[{"data":1,"prerenderedAt":443},["ShallowReactive",2],{"footer-services-fr":3,"footer-local-fr":28,"post-\u002Fblogue\u002Fcybersecurite-agences-web-marketing":45,"post-alt-\u002Fblogue\u002Fcybersecurite-agences-web-marketing":415,"post-rel-\u002Fblogue\u002Fcybersecurite-agences-web-marketing":417},[4,8,12,16,20,24],{"path":5,"navTitle":6,"order":7},"\u002Fservices\u002Faudit-cybersecurite","Audit de cybersécurité",1,{"path":9,"navTitle":10,"order":11},"\u002Fservices\u002Ftest-intrusion","Test d'intrusion",2,{"path":13,"navTitle":14,"order":15},"\u002Fservices\u002Faudit-microsoft-365-google-workspace","Audit Microsoft 365 \u002F Google Workspace",3,{"path":17,"navTitle":18,"order":19},"\u002Fservices\u002Fconformite-loi-25","Conformité Loi 25",4,{"path":21,"navTitle":22,"order":23},"\u002Fservices\u002Fremediation-durcissement","Remédiation et durcissement",5,{"path":25,"navTitle":26,"order":27},"\u002Fservices\u002Faccompagnement-continu","Accompagnement continu (vCISO)",6,[29,33,37,41],{"path":30,"city":31,"translationKey":32},"\u002Faudit-cybersecurite\u002Fmontreal","Montréal","montreal",{"path":34,"city":35,"translationKey":36},"\u002Faudit-cybersecurite\u002Flaval","Laval","laval",{"path":38,"city":39,"translationKey":40},"\u002Faudit-cybersecurite\u002Frive-sud","Rive-Sud","rive-sud",{"path":42,"city":43,"translationKey":44},"\u002Faudit-cybersecurite\u002Frive-nord","Rive-Nord","rive-nord",{"id":46,"title":47,"body":48,"category":369,"date":370,"description":371,"extension":372,"faq":373,"keyword":386,"meta":387,"minutes":27,"navigation":272,"path":388,"rawbody":389,"seo":390,"sources":391,"stem":407,"tags":408,"translationKey":409,"updated":413,"__hash__":414},"blog_fr\u002Fblogue\u002Fcybersecurite-agences-web-marketing.md","Cybersécurité des agences Web et marketing : les accès clients",{"type":49,"value":50,"toc":360},"minimark",[51,55,58,61,82,87,90,93,96,100,103,192,196,199,232,236,239,247,251,255,258,261,290,293,324,327,330,334,337,345,357],[52,53,54],"p",{},"Une agence de Québec, dans Saint-Roch : 14 employés, une soixantaine de clients. L'équipe gère leurs pages Facebook et Instagram, leurs campagnes Google Ads, leurs sites WordPress et, pour certains, leurs DNS. Un vendredi après-midi, une conseillère reçoit un avis de Meta : atteinte aux droits d'auteur, la page sera suspendue dans 24 heures. Elle se connecte pour contester.",[52,56,57],{},"Le lundi, les pages de plusieurs clients diffusent des publicités pour un faux placement en cryptomonnaie, payées avec les cartes de crédit des clients. L'avis était faux, et le compte de la conseillère était administrateur de 40 pages.",[52,59,60],{},"Une agence ne se fait pas pirater seule : elle entraîne ses clients avec elle. Voici comment réduire ce risque sans ralentir le travail.",[62,63,66],"callout",{"title":64,"type":65},"En bref","tip",[67,68,69,73,76,79],"ul",{},[70,71,72],"li",{},"Une agence qui détient les accès de dizaines de clients est un fournisseur critique : un seul compte compromis peut toucher tous ses clients à la fois.",[70,74,75],{},"Règle numéro un : ne demandez jamais le mot de passe d'un client. Utilisez la délégation native des plateformes et des comptes nominatifs.",[70,77,78],{},"Le client reste propriétaire de son domaine, de ses pages et de ses comptes publicitaires ; l'agence n'y a que l'accès nécessaire.",[70,80,81],{},"Si vous traitez des renseignements personnels pour un client, la Loi 25 exige un contrat écrit et vous oblige à l'aviser de toute violation.",[83,84,86],"h2",{"id":85},"pourquoi-une-agence-est-une-cible-de-choix","Pourquoi une agence est une cible de choix",[52,88,89],{},"Une agence est une cible rentable parce qu'un seul compte compromis peut ouvrir les actifs de dizaines de clients : c'est une attaque de la chaîne d'approvisionnement à petite échelle. Dans son Évaluation des cybermenaces