Маркетолог на аутсорсе: как не потерять доступы к рекламным кабинетам

Вы сдаёте квартиру. Находите хорошего арендатора. Даёте ему ключи. Он платит, не шумит, не ломает мебель. Проходит год. Вы решаете не продлевать договор. Арендатор уходит. Ключи возвращает. А вы лежите ночью и думаете: «А вдруг он сделал дубликат? А вдруг зайдёт, когда нас нет?» И идёте менять все замки.

Знакомая тревога?

Это не про квартиру. Это про доступы к рекламным кабинетам.

Вы нанимаете маркетолога на аутсорс. Даёте ему доступ к Яндекс.Директу, VK Ads, Метрике, CRM, почте. Он работает. Приносит результат. Вы расстаётесь. А доступ остаётся. Или не остаётся, но вы не уверены. Или он обещал удалить, а вы не проверили.

А через месяц замечаете странные кампании с бюджетом 50 тысяч. Или кто-то меняет настройки посреди ночи. Или конкурент узнаёт ваши стратегии.

Я веду блог про интернет-маркетинг 5 лет. И за это время я видела десятки предпринимателей, которые теряли доступ к своим рекламным кабинетам. Не потому что маркетологи были злодеями. Просто не было системы безопасности.

Доступы к рекламе — это ключи от вашего бизнеса. Если они у того, кому вы больше не доверяете, — вы в опасности. Не потому что маркетолог обязательно злодей. А потому что доступ может быть скомпрометирован случайно. Или потому что закон подлости работает всегда.

В этой статье: инструкция по безопасности для предпринимателей. Что должно быть в договоре. Какие права доступа давать, а какие — никогда. Как настроить двухфакторную аутентификацию на общий ящик. Что делать, если маркетолог исчез с доступом. И реальная история проекта, который три недели не мог зайти в свой Яндекс.Директ.

Почему доступы к рекламе — это не просто пароли

Что можно сделать с доступом к вашему кабинету

• С доступом к Яндекс.Директу можно запустить рекламу на 1 миллион рублей за одну ночь. Просто создать кампанию, поставить бюджет «без ограничений» и уйти в закат.
• С доступом к Метрике можно слить все данные о посетителях за последние годы. Целевая аудитория, география, поведение на сайте — всё это становится доступно посторонним.
• С доступом к VK Ads можно удалить рекламные кампании, которые работали годами. Остановить все объявления одним нажатием.
• С доступом к CRM можно скачать всю базу клиентов. Телефоны, имена, историю покупок. И отдать конкурентам или использовать для своего бизнеса.

И это не обязательно сделает злой маркетолог. Пароль может украсть хакер. Маркетолог может заразить свой компьютер вирусом. Может передать доступ фрилансеру, который передаст другому. Может просто забыть выйти из аккаунта на чужом устройстве в коворкинге.

Три страшные истории, которые случаются каждый месяц

История первая. Кампании на чужом бюджете.

Маркетолог уволился по соглашению сторон. Вроде бы мирно. Через две недели владелец обнаруживает, что бюджет на рекламу вырос в 3 раза. Продажи не выросли. Заходит в кабинет — а там новые кампании, которые запустил бывший маркетолог. Со своими креативами, своими настройками, на бюджете чужой компании. Полиция? Сложно. Доступ был передан добровольно. Это не кража, это «ошибка в настройках».

История вторая. Взлом через общий пароль.

Маркетолог использовал один пароль для всех сервисов. Для почты, для рекламных кабинетов, для личного Telegram, для онлайн-кинотеатра. Взломали его почту на одном из сайтов с пиратским контентом. А дальше — как по цепочке. Яндекс.Директ, VK, CRM, файлообменник с договорами. Конкурент получил полную выгрузку стратегий за 2 года. Бюджеты, ставки, минус-слова, тайные фишки.

История третья. Три недели без рекламы.

Маркетолог ушёл, доступ не удалил. Через месяц владелец случайно заблокировал аккаунт, пытаясь сменить пароль. Система безопасности сработала так, что доступ потерял и владелец, и бывший маркетолог. Восстановление заняло 3 недели. Реклама не работала всё это время. Убыток от потерянных клиентов — больше 2 миллионов рублей.

Что должно быть в договоре с маркетологом до начала работы

Пункт 1. Доступы — ваша собственность

В договоре должно быть прямо написано. «Все учётные записи, рекламные кабинеты, аккаунты в рекламных системах, CRM, аналитических сервисах и иных инструментах, созданных в процессе работы или переданных маркетологу, являются исключительной собственностью заказчика».

