потом уволился.
• Подрядчику выданы права владельца «на всякий случай».
• Двухфакторная защита включена на номер, к которому у компании нет доступа.
• После завершения сотрудничества никто не проверил список администраторов и подключённые приложения.

Что сделать, когда сотрудничество закончилось

Отзывайте доступ в день окончания работы, а не когда-нибудь потом. Порядок такой.

• Уберите подрядчика из бизнес-портфолио и из администраторов Telegram-канала.
• Проверьте список подключённых устройств и сторонних приложений: планирование публикаций, чат-боты, CRM.
• Если пароль когда-либо передавался, смените его и завершите все чужие сессии.
• Убедитесь, что почта и телефон восстановления принадлежат компании.
• Попросите передать материалы: исходники, контент-план, рекламные аудитории, переписку с клиентами.

Чек-лист на каждый квартал и план на случай взлома

Раз в квартал уделите четверть часа проверке: кто сейчас есть в списке администраторов, остались ли среди них бывшие сотрудники, не появились ли незнакомые приложения, актуальны ли почта и телефон в профиле. Фиксируйте результат в той же таблице, где ведёте выдачу прав.

Если аккаунт всё же взломали, действуйте быстро: запустите официальную процедуру восстановления на площадке, предупредите клиентов через другие каналы — Telegram, сайт, проверьте, не изменены ли контакты и ссылки в описании профиля и не запускалась ли реклама с вашего кабинета. Чем раньше вы отреагируете, тем меньше пострадает репутация.

Как мы организуем доступы в markdev

Когда мы берём ведение Instagram для бизнеса, начинаем с аудита: выясняем, кому принадлежат аккаунт, почта и номер, и подключаем нашу команду через бизнес-инструменты с нужными ролями, без передачи паролей. Права фиксируются, а при завершении проекта отзываются в согласованный срок.

Если вы не уверены, что у вас всё в порядке с владением профилями, напишите в markdev: посмотрим текущую ситуацию и подскажем, как навести порядок до того, как это станет проблемой.