nationales 2025-2026, le Centre canadien pour la cybersécurité note que les acteurs malveillants continuent de mener des attaques contre les chaînes d'approvisionnement numériques, y compris des attaques « doubles » où une première compromission en permet une autre.",[52,91,92],{},"Trois habitudes du milieu aggravent le risque : des employés administrateurs de tout « pour aller plus vite », des pigistes qui gardent leurs accès d'un projet à l'autre, et un flot constant de faux avis de plateformes que personne n'ose ignorer.",[52,94,95],{},"Le faux avis de plateforme est la porte d'entrée classique. Entraînez l'équipe à un seul réflexe : ne jamais se connecter à partir d'un lien reçu par courriel ou par message direct, même urgent. Ouvrez l'application ou tapez l'adresse vous-même, et vérifiez si l'alerte apparaît dans le compte. Si quelqu'un a saisi son mot de passe, il doit prévenir son responsable sur-le-champ : changer le mot de passe, fermer les sessions et vérifier les actifs clients accessibles prend quelques minutes, alors que les dégâts grandissent d'heure en heure.",[83,97,99],{"id":98},"faites-linventaire-des-accès-que-vous-détenez","Faites l'inventaire des accès que vous détenez",[52,101,102],{},"Avant de sécuriser quoi que ce soit, dressez la liste de tous les accès que l'agence détient, client par client, avec le niveau de privilège et la personne qui l'utilise. Le tableau ci-dessous montre ce qui est en jeu.",[104,105,106,122],"table",{},[107,108,109],"thead",{},[110,111,112,116,119],"tr",{},[113,114,115],"th",{},"Accès",[113,117,118],{},"Ce qu'un attaquant peut faire",[113,120,121],{},"Bonne pratique",[123,124,125,137,148,159,170,181],"tbody",{},[110,126,127,131,134],{},[128,129,130],"td",{},"Pages et comptes publicitaires Meta",[128,132,133],{},"Publier, lancer des publicités sur la carte du client, retirer les administrateurs",[128,135,136],{},"Accès partenaire accordé depuis le portefeuille d'entreprise du client",[110,138,139,142,145],{},[128,140,141],{},"Google Ads",[128,143,144],{},"Dépenser le budget, modifier la facturation",[128,146,147],{},"Compte du client lié au compte gestionnaire de l'agence, niveau d'accès minimal",[110,149,150,153,156],{},[128,151,152],{},"Site Web (CMS)",[128,154,155],{},"Injecter un maliciel ou une page d'hameçonnage",[128,157,158],{},"Comptes nominatifs, rôle minimal, authentification multifacteur",[110,160,161,164,167],{},[128,162,163],{},"DNS et registraire",[128,165,166],{},"Rediriger le site et les courriels du client",[128,168,169],{},"Domaine au nom du client, accès délégué, verrou de transfert",[110,171,172,175,178],{},[128,173,174],{},"Infolettre et gestion de la clientèle",[128,176,177],{},"Exporter les listes de contacts",[128,179,180],{},"Accès sans droit d'exportation quand c'est possible",[110,182,183,186,189],{},[128,184,185],{},"Gestionnaire de balises, analytique",[128,187,188],{},"Ajouter un script malveillant au site",[128,190,191],{},"Droits de publication limités à deux ou trois personnes",[83,193,195],{"id":194},"le-moindre-privilège-concrètement","Le moindre privilège, concrètement",[52,197,198],{},"Le moindre privilège signifie que chaque personne de l'agence a seulement les accès nécessaires à son travail, pour la durée nécessaire, au moyen de son propre compte. Les grandes plateformes sont conçues pour ça.",[67,200,201,214,220,226],{},[70,202,203,207,208,213],{},[204,205,206],"strong",{},"Meta."," Le client ajoute votre agence comme partenaire à partir de son portefeuille d'entreprise et choisit les actifs partagés. Vous attribuez ensuite chaque actif aux employés concernés, un par un. Notre guide pour ",[209,210,212],"a",{"href":211},"\u002Fblogue\u002Fsecuriser-comptes-reseaux-sociaux-entreprise","sécuriser les comptes de réseaux sociaux"," détaille ces réglages.",[70,215,216,219],{},[204,217,218],{},"Google