Commencez par vérifier qui a accès à votre compte Google Ads, dans Admin → Accès et sécurité. Pour chaque accès, demandez-vous qui l’utilise et de quels droits il a vraiment besoin. Refaites-le ensuite régulièrement, dans le cadre de la gestion courante du compte.
Ce qu’un intrus peut faire dans votre compte
Un faux message imite une invitation ou une alerte de Google Ads pour voler vos identifiants : c’est l’hameçonnage. L’intrus agit ensuite avec les droits de l’accès volé. Avec des droits larges, il peut ajouter des utilisateurs, créer des campagnes, changer les budgets, les pages vers lesquelles pointent vos annonces et les moyens de paiement associés.
Si votre agence gère ses clients depuis un compte gestionnaire, un seul accès volé sur ce compte peut toucher plusieurs de ses clients, selon les droits de cet accès. Protégez la connexion, limitez les droits et préparez la récupération du compte avant tout incident.
Protéger la connexion
Ce que la validation en deux étapes protège
La validation en deux étapes demande une seconde preuve en plus du mot de passe. Un mot de passe volé ne suffit donc plus pour se connecter. En revanche, elle ne ferme pas une session que l’intrus a déjà ouverte et ne réduit pas les droits de l’accès volé. Un hameçonnage en temps réel, un moyen de récupération piraté ou un appareil resté déverrouillé peuvent aussi la contourner en partie.
La clé d’accès, plus sûre contre l’hameçonnage
Une clé d’accès (passkey) remplace le mot de passe par une vérification sur votre appareil : empreinte, visage ou code. Google présente les clés d’accès et les clés de sécurité physiques comme les méthodes qui résistent le mieux à l’hameçonnage. Dans Google Ads, la clé d’accès sert aussi à confirmer une action sensible, comme un changement de droits ou de facturation.
- Créez une clé pour chaque personne, jamais sur un appareil partagé.
- Testez-la sur les appareils vraiment utilisés avant de retirer l’ancien moyen de connexion.
- Google annonce un à deux jours pour associer une nouvelle clé à Google Ads. En cas de blocage, attendez 48 heures avant de réessayer une action sensible. Google mentionne aussi un délai de sécurité possible de sept jours, sans indiquer que ces délais se cumulent.
Donner à chacun le bon accès
Donnez à chaque personne sa propre adresse e-mail et le niveau de droits le plus bas qui suffit. Les niveaux vont de la lecture seule à l’administrateur, en passant par facturation et standard. Un identifiant partagé empêche de savoir qui a fait quoi et de retirer l’accès d’une seule personne.
Mieux vaut au moins deux administrateurs de confiance. Pour un prestataire temporaire, fixez une date de fin : Google prévient la personne et les administrateurs sept jours puis un jour avant. Côté compte Google, l’adresse et le téléphone de récupération doivent être à jour, et la clé de secours reste rangée à part. Pour les profils très exposés, la Protection Avancée impose une clé et renforce les contrôles sur les applications tierces et la récupération.
Faire valider les changements d’accès
Au-delà de trois administrateurs, Google Ads applique l’approbation multipartite : un autre administrateur doit accepter certains changements d’accès. Cela vise l’ajout, la suppression ou le changement de rôle d’un utilisateur, et l’association à un compte gestionnaire. Les accès en lecture seule sont exemptés. L’aide générale mentionne aussi une exemption pour l’API, mais la documentation des invitations API prévoit une approbation pour certaines invitations. Si vous gérez les accès avec un logiciel, vérifiez le résultat de la demande : un envoi réussi ne signifie pas toujours que l’accès est déjà accordé.
La demande apparaît dans Google Ads et expire après 20 jours. Consultez-la directement dans le compte, sans attendre un e-mail. L’assistance Google ne peut pas décider à votre place. Désignez donc à l’avance qui valide ces demandes, et consultez régulièrement les notifications dans Google Ads.
Un compte gestionnaire peut aussi imposer la validation en deux étapes ou la Protection Avancée, et n’autoriser que certaines adresses e-mail. Ces règles valent pour les comptes, actuels et futurs, dont il est propriétaire et administrateur. Elles ne s’étendent pas à un compte simplement associé.
Vérifier les accès chaque mois
L’Agent de sécurité de Google Ads compare l’activité du compte à son activité habituelle. Il examine notamment les adresses e-mail, les connexions et les niveaux d’accès, puis propose des corrections. Ses suggestions apparaissent dans l’onglet Sécurité de Admin → Accès et sécurité. Elles ne s’appliquent pas seules : vérifiez la personne et son rôle avant d’accepter, car retirer un accès légitime peut bloquer votre équipe.
