Liens de connexion client : accéder aux comptes sociaux de vos clients sans leurs mots de passe
Comment une agence obtient l'accès en publication aux comptes Facebook, Instagram, YouTube, X, LinkedIn et TikTok de ses clients, sans mot de passe partagé.
Un lien de connexion client est un lien que l'agence envoie à son client pour qu'il connecte lui-même sa Page Facebook, son compte professionnel Instagram ou sa chaîne YouTube à l'espace de travail de l'agence. Le client se connecte directement sur le réseau et accorde l'accès : il ne partage jamais de mot de passe et n'a pas besoin de compte Shager. Pour les agences qui font travailler des agents IA, cela veut aussi dire qu'un agent peut préparer l'onboarding pendant que le client garde la main sur ses identifiants.
C'est souvent à l'onboarding qu'une relation d'agence démarre mal. La première semaine passe en appels pour savoir qui est administrateur de quelle Page, en mot de passe envoyé par messagerie, en code de double authentification parti sur l'ancien téléphone de quelqu'un. Les liens de connexion existent pour réduire cette semaine à un seul message.
Pourquoi partager des mots de passe pose problème, même avec des clients de confiance ?
L'argument de sécurité est ancien et bien documenté. La spécification OAuth 2.0, la RFC 6749, commence justement par lister ce qui dérape quand un tiers détient le mot de passe d'un utilisateur : il doit le stocker, il obtient un accès plus large que nécessaire, et le propriétaire ne peut pas retirer l'accès d'un seul tiers sans changer le mot de passe pour tout le monde.
Pour une agence, s'ajoutent des problèmes très concrets. Les mots de passe partent avec les collaborateurs qui quittent l'équipe. Une connexion depuis un nouvel appareil ou un nouveau lieu peut déclencher les contrôles de sécurité du réseau et bloquer le compte du client. Et quand quelque chose tourne mal, impossible de savoir qui a fait quoi, puisque tout le monde utilisait le même identifiant.
L'autorisation déléguée règle tout cela. La documentation de Google explique comment ses API utilisent OAuth 2.0 et précise que les jetons d'accès ne sont valables que pour les opérations et les ressources de leur périmètre. Le client approuve un accès précis, et peut le retirer depuis les paramètres de son propre compte.
Comment fonctionne un lien de connexion, étape par étape ?
Côté client, le parcours est court :
- Le client ouvre le lien envoyé par l'agence.
- Il choisit le réseau : Facebook, Instagram, YouTube, X, LinkedIn ou TikTok.
- Il se connecte sur la page du réseau lui-même, pas sur un formulaire géré par l'agence.
- Il sélectionne les Pages, comptes ou chaînes à connecter et approuve les autorisations.
- Les comptes connectés apparaissent dans l'espace de travail de l'agence, rattachés à ce client.
Côté agence, il n'y a rien à saisir à la place du client. Les comptes apparaissent comme des canaux, prêts à être regroupés et ciblés.
Comment un agent crée-t-il des liens de connexion ?
Shager expose cette fonction via l'outil create_connect_link de son serveur MCP et via une opération REST. Voici une séquence d'onboarding qu'un agent peut dérouler dès le premier jour :
whoami confirm the key belongs to the agency organization
create_workspace "Copperline Coffee"
create_connect_link for the new workspace, returns the link to send
(wait for the client to complete the flow)
list_channels confirm which accounts were connected
create_group "All cafes", "Instagram only", by region if useful
Un prompt pour l'agent :
New client: Copperline Coffee, 14 cafes, Facebook Pages and Instagram.
Create a workspace, create a connect link, and draft a short email to
their marketing lead explaining what the link does in plain language.
Mention that they will sign in on Facebook and Instagram directly and
won't share any password with us. Do not send the email; give it to me.
Tomorrow, check which channels are connected and propose groups by city.
Une contrainte à noter : une sandbox d'agent créée par auto-inscription ne peut pas générer de liens de connexion tant qu'un humain ne l'a pas revendiquée. C'est voulu. Demander l'accès aux comptes de quelqu'un d'autre est une étape qui doit pouvoir être rattachée à une personne responsable. Notre article sur l'auto-inscription des agents et la revendication détaille cette étape.