Ads."," Liez le compte du client à votre compte gestionnaire. Google prévoit plusieurs niveaux d'accès (administrateur, standard, lecture seule, facturation, courriel uniquement) ; seul l'administrateur peut gérer les accès et dissocier un compte gestionnaire. Le niveau standard suffit souvent pour gérer les campagnes.",[70,221,222,225],{},[204,223,224],{},"Revue trimestrielle."," Google Ads permet à un administrateur de voir la méthode d'authentification et la dernière connexion de chaque utilisateur. Servez-vous-en pour retirer les comptes inactifs.",[70,227,228,231],{},[204,229,230],{},"Authentification multifacteur"," obligatoire sur tous les comptes personnels qui donnent accès aux actifs des clients, idéalement avec une clé d'accès ou une clé de sécurité, plus résistantes à l'hameçonnage.",[83,233,235],{"id":234},"le-coffre-partagé-quand-la-délégation-nexiste-pas","Le coffre partagé, quand la délégation n'existe pas",[52,237,238],{},"Quand une plateforme n'offre aucune délégation, conservez l'identifiant dans un gestionnaire de mots de passe d'entreprise, dans un coffre propre à chaque client, jamais dans un tableur, un clavardage ou un courriel. Seule l'équipe affectée au client y a accès.",[52,240,241,242,246],{},"Pensez aussi à l'authentification multifacteur de ces comptes partagés. Si le code arrive sur le cellulaire personnel d'une seule employée, son départ bloque tout le monde. Stockez plutôt le code dans le coffre ou utilisez une clé de sécurité gérée par l'agence. Notre article sur le ",[209,243,245],{"href":244},"\u002Fblogue\u002Fdeployer-gestionnaire-mots-de-passe-entreprise","déploiement d'un gestionnaire de mots de passe"," explique comment structurer les coffres.",[248,249],"cta",{"variant":250},"audit",[83,252,254],{"id":253},"arrivée-et-départ-dun-client-la-checklist","Arrivée et départ d'un client : la checklist",[52,256,257],{},"La fin d'un mandat est le moment où les accès oubliés s'accumulent ; une procédure écrite d'arrivée et de départ règle le problème.",[52,259,260],{},"À l'arrivée d'un client :",[67,262,265,276,283],{"className":263},[264],"contains-task-list",[70,266,269,275],{"className":267},[268],"task-list-item",[270,271],"input",{"disabled":272,"type":273,"aria-label":274},true,"checkbox","Inventaire de ses actifs et de leur propriétaire réel : domaine, pages, comptes publicitaires, site."," Inventaire de ses actifs et de leur propriétaire réel : domaine, pages, comptes publicitaires, site.",[70,277,279,282],{"className":278},[268],[270,280],{"disabled":272,"type":273,"aria-label":281},"Accès délégués créés pour l'agence, sans identifiants du client."," Accès délégués créés pour l'agence, sans identifiants du client.",[70,284,286,289],{"className":285},[268],[270,287],{"disabled":272,"type":273,"aria-label":288},"Contrat écrit qui précise les accès, les mesures de sécurité et le délai d'avis en cas d'incident."," Contrat écrit qui précise les accès, les mesures de sécurité et le délai d'avis en cas d'incident.",[52,291,292],{},"Au départ d'un client :",[67,294,296,303,310,317],{"className":295},[264],[70,297,299,302],{"className":298},[268],[270,300],{"disabled":272,"type":273,"aria-label":301},"Accès partenaires et liens de compte gestionnaire retirés."," Accès partenaires et liens de compte gestionnaire retirés.",[70,304,306,309],{"className":305},[268],[270,307],{"disabled":272,"type":273,"aria-label":308},"Propriété de tout actif créé au nom de l'agence transférée au client."," Propriété de tout actif créé au nom de l'agence transférée au client.",[70,311,313,316],{"className":312},[268],[270,314],{"disabled":272,"type":273,"aria-label":315},"Coffre du client supprimé et mots de passe partagés changés."," Coffre du client supprimé et mots de passe partagés changés.",[70,318,320,323],{"className":319},[268],[270,321],{"disabled":272,"type":273,"aria-label":322},"Liste