Без этого пункта маркетолог может сказать: «Я создал этот кабинет на свою почту, он мой». И будет формально прав. По правилам рекламной системы, владелец аккаунта — тот, на кого он зарегистрирован. Договор с этим пунктом меняет правила игры.

Пункт 2. Доступы передаются на отдельную почту или аккаунт компании

Маркетолог не должен использовать свою личную почту для регистрации кабинетов. Никогда. Даже если «так удобнее». Даже если «я всё равно всё передам». Даже если «мы же друзья».

Вы создаёте отдельный корпоративный аккаунт. Например, market@вашакомпания.ру. Или ads@вашакомпания.ру. Или seo@вашакомпания.ру. Не важно, как назовёте. Важно, что это ящик компании, а не личный ящик маркетолога.

Все кабинеты регистрируются на этот ящик. Маркетолог получает доступ к этому ящику на время работы. После увольнения — вы просто меняете пароль на ящике, и доступ к кабинетам автоматически теряется.

Пункт 3. Передача доступов по акту

При приёме на работу вы передаёте маркетологу доступы. При увольнении — он передаёт их обратно. С подписями, датами, скриншотами.

Акт приёма-передачи доступов — простой документ на полстраницы. В нём перечислены все сервисы: Яндекс.Директ, VK Ads, Яндекс.Метрика, CRM, корпоративная почта, файлообменник, Google Docs, Telegram-боты, доступ к хостингу — всё, к чему маркетолог получал доступ.

Две подписи. Дата. Можно в электронном виде. Без акта вы не докажете, что доступы были переданы. И не докажете, что они должны быть возвращены.

Пункт 4. Штраф за несвоевременный возврат доступов

Пропишите штраф. Например, 10 000 рублей за каждый день просрочки возврата доступов. Или 5000. Или 20 000 — в зависимости от бюджета.

Штраф дисциплинирует. Маркетолог может забыть. Может тянуть. Может «потерять» пароль и говорить, что «восстанавливает». Штраф в договоре — отличный мотиватор вспомнить всё и вернуть доступы в тот же день.

Пункт 5. Нераспространение коммерческой тайны

Стандартный пункт, который часто пропускают. Маркетолог узнаёт ваши стратегии, бюджеты, конверсии, настройки, ставки, минус-слова, тайные фишки. Всё это — коммерческая тайна.

Запрет на разглашение должен быть в договоре. С указанием ответственности. Например, штраф в размере 500 000 рублей или возмещение убытков.

Без этого пункта маркетолог может уйти к конкуренту и рассказать всё, что знает. И вы ничего не сможете сделать.

Какие права доступа давать, а какие — никогда

Уровни доступа — как в банке

Никогда не давайте маркетологу больше прав, чем ему нужно для работы. Это называется принципом минимальных привилегий. В банке кассир не имеет доступа к сейфу. Водитель не имеет доступа к бухгалтерии. Маркетолог не имеет права удалять кабинет.

Что можно давать и что нужно давать.

Доступ к рекламному кабинету с правами «редактор» или «специалист». Без права на удаление кабинета. Без права на изменение платёжных данных. Без права на привязку новых карт. Без права на отзыв доступа у других пользователей.

Доступ к Яндекс.Метрике с правами «наблюдатель» или «аналитик». Без права на удаление счётчика. Без права на изменение кода счётчика. Без права на настройку целей (это можно сделать один раз и больше не трогать).

Доступ к CRM с правами на создание и редактирование заявок. Без права на экспорт базы. Без права на удаление клиентов. Без права на изменение настроек CRM.

Что нельзя давать никогда.

Главный администратор — владелец рекламного кабинета. Эта роль должна быть только у вас. Никому, даже любимому маркетологу с 10-летним стажем. Даже если он клянётся, что «без этого не могу настроить».

Доступ к платёжной карте или возможность привязать свою карту. Только вы добавляете карту. Только вы управляете бюджетом. Маркетолог не должен знать номер вашей карты.

Доступ к корпоративной почте с правом смены пароля. Маркетолог может получить доступ к почте, а через неё — ко всем сервисам. Если ему нужен доступ к письмам — создайте отдельную папку или пересылайте нужные письма.

Доступ к хостингу и домену. Маркетологу не нужно менять DNS-записи или загружать файлы на сервер. Если ему нужны правки на сайте — пусть присылает задачу, а технический специалист (или вы) их вносит.

Почему нельзя давать права администратора

Потому что администратор может всё.

