Fin de mission : comment révoquer (vraiment) les accès d'une agence

Réponse courte : révoquer les accès d’une agence en fin de mission exige d’agir à la source — retirer les emails ajoutés dans GA4, Google Ads et Search Console, et révoquer les applications OAuth chez Google, pas seulement dans l’outil qui les utilise. Avec Attaché, un clic appelle l’endpoint de révocation officiel de Google : le jeton meurt à la source, et la disparition se vérifie sur myaccount.google.com/permissions.

Du partage à la révocation : le jeton est coupé jusque chez Google.

Faites le test : listez les personnes et les outils qui ont encore accès au compte Google Ads de votre plus ancien client. Il y a de fortes chances d’y trouver un prestataire parti en 2021, un freelance dont personne ne se souvient, et deux outils de reporting morts.

Une révocation d’accès est l’opération qui rend un jeton ou une autorisation définitivement inutilisable auprès du fournisseur qui l’a émis — pas dans l’interface de l’outil qui s’en servait, chez Google lui-même. Cette distinction, presque personne ne la fait. Elle est pourtant toute la différence entre « l’agence n’apparaît plus dans mon tableau de bord » et « l’agence ne peut plus lire mes données ».

Pourquoi personne ne révoque jamais

Parce que c’est invisible et pénible. Chaque plateforme a sa procédure : Google Ads a ses niveaux d’accès et ses liens MCC, GA4 a deux niveaux de permissions (compte et propriété — le piège classique), Search Console a ses propriétaires vérifiés qui survivent à leur propre suppression tant que la balise HTML existe. Personne n’est responsable du départ d’un prestataire, le client ne sait même pas qui a accès, et la dette s’accumule sans douleur.

Jusqu’au jour où elle fait mal : l’audit de sécurité qui découvre huit accès inexpliqués, le concurrent qui a récupéré votre ancien freelance et garde un œil sur les campagnes, ou simplement le nouveau prestataire qui demande « c’est qui, tous ces emails ? » devant le client. Nous avons écrit un guide d’audit complet des accès fantômes pour nettoyer l’existant. Cet article-ci traite de l’autre moitié du problème : faire en sorte que la fin de mission n’en crée plus jamais.

« Révoqué dans l’outil » ne veut rien dire

C’est le point technique que cache la plupart des interfaces. Quand un outil de reporting « supprime » une connexion, deux scénarios existent. Soit il supprime la ligne dans sa propre base et le jeton OAuth reste valide chez Google — utilisable par l’outil, ou par quiconque copierait sa base. Soit il appelle l’endpoint de révocation officiel de Google, et le jeton devient inutilisable partout, pour tout le monde, immédiatement.

De l’extérieur, les deux se ressemblent : la connexion a disparu de l’écran. La différence se vérifie en trente secondes, sur myaccount.google.com/permissions avec le compte Google du client : si l’application figure encore dans la liste des applications autorisées, la révocation n’a pas eu lieu. Elle a été maquillée.

Chez Attaché, la révocation est upstream : le clic appelle l’endpoint de Google, Attaché disparaît de la liste des autorisations du compte Google du client, et le jeton est ensuite supprimé de notre base. Même nous ne pouvons plus l’utiliser. Même si notre base était copiée, le jeton copié serait mort. C’est, à notre connaissance, le seul modèle de révocation qui ne demande aucune confiance.

Qui peut couper, et quand ?

Les deux côtés, sans se demander la permission.

Le client dispose de son propre espace : il y voit la liste exacte de ce qu’il partage (des cases qu’il peut décocher propriété par propriété), le journal de ce que l’agence a consulté et quand, et un bouton de révocation globale. Fin de contrat un vendredi à 17h ? Il coupe à 17h01, sans envoyer d’email, sans attendre que l’agence « fasse le nécessaire ». Ce qu’il voit exactement de son côté est détaillé dans ce qu’Attaché peut voir de vos données.

L’agence, de son côté, gère ses connecteurs un par un, avec date de création et dernière utilisation — de quoi repérer ceux qui dorment. Et le propriétaire du compte peut retirer un client du périmètre d’un membre de l’équipe : la restriction s’applique instantanément, y compris aux connecteurs que ce membre a déjà installés dans Claude.

L’offboarding comme argument de vente

Voici le renversement qui nous a le plus surpris en construisant Attaché : la révocation, pensée comme une fonctionnalité de fin de vie, est devenue un argument de signature.

Prenons une agence fictive qui pitche un e-commerçant échaudé — son ancienne agence a gardé l’accès Google Ads huit mois après la rupture, il a fallu trois relances pour le faire retirer. Le discours qui le rassure n’est pas « faites-nous confiance », c’est : « voici votre espace ; vous voyez chaque consultation que nous faisons, et ce bouton coupe tout, à tout moment, sans nous prévenir ». La clause « fin de contrat = fin d’accès, immédiate et vérifiable » peut s’écrire noir sur blanc dans le contrat, parce qu’elle est tenable techniquement. Comparez le coût : zéro euro, contre trois semaines de friction et une relation qui démarre sur la méfiance. L’onboarding bénéficie du même mécanisme, dans l’autre sens — le client autorise en trois clics, sans mot de passe.

La routine qui empêche la dette de revenir

Une fois par trimestre, dix minutes. Demandez à Claude « liste mes connecteurs et leur dernière utilisation » : tout ce qui dort depuis 90 jours est révoqué. À chaque fin de mission, la révocation entre dans la checklist de clôture, au même titre que la facture finale et la passation des livrables. Et à chaque départ dans l’équipe, le propriétaire retire la personne — ce qui coupe ses connecteurs, tous, instantanément.

C’est l’hygiène la moins chère de toute votre stack. Elle ne coûte rien tant qu’on la fait, et elle coûte très cher le jour où on découvre qu’on ne l’a jamais faite. Le détail de nos mécanismes de révocation et de chiffrement est sur la page sécurité.

Questions fréquentes

Comment vérifier qu’une agence n’a vraiment plus accès à mes comptes Google ?

Deux vérifications : dans chaque console (GA4, Google Ads, Search Console), la liste des utilisateurs ne doit plus contenir aucun email de l’agence ; et sur myaccount.google.com/permissions, la liste des applications tierces ne doit plus contenir les outils que l’agence utilisait. Si l’agence passait par Attaché, la seconde vérification suffit — aucun email n’a jamais été ajouté dans vos consoles.

La révocation Attaché supprime-t-elle aussi l’historique ?

La révocation tue le jeton chez Google et le supprime de notre base, avec les identifiants des ressources partagées. Le journal des requêtes passées est conservé : c’est la trace, consultable par le client, de ce qui a été demandé pendant la mission — les paramètres des requêtes, jamais les résultats.

Que se passe-t-il si un membre de l’agence part avec un connecteur encore installé dans son Claude ?

Le propriétaire du compte Attaché retire le membre (ou restreint son périmètre client), et la restriction s’applique instantanément à tous ses connecteurs, y compris ceux déjà installés. Le connecteur répond alors « accès refusé » — sans dépendre du fait que la personne pense à le désinstaller.

---

Attaché se teste gratuitement pendant 60 jours, sans carte : app.attache.studio. GA4, Google Ads et Search Console de tous vos clients dans un seul connecteur Claude — révocable en un clic, chez Google.