des accès retirés confirmée au client, par écrit."," Liste des accès retirés confirmée au client, par écrit.",[52,325,326],{},"Au départ d'un employé ou d'un pigiste, retirez ses accès à tous les clients le jour même.",[52,328,329],{},"La Loi 25 ajoute une obligation dès que vous traitez des renseignements personnels pour un client : liste d'infolettre, formulaires du site, données de campagnes. Le client peut vous les confier sans consentement si c'est nécessaire au mandat, mais le contrat doit être écrit et préciser les mesures de protection. Vous devez aussi aviser sans délai son responsable de la protection des renseignements personnels de toute violation ou tentative de violation (art. 18.3). Validez votre contrat type avec votre conseiller juridique.",[83,331,333],{"id":332},"ce-que-vos-clients-vont-vous-demander","Ce que vos clients vont vous demander",[52,335,336],{},"Attendez-vous à ce que vos clients évaluent votre sécurité : une agence qui détient leurs accès est un fournisseur critique. Le Centre canadien pour la cybersécurité recommande aux PME d'évaluer leurs fournisseurs de façon continue et d'exiger par contrat un délai précis d'avis en cas d'incident de sécurité.",[52,338,339,340,344],{},"Préparez une réponse d'une page aux questions qui reviennent : authentification multifacteur, gestionnaire de mots de passe, procédure de départ, délai d'avis d'incident, assurance cyber. Ces questions ressemblent beaucoup à celles que nous suggérons de poser pour ",[209,341,343],{"href":342},"\u002Fblogue\u002Fevaluer-securite-fournisseur-ti","évaluer la sécurité d'un fournisseur TI"," : lisez-les du point de vue de vos clients.",[52,346,347,348,351,352,356],{},"Notre équipe peut vérifier vos accès, vos coffres et vos procédures dans le cadre d'un ",[209,349,350],{"href":5},"audit de cybersécurité",". Pour en parler d'abord, réservez une ",[209,353,355],{"href":354},"\u002Fdiscussion-gratuite","discussion gratuite"," avec un expert.",[248,358],{"variant":359},"devis",{"title":361,"searchDepth":11,"depth":15,"links":362},"",[363,364,365,366,367,368],{"id":85,"depth":11,"text":86},{"id":98,"depth":11,"text":99},{"id":194,"depth":11,"text":195},{"id":234,"depth":11,"text":235},{"id":253,"depth":11,"text":254},{"id":332,"depth":11,"text":333},"industries","2026-10-24","Pages, comptes publicitaires, CMS, DNS : comment une agence Web ou marketing protège les accès de ses clients, du moindre privilège à la fin du mandat.","md",[374,377,380,383],{"q":375,"a":376},"Une agence marketing doit-elle demander les mots de passe de ses clients ?","Non, pas quand la plateforme offre une délégation. Meta permet de donner un accès partenaire à partir du portefeuille d'entreprise du client, et Google Ads permet de lier le compte du client à un compte gestionnaire de l'agence. Chaque employé utilise alors son propre compte, protégé par l'authentification multifacteur. Réservez le partage d'identifiants aux rares outils sans délégation, dans un gestionnaire de mots de passe.",{"q":378,"a":379},"Qui doit être propriétaire du nom de domaine et des comptes publicitaires, l'agence ou le client ?","Le client. Le nom de domaine, les pages, les comptes publicitaires et le site doivent être enregistrés à son nom, avec l'agence comme utilisateur délégué. Sinon, la fin du mandat ou la faillite de l'agence peut priver le client de son propre site et de ses courriels. Si l'agence a créé un actif à son nom, prévoyez au contrat son transfert en fin de mandat.",{"q":381,"a":382},"Que faire quand un client met fin à son contrat avec l'agence ?","Retirez vos accès partenaires et vos liens de compte gestionnaire, transférez la propriété de tout actif créé au nom de l'agence, supprimez le coffre du client dans votre gestionnaire de mots de passe et changez les mots de passe qui y étaient partagés. Confirmez ensuite au