Удалить кабинет. Не перенести, не заблокировать, а удалить. Безвозвратно. Вместе со всей историей, настройками, кампаниями.

Заблокировать вас. Просто отозвать ваши права доступа. Вы заходите в кабинет — а вас там нет.

Поменять платёжные данные. Привязать свою карту и списать бюджет на свои кампании.

Привязать свой номер телефона для восстановления. После этого даже смена пароля через почту не поможет — код восстановления будет приходить ему.

Восстановить доступ после этого — месяцы. А иногда — невозможно. Если маркетолог зарегистрировал кабинет на свою почту и сделал себя владельцем — вы ничего не сделаете.

Как настроить двухфакторную аутентификацию на общий ящик

Создайте отдельный корпоративный ящик для маркетинга. Пример: ads@вашакомпания.ру.

Настройте на нём двухфакторную аутентификацию. Это когда для входа нужен не только пароль, но и код из приложения на вашем телефоне. Яндекс поддерживает двухфакторку, Google — поддерживает, большинство почтовых сервисов — поддерживают.

При передаче доступа маркетологу вы даёте ему пароль от ящика. Но код для входа генерируете вы и передаёте ему при каждом входе. Или используете одноразовые пароли — их можно сгенерировать в настройках аккаунта.

После увольнения маркетолога вы просто меняете пароль на ящике. Доступ к старым письмам остаётся у вас. Доступ к сервисам, которые привязаны к этому ящику, — тоже. Потому что двухфакторка остаётся только у вас.

Что делать, если маркетолог уже ушёл с доступом

Шаг 1. Не паниковать, но действовать быстро

Первые 24 часа — самые важные. Каждая минута увеличивает риск. Не ждите «до завтра». Не надейтесь, что «он хороший человек, ничего не сделает». Просто сделайте.

 Шаг 2. Сменить пароли на всех сервисах

Немедленно. Не «завтра утром». Не «на выходных». Прямо сейчас, как только заподозрили неладное.

Смените пароль в рекламном кабинете. Смените пароль на почте. Смените пароль на CRM. Смените пароль на хостинге. Везде, куда у маркетолога был доступ.

Шаг 3. Отозвать права доступа

В рекламных кабинетах — удалить маркетолога из списка пользователей. В Метрике — убрать доступ. В CRM — деактивировать аккаунт.

Не просто сменить пароль, а именно отозвать права. Потому что маркетолог мог сохранить пароль в браузере и автоматически заходить. Смена пароля не поможет, если сессия уже активна. Отзыв прав — поможет.

Шаг 4. Проверить, что не изменилось

Посмотрите историю действий в рекламном кабинете. Яндекс.Директ показывает, кто и когда менял кампании. Проверьте, не было ли подозрительных изменений в последние дни.

Посмотрите платёжные данные. Не привязана ли новая карта? Не поменяли ли бюджет? Не добавили ли новые кампании с высокими ставками?

Посмотрите настройки восстановления. Не привязан ли новый телефон или новая почта для восстановления доступа?

Шаг 5. Если доступ потерян полностью — обращаться в поддержку

Если маркетолог заблокировал вас и поменял пароль — пишите в техподдержку. Готовьте документы. Устав компании, выписку из ЕГРЮЛ, паспорт, доверенность (если не вы владелец).

В Яндексе процедура восстановления через форму «Я потерял доступ к аккаунту». Готовьтесь, что это займёт от нескольких дней до нескольких недель. Запаситесь терпением и документами.

Реальная история — проект, который три недели не мог зайти в свой Яндекс.Директ

Исходные данные.

Компания — стоматологическая клиника в Казани. Бюджет на контекстную рекламу — 250 000 рублей в месяц. Маркетолог — внештатный специалист, работал 8 месяцев. Договора не было — «у нас устная договорённость, мы же друзья, зачем бумажки».

Ситуация.

Маркетолог нашёл новую работу. Предупредил за две недели. Передал доступы — скинул пароли в мессенджере. Сказал «всё работает, пароли правильные, удачи, не поминайте лихом».

Через неделю владелец клиники решает зайти в кабинет, чтобы посмотреть статистику за месяц. Вводит пароль — не подходит. Ещё раз — не подходит. Сброс пароля — не приходит на почту.

Оказывается, рекламный кабинет был зарегистрирован на личную почту маркетолога. Не на корпоративную. На его личный ящик, который он создал для работы 8 лет назад. Маркетолог удалил доступ. И сам тоже не может зайти — забыл пароль от той старой почты.

Что происходило следующие три недели.

