Cette discipline des accès est l’un des piliers pour gérer et sécuriser son compte Google Ads sur la durée.
Quels sont les cinq niveaux d’accès Google Ads et à qui correspondent-ils ?
Google Ads propose bien cinq niveaux d’accès, pas quatre comme on le lit souvent. Chacun correspond à ce que l'utilisateur doit pouvoir faire, pas à la confiance que vous lui accordez.
L’erreur de cadrage la plus répandue tient dans cette phrase : « je lui fais confiance, donc je lui donne tous les droits ». C’est le mauvais axe. La gestion des accès est une brique de l’architecture d’administration de votre compte, pas un réglage isolé. La logique change d’échelle quand on raisonne en accès au niveau d’un compte administrateur MCC, où l’on rattache plusieurs comptes sous une même gouvernance.
| Niveau | Ce qu’on peut faire | Ce qu’on ne peut pas faire | Rôle type |
|---|---|---|---|
| Administrateur | Gérer les utilisateurs, les associations, les campagnes et tous les paramètres | Sans objet | Propriétaire du compte, équipe interne de confiance |
| Standard | Créer et piloter des campagnes, accéder aux rapports, consulter et modifier les informations de facturation | Gérer les droits, la gouvernance du compte ou les associations de produits | Manager actif, prestataire qui pilote au quotidien |
| Facturation | Consulter les données financières, télécharger les factures, modifier les modes de règlement | Toute action sur les campagnes ou les utilisateurs | DAF, service comptabilité |
| Lecture seule | Voir les campagnes, rapports et paramètres | Toute modification | Client, stakeholder, observateur |
| E-mails uniquement | Recevoir les notifications par e-mail | Accéder au compte ou à ses données | Contacts d’alerte, sans accès opérationnel au compte |
- Moindre privilège
- Principe de protection : chaque utilisateur reçoit le niveau d’accès minimum suffisant pour remplir son rôle, ni plus, ni « au cas où ».
Pourquoi Admin n’est pas le niveau « premium »
L'accès Administrateur sert à gérer les utilisateurs, la gouvernance et les associations, pas à piloter les campagnes au quotidien. Un prestataire qui s’en occupe n’en a souvent pas besoin : Standard lui donne le périmètre opérationnel pour travailler sans lui ouvrir les droits sensibles. La question utile n’est pas « à quel point je lui fais confiance ? » mais « de quoi a-t-il besoin pour son rôle ? ».
Le niveau Facturation : le 5e niveau que personne n’attribue à bon escient
Cette option financière est la case aveugle de beaucoup de comptes : elle répond à un besoin réel et reste pourtant souvent ignorée.
Son périmètre est net : consulter les données de facturation, télécharger les factures et modifier les modes de règlement, sans agir sur les campagnes. C’est précisément le niveau adapté à un DAF ou à un service comptable qui doit récupérer ses justificatifs sans toucher au pilotage.
Ce que j’observe en pratique : les équipes nomment le comptable Administrateur « pour qu’il puisse télécharger les factures ». Résultat : un métier qui n’a aucun besoin de voir une campagne se retrouve avec les clés du compte. L'accès Facturation évite ça. Pour les seuils, les cycles et les modes de règlement, voir comprendre votre facture Google Ads.
Le moindre privilège : hygiène, pas méfiance
D’où le principe qui régit tout : le moindre privilège, chacun reçoit le niveau minimum suffisant, pas au-delà.
Le réflexe inverse, très courant, est de donner tous les droits à toute l’équipe « pour simplifier ». C’est exactement le type de pratique que les attaques par phishing exploitent : chaque accès étendu est une porte d’entrée supplémentaire vers votre compte, et une source de confusion si les comptes ne sont pas strictement nominatifs.
Le moindre privilège n’est pas de la méfiance envers vos collaborateurs ; c’est de l’hygiène, il réduit la surface d’attaque et clarifie les responsabilités.