client, par écrit, la liste des accès retirés.",{"q":384,"a":385},"Une agence Web est-elle visée par la Loi 25 pour les données de ses clients ?","Oui, si elle traite des renseignements personnels pour un client, par exemple une liste d'infolettre ou les formulaires d'un site. La Loi 25 permet ce transfert sans consentement s'il est nécessaire au mandat, mais exige un contrat écrit qui précise les mesures de protection, et oblige l'agence à aviser sans délai le responsable du client de toute violation (art. 18.3). Validez votre contrat type avec votre conseiller juridique.","cybersécurité agence marketing",{},"\u002Fblogue\u002Fcybersecurite-agences-web-marketing","---\ntitle: \"Cybersécurité des agences Web et marketing : les accès clients\"\ndescription: \"Pages, comptes publicitaires, CMS, DNS : comment une agence Web ou marketing protège les accès de ses clients, du moindre privilège à la fin du mandat.\"\ndate: 2026-10-24\ncategory: industries\ntags: [\"agences\", \"marketing\", \"accès\", \"chaîne d'approvisionnement\"]\ntranslationKey: agences\nkeyword: \"cybersécurité agence marketing\"\nfaq:\n  - q: \"Une agence marketing doit-elle demander les mots de passe de ses clients ?\"\n    a: \"Non, pas quand la plateforme offre une délégation. Meta permet de donner un accès partenaire à partir du portefeuille d'entreprise du client, et Google Ads permet de lier le compte du client à un compte gestionnaire de l'agence. Chaque employé utilise alors son propre compte, protégé par l'authentification multifacteur. Réservez le partage d'identifiants aux rares outils sans délégation, dans un gestionnaire de mots de passe.\"\n  - q: \"Qui doit être propriétaire du nom de domaine et des comptes publicitaires, l'agence ou le client ?\"\n    a: \"Le client. Le nom de domaine, les pages, les comptes publicitaires et le site doivent être enregistrés à son nom, avec l'agence comme utilisateur délégué. Sinon, la fin du mandat ou la faillite de l'agence peut priver le client de son propre site et de ses courriels. Si l'agence a créé un actif à son nom, prévoyez au contrat son transfert en fin de mandat.\"\n  - q: \"Que faire quand un client met fin à son contrat avec l'agence ?\"\n    a: \"Retirez vos accès partenaires et vos liens de compte gestionnaire, transférez la propriété de tout actif créé au nom de l'agence, supprimez le coffre du client dans votre gestionnaire de mots de passe et changez les mots de passe qui y étaient partagés. Confirmez ensuite au client, par écrit, la liste des accès retirés.\"\n  - q: \"Une agence Web est-elle visée par la Loi 25 pour les données de ses clients ?\"\n    a: \"Oui, si elle traite des renseignements personnels pour un client, par exemple une liste d'infolettre ou les formulaires d'un site. La Loi 25 permet ce transfert sans consentement s'il est nécessaire au mandat, mais exige un contrat écrit qui précise les mesures de protection, et oblige l'agence à aviser sans délai le responsable du client de toute violation (art. 18.3). Validez votre contrat type avec votre conseiller juridique.\"\nsources:\n  - title: \"Centre canadien pour la cybersécurité : Cybersécurité de la chaîne d'approvisionnement pour les petites et moyennes organisations (ITSAP.00.070)\"\n    url: \"https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fcybersecurite-chaine-approvisionnement-pour-petites-moyennes-organisations-itsap00070\"\n  - title: \"Centre canadien pour la cybersécurité : Évaluation des cybermenaces nationales 2025-2026\"\n    url: \"https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fevaluation-cybermenaces-nationales-2025-2026\"\n  - title: \"Meta : donner à un partenaire l'accès aux actifs de votre portefeuille d'entreprise\"\n    url: \"https:\u002F\u002Fwww.facebook.com\u002Fbusiness\u002Fhelp\u002F1717412048538897\"\n  - title: \"Google Ads : à propos des