Chaque mois, relisez ces suggestions, puis passez en revue :
- les accès inactifs et les administrateurs qui n’ont pas besoin de ce niveau ;
- les accès temporaires sans date de fin et les invitations en attente ;
- les comptes gestionnaires et les moyens de paiement associés ;
- les appareils et moyens de récupération du compte Google.
Les changements qui doivent vous alerter
À vérifier en priorité
- un utilisateur ou un compte gestionnaire que vous ne connaissez pas ;
- un rôle, une adresse e-mail autorisée, une règle automatique ou un budget modifié sans raison ;
- une campagne, une annonce, une certification ou une URL de destination que l’équipe n’a pas ajoutée ;
- un moyen de paiement ajouté ou retiré, ou un changement des moyens de récupération ;
- une connexion depuis un appareil inconnu ou une dépense que vous n’aviez pas prévue.
Où vérifier les changements du compte
Ouvrez Campagnes → Historique des modifications. Cet outil conserve deux ans de changements et se filtre par auteur, par outil et par type de changement. Il peut toutefois ne pas afficher certains réglages du compte ou des modifications faites par Google. Vérifiez aussi qui reçoit les alertes, par e-mail ou dans Google Ads.
Compte piraté : que faire en premier ?
D’abord : signaler et reprendre la main
- Signalez le piratage à Google dès que possible, avec le formulaire officiel. Il vous faut les heures des changements suspects, les utilisateurs ou comptes gestionnaires inconnus, les budgets ou règles modifiés et votre adresse IP.
- Ne supprimez rien avant d’avoir conservé les preuves : captures, montants et export de l’historique.
- Nettoyez vos appareils avec un antivirus, puis changez le mot de passe depuis un appareil sain. Dans l’ordre inverse, le nouveau mot de passe risque d’être volé à son tour.
- Reprendre la main sur le compte Google, c’est retirer les sessions, appareils, clés, applications tierces et moyens de récupération que vous ne connaissez pas.
- Arrêtez les dépenses suspectes. Si vous avez encore un accès sûr, mettez en veille les campagnes et les règles concernées. Si les changements frauduleux restent difficiles à isoler, suspendez la diffusion pendant la vérification. Après confirmation, Google indique ne mettre en veille que les campagnes créées ou modifiées par l’intrus.
Ensuite : trier les changements avec Google
Une fois l’incident confirmé, Google envoie un journal détaillé aux administrateurs présents avant l’incident, sauf celui dont l’accès a été volé. Un seul d’entre eux choisit, ligne par ligne, entre nettoyer, garder en l’état ou demander une enquête. Mettez-vous d’accord avant de renvoyer ces choix, car la décision ne pourra plus être modifiée.
Si l’intrus n’a touché qu’aux droits ou aux campagnes, la remise en service peut aller plus vite. S’il a modifié la structure du compte, celui-ci reste suspendu jusqu’à votre accord et au nettoyage automatique.
Après la remise en service, revérifiez les accès, les comptes gestionnaires, les moyens de paiement, les campagnes et les règles automatiques, et dissociez ce que vous ne connaissez pas. Il reste à contrôler la validation de l’annonceur et les certifications, puis à réinviter les personnes retirées à tort.
Repérez enfin les données clients et les contrats touchés, puis lancez votre procédure interne d’incident. La personne responsable décide qui prévenir, comment et dans quel délai.
Peut-on récupérer l’argent dépensé ?
Un remboursement peut être accordé si l’enquête de Google confirme une activité non autorisée, mais il n’est pas automatique. Pour le demander, le compte doit être récupéré, remis en service et protégé par la validation en deux étapes. Google annonce 10 à 15 jours ouvrés d’enquête. Un éventuel avoir apparaît comme « ajustement de service » sur la facture mensuelle suivante. L’ajustement final peut n’intervenir qu’à la fin du cycle de facturation.
Identifiez le compte Google Ads à l’origine du débit. Si c’est votre compte piraté, suivez la procédure de récupération et demandez le remboursement à Google. Si l’identifiant vous est inconnu, utilisez son outil pour les débits non identifiés. En cas de fraude sur votre moyen de paiement, contactez immédiatement votre banque, sans attendre l’enquête de Google. Prévenez aussi votre comptable. Distinguez les sommes contestées des dépenses légitimes, qui restent dues.
Liste de contrôle avant un incident
- Validation en deux étapes et clé d’accès testée pour chacun
- Un accès nominatif par personne, au niveau le plus bas utile
- Au moins deux administrateurs
- Une date de fin pour chaque accès temporaire
- Des moyens de récupération à jour et testés
- Une relecture mensuelle des accès
- Une procédure d’incident écrite, avec un responsable
