Accès fantômes : l'audit qui révèle qui voit encore les comptes de vos clients

Réponse courte : un accès fantôme est une autorisation encore active dont plus personne ne se souvient — ancien salarié, prestataire parti, outil abandonné. L’audit se fait en une heure par client : utilisateurs Google Ads (et liens MCC), permissions GA4 aux deux niveaux (compte et propriété), utilisateurs et propriétaires vérifiés Search Console, puis applications OAuth sur myaccount.google.com/permissions. La récidive, elle, ne se règle que par un modèle d’accès nominatif et révocable par personne.

Des périmètres par membre : chacun ne voit que les clients qu’on lui accorde.

L’anecdote qui nous a décidés à écrire ce guide : une agence auditée l’an dernier a découvert que son stagiaire de l’été 2024 était encore administrateur de la propriété GA4 de trois clients — deux ans après son départ. Personne n’avait mal agi. Personne n’avait rien fait, c’est précisément le problème : un accès accordé un mardi de juillet « pour dépanner » survit par défaut, indéfiniment, sur des comptes qui n’appartiennent même pas à l’agence.

Chaque compte de plus de deux ans héberge des fantômes. Voici comment les trouver, puis comment faire en sorte de ne plus jamais avoir à les chercher.

Par où commencer l’audit ?

Comptez une heure par client, quatre passages. Google Ads d’abord (20 minutes) : Admin → Accès et sécurité, chaque email listé doit correspondre à une personne active et identifiable. Les pièges classiques : les agences précédentes, les emails génériques (contact@, stagiaire@, marketing@ — qui les détient aujourd’hui ?), et les accès « standard » qui devraient être « lecture seule ». Vérifiez aussi les liens MCC : un compte administrateur tiers encore lié voit tout, en permanence, sans figurer dans la liste des utilisateurs.

GA4 ensuite (15 minutes), et c’est le passage le plus piégeux : Admin → Gestion des accès existe à deux niveaux, le compte et la propriété. Un utilisateur supprimé au niveau propriété peut rester au niveau compte — et hériter de tout. C’est exactement là que dormait notre stagiaire de 2024. Auditez les deux listes, systématiquement.

Search Console (10 minutes) : Paramètres → Utilisateurs et autorisations, plus la section « Propriétaires vérifiés ». Le piège spécifique : un propriétaire vérifié par balise HTML le reste tant que la balise existe dans le code du site — même après suppression de la liste des utilisateurs. Retirer l’email ne suffit pas ; il faut aussi retirer la balise.

L’angle mort : les applications OAuth

Quatrième passage (15 minutes), celui que presque personne ne fait : myaccount.google.com/permissions, sur le compte Google qui détient les propriétés. La liste affiche toutes les applications tierces autorisées, avec leurs scopes. Les outils de reporting essayés en 2022, le connecteur de dashboard abandonné, le trial jamais résilié d’un agrégateur — tout y est encore, jetons valides, souvent avec des scopes larges.

Révoquez tout ce qui n’a plus de raison d’être. Et pour ce qui reste, lisez les scopes : un outil de reporting qui détient un scope d’écriture sur Google Ads mérite une question. Notre checklist sécurité d’un connecteur donne les huit questions à poser.

Pourquoi l’audit ponctuel ne suffit pas

Faites cet audit aujourd’hui : dans dix-huit mois, les fantômes seront revenus. Pas par négligence — par structure. Tant que les accès sont accordés nominativement dans chaque console, par des gens différents, à des moments différents, sans registre central, chaque départ et chaque fin de mission recrée de la dette. L’audit nettoie le stock ; il ne touche pas au flux.

La seule règle qui empêche la récidive tient en une phrase : plus aucun accès partagé, plus aucun mot de passe transmis, chaque personne et chaque outil passe par sa propre autorisation, visible et révocable individuellement. C’est une discipline avant d’être un outil. Mais un outil peut la rendre automatique.

Comment le périmètre par membre change l’équation

Voici le modèle qu’Attaché applique, et qui traite le flux plutôt que le stock. Le client autorise ses comptes une fois, en lecture seule, chez Google — sans ajouter personne dans ses consoles. Côté agence, chaque membre de l’équipe a son propre compte, et le propriétaire définit qui voit quels clients.

Reprenons le stagiaire. Été 2027, version Attaché : il arrive, le propriétaire lui ouvre un compte limité aux deux clients de sa mission — pas les douze de l’agence. Le périmètre s’applique instantanément, y compris aux connecteurs qu’il installe dans son Claude. Fin août, il part : le propriétaire retire son compte, une action, une personne. Tous ses connecteurs répondent « accès refusé » dans la seconde, sans dépendre de sa bonne volonté pour désinstaller quoi que ce soit, et sans toucher aux consoles du client — puisqu’il n’y a jamais figuré.

Comparez l’audit dans les deux mondes. Version consoles : 12 clients × 4 passages × 1 heure, soit une grosse semaine de travail, à refaire chaque année, avec la quasi-certitude d’oublier un niveau de permission quelque part. Version Attaché : une liste de membres avec leur périmètre, une liste de connecteurs avec date de création et dernière utilisation. Dix minutes par trimestre — demandez à Claude « liste mes connecteurs et leur dernière utilisation », révoquez ce qui dort depuis 90 jours. Le mécanisme de révocation, qui agit chez Google et pas seulement chez nous, est détaillé dans fin de mission : révoquer vraiment les accès.

Vendre l’audit à vos clients

Ce guide a une seconde vie commerciale. L’audit d’accès est un livrable rapide, factuel et spectaculaire : présenter à un prospect la liste des huit emails et cinq applications qui voient encore ses données — dont son agence d’il y a trois ans — ouvre une conversation qu’aucun deck ne provoque. C’est aussi la démonstration naturelle du modèle que vous proposez ensuite : « voilà pourquoi, avec nous, personne ne sera jamais ajouté dans vos consoles ». Le raisonnement complet derrière ce choix d’architecture est dans pourquoi nous avons construit Attaché, et le détail des garanties sur la page sécurité.

Questions fréquentes

Qu’est-ce qu’un accès fantôme, exactement ?

Un accès fantôme est une autorisation encore techniquement active (utilisateur, lien MCC, application OAuth) dont le bénéficiaire n’a plus de raison légitime d’accéder aux données — ancien salarié, prestataire parti, outil abandonné. Il est invisible au quotidien parce qu’il ne génère aucune activité remarquée, et il ne disparaît jamais de lui-même.

À quelle fréquence auditer les accès des comptes clients ?

Un audit complet par an et par client au minimum, plus un passage systématique à chaque fin de mission et à chaque départ dans l’équipe. Si les accès passent par un connecteur avec registre central comme Attaché, la revue trimestrielle tient en dix minutes : liste des membres et de leur périmètre, liste des connecteurs et de leur dernière utilisation.

Supprimer un utilisateur GA4 suffit-il à couper son accès ?

Pas toujours. GA4 gère les permissions à deux niveaux — compte et propriété — et un utilisateur retiré de la propriété peut conserver un accès hérité du niveau compte. Vérifiez les deux listes, et pour Search Console, pensez aussi aux propriétaires vérifiés par balise HTML : ils survivent à leur suppression tant que la balise reste dans le code.

---

Attaché se teste gratuitement pendant 60 jours, sans carte : app.attache.studio. Le modèle sans accès nominatif, appliqué à GA4, Google Ads et Search Console — pour que le prochain audit dure dix minutes.