niveaux d'accès dans votre compte Google Ads\"\n    url: \"https:\u002F\u002Fsupport.google.com\u002Fgoogle-ads\u002Fanswer\u002F9978556?hl=fr\"\n  - title: \"LégisQuébec : Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1)\"\n    url: \"https:\u002F\u002Fwww.legisquebec.gouv.qc.ca\u002Ffr\u002Fdocument\u002Flc\u002FP-39.1\"\n---\n\nUne agence de Québec, dans Saint-Roch : 14 employés, une soixantaine de clients. L'équipe gère leurs pages Facebook et Instagram, leurs campagnes Google Ads, leurs sites WordPress et, pour certains, leurs DNS. Un vendredi après-midi, une conseillère reçoit un avis de Meta : atteinte aux droits d'auteur, la page sera suspendue dans 24 heures. Elle se connecte pour contester.\n\nLe lundi, les pages de plusieurs clients diffusent des publicités pour un faux placement en cryptomonnaie, payées avec les cartes de crédit des clients. L'avis était faux, et le compte de la conseillère était administrateur de 40 pages.\n\nUne agence ne se fait pas pirater seule : elle entraîne ses clients avec elle. Voici comment réduire ce risque sans ralentir le travail.\n\n::callout{type=\"tip\" title=\"En bref\"}\n- Une agence qui détient les accès de dizaines de clients est un fournisseur critique : un seul compte compromis peut toucher tous ses clients à la fois.\n- Règle numéro un : ne demandez jamais le mot de passe d'un client. Utilisez la délégation native des plateformes et des comptes nominatifs.\n- Le client reste propriétaire de son domaine, de ses pages et de ses comptes publicitaires ; l'agence n'y a que l'accès nécessaire.\n- Si vous traitez des renseignements personnels pour un client, la Loi 25 exige un contrat écrit et vous oblige à l'aviser de toute violation.\n::\n\n## Pourquoi une agence est une cible de choix\n\nUne agence est une cible rentable parce qu'un seul compte compromis peut ouvrir les actifs de dizaines de clients : c'est une attaque de la chaîne d'approvisionnement à petite échelle. Dans son Évaluation des cybermenaces nationales 2025-2026, le Centre canadien pour la cybersécurité note que les acteurs malveillants continuent de mener des attaques contre les chaînes d'approvisionnement numériques, y compris des attaques « doubles » où une première compromission en permet une autre.\n\nTrois habitudes du milieu aggravent le risque : des employés administrateurs de tout « pour aller plus vite », des pigistes qui gardent leurs accès d'un projet à l'autre, et un flot constant de faux avis de plateformes que personne n'ose ignorer.\n\nLe faux avis de plateforme est la porte d'entrée classique. Entraînez l'équipe à un seul réflexe : ne jamais se connecter à partir d'un lien reçu par courriel ou par message direct, même urgent. Ouvrez l'application ou tapez l'adresse vous-même, et vérifiez si l'alerte apparaît dans le compte. Si quelqu'un a saisi son mot de passe, il doit prévenir son responsable sur-le-champ : changer le mot de passe, fermer les sessions et vérifier les actifs clients accessibles prend quelques minutes, alors que les dégâts grandissent d'heure en heure.\n\n## Faites l'inventaire des accès que vous détenez\n\nAvant de sécuriser quoi que ce soit, dressez la liste de tous les accès que l'agence détient, client par client, avec le niveau de privilège et la personne qui l'utilise. Le tableau ci-dessous montre ce qui est en jeu.