Que doit dire le message au client ?
Les clients se méfient, à juste titre, des liens qui demandent l'accès à leurs comptes sociaux. Le mot qui accompagne le lien compte donc beaucoup. Faites court et précis :
Hi Dana,
Here is the link to connect Copperline's Facebook and Instagram accounts
to our publishing workspace: <link>
You'll sign in on Facebook and Instagram directly, choose which cafe
accounts to connect, and approve publishing access. We never see your
password. You can remove our access at any time from your account settings.
It takes about five minutes. If a cafe account is missing from the list,
it usually means your login doesn't have full control of it; tell us and we'll help.
Le dernier paragraphe évite le ticket de support le plus fréquent. Un client ne peut connecter que les comptes sur lesquels son identifiant dispose de droits suffisants. Pour une enseigne multi-sites où différents responsables gèrent différentes Pages, il faudra peut-être que plusieurs personnes ouvrent le lien.
Et l'accès partenaire proposé par les réseaux eux-mêmes ?
Les réseaux ont leurs propres outils d'accès pour les agences, comme le partage de ressources entre portefeuilles business dans les outils professionnels de Meta. Ils sont utiles pour la publicité et la gestion d'équipe, et beaucoup d'agences utilisent les deux. Un lien de connexion a un rôle plus étroit : il donne à la plateforme de publication l'accès dont elle a besoin pour publier, programmer et lire les résultats de ces comptes. Pour un client qui veut simplement que les publications sortent sous sa marque, c'est généralement le chemin le plus simple.
Que se passe-t-il quand l'accès doit évoluer ?
Trois situations reviennent régulièrement.
Quand un client ouvre un nouveau site, envoyez-lui un nouveau lien du même type et il connecte le nouveau compte. L'agent peut ensuite l'ajouter aux bons groupes.
Quand un client s'en va, il retire l'accès de son côté et l'agence supprime les canaux de l'espace de travail. Aucun mot de passe à changer.
Quand un jeton cesse de fonctionner, ce qui peut arriver après un changement de mot de passe ou d'autorisations côté réseau, le canal doit être reconnecté. La documentation OAuth de Google rappelle que les applications doivent s'attendre à ce qu'un jeton d'actualisation accordé ne fonctionne plus. Un contrôle hebdomadaire par l'agent, avec list_channels comparé à la liste de comptes attendue pour le client, plus un coup d'œil aux publications en échec avec get_post, permet de le repérer tôt.
Quel rapport avec les agents ?
Une diffusion pilotée par des agents repose sur des accès propres. Si la connexion de l'agence à quarante Pages clientes dépend d'un mot de passe partagé, l'agent hérite de toute la fragilité de ce montage. Avec des connexions accordées par le client, chaque canal est une autorisation claire, que l'on peut lister, regrouper, auditer et révoquer. C'est la base sur laquelle repose tout le modèle opérationnel d'agence.
FAQ
Le client a-t-il besoin d'un compte Shager pour utiliser un lien de connexion ?
Non. Le client ouvre le lien, se connecte sur le réseau et approuve l'accès. Il ne crée pas de compte Shager et ne partage aucun mot de passe.
Quels réseaux les liens de connexion prennent-ils en charge ?
Tous les réseaux pris en charge par Shager : Pages Facebook, comptes professionnels Instagram, chaînes YouTube, comptes X, profils personnels LinkedIn et comptes TikTok. TikTok est disponible mais en attente de la validation de l'application par TikTok : d'ici là, les publications ne peuvent aller que vers des comptes privés et sont publiées en privé. Les Pages entreprise LinkedIn attendent l'approbation de l'API Community Management de LinkedIn.
Un agent IA peut-il envoyer lui-même des liens de connexion aux clients ?
Un agent disposant d'une clé revendiquée peut créer le lien. Nous recommandons qu'une personne l'envoie avec un mot personnel, car une demande d'accès à des comptes doit venir de quelqu'un que le client connaît.
Pour essayer, créez un espace de travail pour votre prochain client et générez un lien depuis le tableau de bord, ou laissez votre agent le faire via le serveur MCP décrit sur la page d'accueil des agents.