Cette discipline rejoint directement la protection du compte Google Ads : moins il y a de comptes à ce niveau, moins un identifiant compromis peut faire de dégâts. Le distribuer largement, c’est multiplier les cibles d’un phishing, et les prises de contrôle passent précisément par là.
Comment gérer les accès Google Ads quand un prestataire ou collaborateur quitte la mission ?
Deux pratiques de gouvernance, négligées et coûteuses.
La révocation immédiate. Un accès se reprend le jour où le besoin s’arrête : un collaborateur qui part, un intervenant en fin de mission, un prestataire qu’on quitte. La faille classique est l’accès qui reste actif des mois après la fin du contrat.
La règle : audit régulier des permissions (qui a accès, à quel niveau, pourquoi ?) et révocation immédiate au départ, pas « quand on y pensera ».
Aucun mot de passe partagé. La tentation de « donner les identifiants » plutôt que de configurer un accès est double-perdante : c’est à la fois moins sûr (un mot de passe qui circule est un mot de passe qui fuit, et qui contourne la 2FA nominative) et moins traçable (aucune trace de qui a agi, tout apparaît sous le même compte).
L’accès nominatif par niveau résout les deux : chacun se connecte avec son propre compte, ses propres protections, et ses actions sont attribuables. On ne partage pas un mot de passe ; on accorde des accès.
Le point de vigilance : la gestion des accès demande une discipline continue (audits, révocations) que la pression du quotidien fait sauter. C’est précisément cette négligence, pas un défaut technique, qui crée la majorité des incidents.
- Identifier le rôle réel. Pilote actif → accès de modification. Observateur ou client → accès sans modification. Propriétaire ou équipe interne → Administrateur.
- Créer l’accès nominatif. Dans Admin > Accès et sécurité, invitez l’adresse Google nominative de l’utilisateur, idéalement professionnelle, en évitant les adresses génériques partagées.
- Planifier l’audit. Tous les trimestres, ou à chaque départ : listez les accès actifs et retirez ceux dont le besoin a pris fin.
- Révoquer immédiatement. Fin de mission, départ d’équipe, changement de prestataire : suppression le jour même, sans exception.
- Chaque utilisateur a le niveau minimum suffisant pour son rôle (moindre privilège)
- Aucun mot de passe partagé : tous les accès sont nominatifs par adresse Google individuelle
- Le nombre d’administrateurs est limité aux propriétaires et à l’équipe interne
- Les accès sont audités au moins une fois par trimestre
- Tout départ de collaborateur ou fin de mission déclenche une révocation le jour même
- Aucun accès générique ou prestataire sortant ne traîne dans Admin > Accès et sécurité
- Droit de modification pour qui pilote, Lecture seule pour qui observe, Administrateur uniquement pour les propriétaires et l’équipe interne.
- Le moindre privilège réduit la surface d’attaque et clarifie les responsabilités : chaque droit étendu ajoute une porte d’entrée potentielle.
- Aucun mot de passe partagé : l’accès nominatif est à la fois plus sûr (2FA individuelle) et plus traçable.
- Retirer les droits dès le départ d’un collaborateur ou la fin d’une mission, pas quand on y pensera.
Comment inviter un utilisateur Google Ads : ce qui se passe entre l’invitation et l’accès effectif
L’accès n’est pas instantané : il devient actif seulement après que l’invité accepte l’email de confirmation. C’est le point que les équipes ratent le plus souvent, et la source de demandes répétées (« il ne peut pas se connecter », « l’email n’est pas arrivé »).
- Envoyer l’invitation. Dans Admin > Accès et sécurité > bouton +, saisissez l’adresse Google de l’invité et choisissez le niveau. La demande part immédiatement par e-mail.
- L’invité accepte. Il reçoit un e-mail avec un lien d’acceptation. L’accès n’est pas actif avant cette étape : ne confondez pas « demande envoyée » et « accès accordé ». Si le message n’arrive pas, renvoyez l’invitation depuis le même menu.