\n\n| Accès | Ce qu'un attaquant peut faire | Bonne pratique |\n|---|---|---|\n| Pages et comptes publicitaires Meta | Publier, lancer des publicités sur la carte du client, retirer les administrateurs | Accès partenaire accordé depuis le portefeuille d'entreprise du client |\n| Google Ads | Dépenser le budget, modifier la facturation | Compte du client lié au compte gestionnaire de l'agence, niveau d'accès minimal |\n| Site Web (CMS) | Injecter un maliciel ou une page d'hameçonnage | Comptes nominatifs, rôle minimal, authentification multifacteur |\n| DNS et registraire | Rediriger le site et les courriels du client | Domaine au nom du client, accès délégué, verrou de transfert |\n| Infolettre et gestion de la clientèle | Exporter les listes de contacts | Accès sans droit d'exportation quand c'est possible |\n| Gestionnaire de balises, analytique | Ajouter un script malveillant au site | Droits de publication limités à deux ou trois personnes |\n\n## Le moindre privilège, concrètement\n\nLe moindre privilège signifie que chaque personne de l'agence a seulement les accès nécessaires à son travail, pour la durée nécessaire, au moyen de son propre compte. Les grandes plateformes sont conçues pour ça.\n\n- **Meta.** Le client ajoute votre agence comme partenaire à partir de son portefeuille d'entreprise et choisit les actifs partagés. Vous attribuez ensuite chaque actif aux employés concernés, un par un. Notre guide pour [sécuriser les comptes de réseaux sociaux](\u002Fblogue\u002Fsecuriser-comptes-reseaux-sociaux-entreprise) détaille ces réglages.\n- **Google Ads.** Liez le compte du client à votre compte gestionnaire. Google prévoit plusieurs niveaux d'accès (administrateur, standard, lecture seule, facturation, courriel uniquement) ; seul l'administrateur peut gérer les accès et dissocier un compte gestionnaire. Le niveau standard suffit souvent pour gérer les campagnes.\n- **Revue trimestrielle.** Google Ads permet à un administrateur de voir la méthode d'authentification et la dernière connexion de chaque utilisateur. Servez-vous-en pour retirer les comptes inactifs.\n- **Authentification multifacteur** obligatoire sur tous les comptes personnels qui donnent accès aux actifs des clients, idéalement avec une clé d'accès ou une clé de sécurité, plus résistantes à l'hameçonnage.\n\n## Le coffre partagé, quand la délégation n'existe pas\n\nQuand une plateforme n'offre aucune délégation, conservez l'identifiant dans un gestionnaire de mots de passe d'entreprise, dans un coffre propre à chaque client, jamais dans un tableur, un clavardage ou un courriel. Seule l'équipe affectée au client y a accès.\n\nPensez aussi à l'authentification multifacteur de ces comptes partagés. Si le code arrive sur le cellulaire personnel d'une seule employée, son départ bloque tout le monde. Stockez plutôt le code dans le coffre ou utilisez une clé de sécurité gérée par l'agence. Notre article sur le [déploiement d'un gestionnaire de mots de passe](\u002Fblogue\u002Fdeployer-gestionnaire-mots-de-passe-entreprise) explique comment structurer les coffres.\n\n::cta{variant=\"audit\"}\n::\n\n## Arrivée et départ d'un client : la checklist\n\nLa fin d'un mandat est le moment où les accès oubliés s'accumulent ; une procédure écrite d'arrivée et de départ règle le problème.\n\nÀ l'arrivée d'un client :\n\n- [ ] Inventaire de ses actifs et de leur propriétaire réel : domaine, pages, comptes publicitaires, site.\n- [ ] Accès délégués créés pour l'agence, sans identifiants du client.\n- [ ] Contrat écrit qui précise les accès, les mesures de sécurité et le délai d'avis en cas d'incident.\n\nAu départ d'un client :\n\n- [ ] Accès partenaires et liens de compte gestionnaire retirés.\n- [ ] Propriété de tout actif créé au nom de l'agence transférée au client.\n- [ ] Coffre du client supprimé et mots de passe partagés changés.\n- [ ] Liste des accès retirés confirmée au client, par écrit.\n\nAu départ d'un employé ou d'un pigiste, retirez ses accès à tous les clients le jour même.\n\nLa Loi 25 ajoute une obligation dès que vous traitez des renseignements personnels pour un client : liste d'infolettre, formulaires du site, données de campagnes. Le client peut vous les confier sans consentement si c'est nécessaire au mandat, mais le contrat doit être écrit et préciser les mesures de protection. Vous devez aussi aviser sans délai son responsable de la protection des renseignements personnels de toute violation ou tentative de violation (art. 18.3). Validez votre contrat type avec votre conseiller juridique.