Первая неделя. Владелец пишет маркетологу в мессенджер. «Ты доступы вернул? Почему я не могу зайти?» Маркетолог не отвечает день. Отвечает на второй: «да я тоже не могу зайти, что-то с кабинетом, давайте вместе восстанавливать». Проходит ещё день — тишина. Маркетолог перестал выходить на связь.

Вторая неделя. Владелец пишет в техподдержку Яндекса. Ему отвечают через три дня: «Аккаунт зарегистрирован на физическое лицо. Для восстановления доступа нужно согласие владельца или решение суда. Мы не можем просто так отдать вам чужой аккаунт».

Владелец пытается найти маркетолога. Телефон не отвечает. Соцсети — заброшены. Общие знакомые говорят, что он уехал в другой город.

Третья неделя. Реклама не работает уже 2 недели. Заявок почти нет. Клиника теряет пациентов. Владелец принимает волевое решение — создаёт новый аккаунт в Яндекс.Директе. Настраивает рекламу с нуля. С новыми кампаниями, новыми объявлениями, новыми настройками.

Но старая история — накопленные данные, оптимизированные кампании, отработанные минус-слова, высокие показатели качества — всё потеряно. Позиции в выдаче упали. Реклама стала дороже, потому что у нового аккаунта нет истории.

Что пошло не так.

Не было договора. Не было пункта о передаче доступов. Маркетолог зарегистрировал кабинет на свою личную почту. Владелец не проверил, на какой ящик зарегистрирован кабинет. Не было двухфакторной аутентификации. Не было второго администратора. Не было запасных вариантов. И главное — «мы же друзья, зачем договор».

Что нужно было сделать.

При найме: договор с пунктом о доступе. Регистрация кабинета на корпоративную почту. Проверка, что владелец кабинета — компания, а не маркетолог. Два администратора — владелец и маркетолог.

При увольнении: смена паролей до того, как маркетолог ушёл. Отзыв прав доступа. Акт приёма-передачи с подписями.

Результат.

Клиника потеряла около 600 000 рублей выручки за три недели без рекламы. Плюс 200 000 рублей на настройку нового аккаунта с нуля. Плюс месяц на восстановление позиций. И плюс нервы владельца, которые стоят дороже любых денег.

Всё из-за того, что «мы же друзья, зачем договор».

Статьи по теме: 

Комплексное продвижение проекта: как перезапустить то, что уже слили

Комплексное продвижение проекта: как понять, что вы переросли одного специалиста

Комплексное продвижение компаний: как измерить результат, если никто ничего не измеряет

Комплексное продвижение компаний: чем отличается от набора инструментов

Комплексное продвижение компаний: когда пора и когда рано

Чек-лист безопасности

До найма маркетолога — три действия.

Первое. Подготовьте договор с пунктами о доступе, коммерческой тайне и штрафах.

Второе. Создайте корпоративную почту для маркетинга — ads@вашакомпания.

Третье. Настройте на эту почту двухфакторную аутентификацию.

При найме маркетолога — пять действий.

1. Первое. Заключите договор. Не на словах, не «потом», не «мы же друзья». На бумаге или в электронном виде с подписями.
2. Второе. Передайте доступы по акту. Список всех сервисов, логины, пароли. Две подписи.
3. Третье. Добавьте маркетолога в кабинеты с минимальными правами. Редактор, не администратор.
4. Четвёртое. Проверьте, что владелец кабинетов — компания, а не маркетолог.
5. Пятое. Назначьте второго администратора — себя или сотрудника.

При увольнении маркетолога — четыре действия.

1. Первое. Смените пароли на всех сервисах. Немедленно.
2. Второе. Отзовите права доступа. Удалите маркетолога из списка пользователей.
3. Третье. Проверьте историю действий. Не было ли изменений в последние дни.
4. Четвёртое. Подпишите акт приёма-передачи доступов обратно.

Если доступ потерян — три действия.

1. Первое. Смените пароли везде, где ещё есть доступ.
2. Второе. Обратитесь в техподдержку с документами.
3. Третье. Создайте новые кабинеты, если восстановление затягивается.

Заключение — поменяйте замки, пока не поздно

Доступы к рекламным кабинетам — это ключи от вашей квартиры. Вы не дадите ключи незнакомцу. Вы не оставите их у бывшего арендатора. Вы не будете спать спокойно, пока не поменяете замки после сомнительного гостя.

С рекламными кабинетами — то же самое.

Главные выводы этой статьи.

Договор — это не недоверие. Это защита. И ваша, и маркетолога. Хороший маркетолог сам попросит договор, чтобы защитить себя.

