Pourquoi l'accès délégué est-il préférable aux mots de passe partagés avec vos prestataires SEO ?

L'accès délégué, qu'est-ce que c'est exactement ?

L'accès délégué désigne un système de permissions granulaires proposé par Google Search Console, Google Analytics ou Google My Business. Au lieu de partager vos identifiants, vous invitez un utilisateur externe avec un niveau de permission spécifique.

Cette fonctionnalité existe depuis des années, mais Google prend la peine de la rappeler — ce qui en dit long sur la fréquence des mauvaises pratiques terrain. Beaucoup d'entreprises continuent de filer leurs mots de passe admin à leur agence.

Pourquoi Google insiste-t-il sur ce point maintenant ?

Deux raisons probables. D'abord, la sécurité des comptes : les fuites de credentials sont monnaie courante, et un accès admin compromis peut détruire des années de données. Ensuite, le contrôle de la relation contractuelle : quand une collaboration s'achève mal, impossible de virer l'agence de vos outils si elle possède les clés du royaume.

Mueller ne précise pas quel événement a motivé cette déclaration, mais l'insistance sur "la plupart des types de travail" suggère que Google constate trop d'accès admin injustifiés.

Quels sont les niveaux d'accès réellement nécessaires pour une mission SEO classique ?

Dans Google Search Console, un accès "Complet" suffit dans 90% des cas — il permet de voir toutes les données et de soumettre des sitemaps, sans toucher aux propriétaires. Un accès "Restreint" convient pour du reporting pur.

Pour Google Analytics 4, un rôle "Analyste" ou "Éditeur" couvre l'essentiel. L'admin n'est nécessaire que pour modifier la structure du compte ou gérer d'autres utilisateurs.

• Accès délégué = permissions révocables sans toucher au site
• La plupart des missions SEO ne nécessitent pas un accès administrateur complet
• Contrôle de l'accès = levier de sécurité et de gestion contractuelle
• Privilégier les rôles les moins permissifs qui permettent encore d'accomplir le travail demandé

Cette recommandation reflète-t-elle vraiment les pratiques du terrain ?

Soyons honnêtes : une part non négligeable d'agences réclame encore un accès admin par réflexe, sans justification technique réelle. Certaines le font par habitude, d'autres pour garder une forme de "contrôle" sur la relation client.

Côté clients, beaucoup ne connaissent même pas l'existence de l'accès délégué. Résultat : on file les mots de passe par email en clair, parfois via Slack ou WhatsApp. C'est une hérésie en 2020+, mais ça reste fréquent.

Dans quels cas un accès admin reste-t-il légitime ?

Il existe des situations où un accès admin est techniquement nécessaire. Par exemple : configuration initiale d'un compte GA4 complexe avec plusieurs propriétés, mise en place d'audiences personnalisées qui nécessitent des droits élevés, ou gestion complète d'un compte Google Ads lié.

Mais là encore — et c'est le point que Mueller sous-entend — ces cas sont minoritaires. La plupart du temps, l'agence peut accomplir sa mission avec des droits inférieurs. [À vérifier] : Google ne fournit aucune statistique sur le pourcentage d'accès admin réellement justifiés versus ceux accordés par facilité.

Quels risques concrets si vous ignorez ce conseil ?

Premier risque : la perte de contrôle. Si l'agence détient vos credentials admin et disparaît du jour au lendemain (ça arrive), vous vous retrouvez à devoir réinitialiser tous vos accès, voire à perdre l'historique si le compte était au nom de l'agence.

Deuxième risque : la responsabilité en cas de fuite. Si un compte partagé est compromis et que des données clients sont exposées, vous êtes juridiquement responsable — même si c'est l'ordinateur portable de l'agence qui a été volé.

Comment mettre en place un accès délégué proprement ?

Dans Google Search Console : Paramètres > Utilisateurs et autorisations > Ajouter un utilisateur. Choisissez "Complet" pour une agence qui doit pouvoir agir, "Restreint" pour du reporting seul. L'email doit être un compte Google — professionnel de préférence.

Dans Google Analytics 4 : Administration > Accès aux données de la propriété > Ajouter des utilisateurs. Le rôle "Éditeur" permet de créer des rapports personnalisés et des filtres. "Analyste" suffit pour consulter sans modifier.

Quelles erreurs éviter lors de la gestion des accès ?

Ne jamais utiliser un compte personnel Gmail de l'agence comme propriétaire principal de votre Search Console. Si cette personne part, l'accès part avec elle. Créez toujours la propriété avec un compte de l'entreprise cliente.

Évitez aussi de donner un accès admin "au cas où". Le principe du moindre privilège s'applique ici : commencez bas, et augmentez les permissions uniquement si un besoin technique précis se présente.

Comment auditer les accès actuels de vos outils Google ?

Passez en revue régulièrement — tous les trimestres minimum — la liste des utilisateurs ayant accès à vos propriétés. Révocquez les anciens prestataires, les employés partis, les comptes que vous ne reconnaissez pas.

Documentez chaque accès : qui, pourquoi, quel niveau de permission, date d'attribution. Un simple tableur suffit. Ça paraît fastidieux, mais c'est ce qui vous sauvera lors d'un incident de sécurité ou d'un conflit contractuel.

• Inviter les agences via l'accès délégué, jamais via partage de mot de passe
• Privilégier les rôles "Complet" ou "Éditeur" plutôt qu'"Admin"
• Utiliser des adresses email professionnelles de l'agence, pas des comptes personnels
• Conserver la propriété principale du compte au nom de l'entreprise cliente
• Auditer les accès tous les 3 mois et révoquer les utilisateurs inactifs
• Documenter chaque attribution d'accès dans un registre interne