- Accès actif. Une fois la demande acceptée, l’utilisateur apparaît dans la liste avec le statut actif. Il doit avoir ou créer un compte Google associé à l’adresse indiquée avant d’accepter.
- Auditer au départ. L’accès reste actif jusqu’à suppression manuelle. Retirez-le depuis le même écran le jour du départ, pas à la prochaine occasion.
Cas particulier : si une demande reste en attente, ne la laissez pas traîner. Annulez-la et envoyez-en une nouvelle lorsque l’adresse Google de l’invité est prête.
Êtes-vous bien propriétaire de votre compte Google Ads ?
Avoir accès à son compte et en être propriétaire sont deux choses différentes. La confusion crée un risque réel, et il vaut mieux le clarifier avant que la relation avec un prestataire se dégrade.
Quand l’agence détient l’Admin
Le cas le plus fréquent : une agence crée le compte, le rattache à son propre MCC et laisse à l’annonceur un accès opérationnel, parfois Administrateur. Tant que la relation se passe bien, aucun problème n’est visible. Quand elle se dégrade, les conséquences deviennent concrètes : le prestataire peut restreindre vos droits, l’historique reste dans son MCC et les données de conversion, balises et audiences, peuvent disparaître avec le compte.
La question à poser est simple : qui a créé ce compte ? Sous quelle adresse e-mail ? À quel MCC est-il rattaché ? Ces éléments sont visibles dans Admin > Accès et sécurité et dans les paramètres du compte. Pour la dimension MCC, rattachement, propriété de compte, hiérarchie d’accès, voir les comptes administrateur MCC.
Comment vérifier et rétablir la propriété
La règle : le compte doit être créé et possédé par l’annonceur, avec une adresse e-mail de l’entreprise comme Administrateur nominatif. Le prestataire reçoit seulement les droits nécessaires. Si vous êtes dans la situation inverse, vérifiez dans Admin > Accès et sécurité que votre adresse figure bien comme Administrateur. Si vous n’avez qu’un accès Standard ou en lecture seule sur votre propre compte, demandez immédiatement le niveau Administrateur ; un refus est une réponse en soi. Les risques liés aux prises de contrôle et aux identifiants privilégiés sont détaillés dans la sécurité du compte Google Ads.
Compte Google Ads et profil de paiement : deux périmètres à révoquer séparément
L’accès au compte Google Ads et celui au profil de paiement Google restent deux périmètres à vérifier séparément. Les niveaux Administrateur et Facturation peuvent modifier des informations financières depuis Google Ads, tandis que les autorisations de Google Payments suivent leur propre gestion.
La conséquence pratique est souvent ratée lors d’un changement de prestataire : retirer l’accès au compte dans Admin > Accès et sécurité ne supprime pas forcément les droits conservés dans ce second espace. Vérifiez les deux endroits. Un ex-intervenant privé des campagnes peut encore consulter ou modifier des données financières s’il garde un rôle distinct.
Autre limite : cet espace a ses propres rôles et contacts. Si un ancien intervenant y figure encore, son retrait nécessite une action explicite avant son départ. Pour télécharger une facture, comprendre un seuil ou modifier un mode de règlement, voir comprendre votre facture Google Ads.
Décision : attribuer, auditer, révoquer
Avant d’accorder un accès, posez la seule bonne question : quel est le minimum dont ce collaborateur a besoin ? Modification pour qui pilote, simple consultation pour qui observe, Administrateur uniquement pour les propriétaires et l’interne.
Privilégiez les accès nominatifs et évitez le partage d’identifiants. Auditez vos permissions régulièrement et révoquez immédiatement quand un besoin s’arrête.
Le moindre privilège n’est pas de la bureaucratie : c’est ce qui garde votre compte sûr et vos responsabilités claires.