Корпоративная почта и двухфакторная аутентификация — это 5 минут настройки, которые спасут месяцы нервов и миллионы рублей.

Минимальные права доступа — это не жадность. Это здравый смысл. Маркетологу не нужно быть администратором, чтобы настраивать рекламу.

Регулярная проверка доступов — это как прививка. Лучше раз в месяц потратить 10 минут, чем раз в год терять недели и деньги.

Короткий алгоритм на сегодня.

Прямо сейчас зайдите в Яндекс.Директ. Посмотрите, кто имеет доступ к вашему кабинету. Удалите тех, кто там быть не должен.

Проверьте, на кого зарегистрирован кабинет — на компанию или на физическое лицо. Если на физическое лицо — перенесите на юридическое.

Настройте двухфакторную аутентификацию на корпоративной почте.

Добавьте второго администратора — себя или сотрудника.

И спите спокойно.

P.S. История про стоматологию из Казани — реальная. Я не придумал её для красного словца. Такие случаи происходят каждый месяц в каждом регионе. Не дайте такой ситуации  случиться с вами.

Заказать  маркетинговое сопровождение можно здесь: https://anastasia-rechanskaya.ru/uslugi-internet-marketologa/

5 часто задаваемых вопросов (FAQ)

А если маркетолог говорит: я работаю только со своего аккаунта, на вашем мне неудобно. Что делать?

Отказываться. Это красный флаг. Маркетолог, который настаивает на своём аккаунте, либо хочет сохранить данные себе, либо не хочет, чтобы вы видели его настройки, либо просто ленится переучиваться. Объясните: «Аккаунт — собственность компании. Вы получаете к нему доступ. Если это проблема — ищем другого специалиста». Хороший маркетолог понимает, почему это важно, и не спорит. Плохой — уходит. И это лучший исход.

Маркетолог уволился, доступ вернул. Нужно ли менять пароли? Он же сказал, что всё удалил

Менять обязательно. Всегда. Даже если маркетолог — ваш лучший друг. Даже если он поклялся на Библии. Даже если вы расстались с поцелуями и обещаниями навсегда. Пароли меняются по двум причинам. Первая — маркетолог мог сохранить пароль в браузере, в заметках, в менеджере паролей. Вторая — вы меняете пароли не потому, что не доверяете маркетологу, а потому что это стандартная процедура безопасности. Как смена замков после съёмщика. Без обид.

Маркетолог зарегистрировал кабинет на свою почту. Говорит, что теперь он владелец и кабинет его. Это правда?

Формально — да. По правилам рекламных систем, владелец аккаунта — тот, на кого он зарегистрирован. Фактически — это спорная ситуация. Если есть договор, где написано, что все аккаунты — собственность заказчика, вы можете судиться. Но это долго, дорого и не факт, что выиграете. Поэтому лучше не допускать такой ситуации. Регистрируйте кабинеты сами. Никогда не позволяйте маркетологу регистрировать их на свою почту.

Сколько администраторов должно быть в рекламном кабинете?

Минимум два. Вы и ещё один человек из компании — заместитель, бухгалтер, директор, технический специалист. Чтобы если один потеряет доступ, второй мог восстановить. Максимум — столько, сколько нужно для работы, но не больше. Каждый лишний администратор — это дополнительный риск. Раз в месяц проверяйте список и удаляйте тех, кто уже не работает или не должен иметь доступ.

Что делать, если доступ потерял я сам? Забыл пароль, почта старая, телефон сменил. Маркетолог тут ни при чём.

Ситуация неприятная, но не смертельная. Готовьте документы на компанию (устав, выписка из ЕГРЮЛ, паспорт) и пишите в техподдержку Яндекса. Процедура восстановления через форму «Я потерял доступ к аккаунту». Займёт от нескольких дней до нескольких недель. Параллельно создавайте новый кабинет и настраивайте рекламу с нуля — чтобы бизнес не стоял. И после восстановления доступа обязательно добавьте второго администратора, чтобы такое не повторилось.

Финально для тех, кто дочитал до конца.

Ключи от квартиры нельзя оставлять у бывшего арендатора. Даже если он кажется хорошим человеком. Даже если он вернул ключи и сказал «всё, до свидания».

Доступы к рекламным кабинетам нельзя оставлять у бывшего маркетолога. Даже если вы расстались друзьями. Даже если он обещал всё удалить.

Поменяйте замки сегодня. Проверьте доступы. Настройте двухфакторную аутентификацию. Пропишите договор. Назначьте второго администратора.

И спите спокойно.