\n\n## Ce que vos clients vont vous demander\n\nAttendez-vous à ce que vos clients évaluent votre sécurité : une agence qui détient leurs accès est un fournisseur critique. Le Centre canadien pour la cybersécurité recommande aux PME d'évaluer leurs fournisseurs de façon continue et d'exiger par contrat un délai précis d'avis en cas d'incident de sécurité.\n\nPréparez une réponse d'une page aux questions qui reviennent : authentification multifacteur, gestionnaire de mots de passe, procédure de départ, délai d'avis d'incident, assurance cyber. Ces questions ressemblent beaucoup à celles que nous suggérons de poser pour [évaluer la sécurité d'un fournisseur TI](\u002Fblogue\u002Fevaluer-securite-fournisseur-ti) : lisez-les du point de vue de vos clients.\n\nNotre équipe peut vérifier vos accès, vos coffres et vos procédures dans le cadre d'un [audit de cybersécurité](\u002Fservices\u002Faudit-cybersecurite). Pour en parler d'abord, réservez une [discussion gratuite](\u002Fdiscussion-gratuite) avec un expert.\n\n::cta{variant=\"devis\"}\n::\n",{"title":47,"description":371},[392,395,398,401,404],{"title":393,"url":394},"Centre canadien pour la cybersécurité : Cybersécurité de la chaîne d'approvisionnement pour les petites et moyennes organisations (ITSAP.00.070)","https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fcybersecurite-chaine-approvisionnement-pour-petites-moyennes-organisations-itsap00070",{"title":396,"url":397},"Centre canadien pour la cybersécurité : Évaluation des cybermenaces nationales 2025-2026","https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fevaluation-cybermenaces-nationales-2025-2026",{"title":399,"url":400},"Meta : donner à un partenaire l'accès aux actifs de votre portefeuille d'entreprise","https:\u002F\u002Fwww.facebook.com\u002Fbusiness\u002Fhelp\u002F1717412048538897",{"title":402,"url":403},"Google Ads : à propos des niveaux d'accès dans votre compte Google Ads","https:\u002F\u002Fsupport.google.com\u002Fgoogle-ads\u002Fanswer\u002F9978556?hl=fr",{"title":405,"url":406},"LégisQuébec : Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1)","https:\u002F\u002Fwww.legisquebec.gouv.qc.ca\u002Ffr\u002Fdocument\u002Flc\u002FP-39.1","blogue\u002Fcybersecurite-agences-web-marketing",[409,410,411,412],"agences","marketing","accès","chaîne d'approvisionnement",null,"tElAkD_XXez2dr7ra4CcDhjnF6MTw6Yp0dlDjLxZfGA",{"path":416},"\u002Fen\u002Fblog\u002Fcybersecurity-web-marketing-agencies",[418,427,435],{"path":342,"title":419,"description":420,"category":421,"minutes":27,"tags":422},"Évaluer la sécurité de son fournisseur TI : 12 questions","Votre fournisseur TI détient les clés de votre PME : 12 questions à lui poser, à quoi ressemble une bonne réponse et ce que la Loi 25 exige au contrat.","compliance",[423,424,412,425,426],"fournisseur ti","msp","loi 25","pme",{"path":428,"title":429,"description":430,"category":369,"minutes":27,"tags":431},"\u002Fblogue\u002Fcybersecurite-cabinets-avocats-notaires","Cybersécurité des avocats et notaires : le secret professionnel","Codes de déontologie, tenue des dossiers, fidéicommis et Loi 25 : ce que les ordres exigent des avocats et des notaires en cybersécurité, et par où commencer.",[432,433,434,425],"avocats","notaires","secret professionnel",{"path":436,"title":437,"description":438,"category":369,"minutes":27,"tags":439},"\u002Fblogue\u002Fcybersecurite-cabinets-comptables","Cybersécurité des cabinets comptables : survivre aux impôts","Faux messages de l'ARC, comptes TED ciblés, documents fiscaux par courriel : les obligations des CPA et les mesures prioritaires pour un cabinet comptable.",[440,441,442,425],"comptables","période des impôts","hameçonnage",1792970121597]