Quel VPN convient à une agence qui gère plusieurs comptes clients ? Celui qui n’ajoute pas un mot de passe partagé de plus

À 8 h 47, notre nouvelle graphiste avait accès à six comptes clients. Et à aucun des mots de passe de ces clients. C’était exactement ce que je voulais.

Google Ads passait par notre compte manager. Sur les plateformes qui le permettaient, nous ajoutions chaque membre avec son propre accès et uniquement aux actifs dont il avait besoin. Si quelqu’un quittait une mission, je préférais retirer son accès plutôt que changer un mot de passe connu par quatre personnes.

Puis elle m’a envoyé un message : « Tu peux me donner le login du VPN ? » J’avais déjà ouvert notre gestionnaire de mots de passe quand je me suis arrêté. Nous avions passé des mois à sortir les mots de passe clients des conversations Slack, des mails et des fichiers partagés.

Et j’étais sur le point de recréer exactement le même problème avec l’outil censé protéger nos connexions.

C’est à ce moment-là que ma recherche a changé. Je ne voulais plus savoir quel VPN autorisait dix, vingt ou cent appareils. Je voulais savoir lequel permettait d’ajouter un appareil sans ajouter un secret collectif de plus à l’agence.

Plus l’agence grandissait, moins les comptes ressemblaient à de simples comptes

Quand nous avions deux clients, tout paraissait simple. Un navigateur. Quelques identifiants. Un code reçu par SMS de temps en temps. Puis les clients se sont accumulés. Google Ads. TikTok. LinkedIn. Instagram. Des outils d’analyse. Des comptes publicitaires distincts.

Un client qui voulait valider chaque publication. Un autre qui avait gardé l’administration complète. Un troisième dont la personne chargée de recevoir les codes de connexion ne travaillait jamais le vendredi.

À mesure que les missions s’empilaient, je découvrais que la difficulté n’était plus seulement de connaître les bons mots de passe. Elle consistait à savoir qui devait pouvoir entrer, où, et pendant combien de temps.

Des discussions récentes entre freelances et petites agences décrivent exactement ce passage : au début, changer de compte et récupérer un code de vérification restent supportables ; quand le nombre de clients augmente, ces petites manipulations deviennent une partie du travail à elles seules.

C’est ce que je reconnaissais le plus dans ces témoignages. Le problème n’apparaît pas au premier client. Il apparaît quand la méthode qui fonctionnait à trois comptes doit soudain en supporter quinze. Et, heureusement, les grandes plateformes ont déjà commencé à traiter ce problème à leur niveau.

Les plateformes essaient déjà de sortir les agences du partage de mots de passe

Google Ads possède des comptes manager précisément pour gérer plusieurs comptes clients depuis une même structure. On peut attribuer différents niveaux d’accès aux membres de l’équipe, tandis que le client conserve son compte et peut mettre fin à la relation en le dissociant.

TikTok suit la même logique avec Business Center : les membres peuvent recevoir des rôles différents et n’accéder qu’aux comptes et actifs qui leur sont attribués. Les agences peuvent aussi travailler avec les comptes de partenaires sans transformer le mot de passe du client en ressource d’équipe.

Tout n’est pas devenu parfaitement fluide pour autant. Certaines opérations demandent encore une validation du propriétaire. Certaines plateformes sont plus pratiques que d’autres. Et les demandes de codes restent une réalité dès qu’un outil repose encore sur une connexion classique.

Mais la direction est devenue évidente. Quand une plateforme peut identifier séparément Alice, Mehdi et Clara, je préfère ça à « tout le monde connaît le mot de passe de Client Dupont ».

Nous avions donc commencé à organiser l’agence selon un principe assez simple :

partager l’autorisation, pas le secret.

Et c’est précisément ce principe que notre VPN venait de casser.

« Dix appareils » ne répondait pas à la question que je pensais poser

Notre VPN habituel était un grand service connu. Il avait une longue histoire publique, de nombreuses localisations et un nombre d’appareils simultanés largement suffisant pour une petite équipe.

Sur la page tarifaire, cela ressemblait exactement à ce qu’il nous fallait. En pratique, notre nouvelle graphiste installait l’application sur un ordinateur qui n’était pas le mien. L’application demandait le compte VPN. Email. Mot de passe. Puis validation.

Je pouvais évidemment lui transmettre ces informations. Je pouvais aussi placer le compte dans le coffre-fort partagé de l’agence. Cela aurait fonctionné. C’est justement ce qui me gênait.

Le NIST rappelle dans ses recommandations sur l’identité numérique qu’un secret d’authentification est censé rester un secret. Dans la vraie vie, pourtant, dès qu’un service oblige plusieurs personnes à collaborer autour d’un même compte, les mots de passe et codes finissent souvent par circuler.

Le problème n’était donc pas vraiment humain. C’était un problème de conception. Si un outil d’équipe n’offre qu’un compte classique, l’équipe finit facilement par transformer ce compte en identifiant collectif.

Notre fournisseur pouvait protéger plusieurs appareils. Mais pour ajouter ces appareils, j’étais en train de distribuer la clé principale du service. À partir de là, le nombre d’appareils a cessé d’être mon critère. La vraie question est devenue beaucoup plus concrète :

que dois-je donner à la prochaine personne pour qu’elle puisse se connecter ?

Ce matin-là, je n’avais surtout pas le temps de reconstruire notre politique d’accès

La graphiste travaillait depuis un espace de coworking. À 10 heures, elle devait mettre en ligne les dernières créations d’une campagne TikTok, puis vérifier que les variantes Google Ads du même client correspondaient aux fichiers approuvés.

Elle avait déjà ses accès professionnels. Je pouvais voir son nom dans les outils de l’agence. Le client n’avait envoyé aucun mot de passe. Tout allait bien jusqu’au moment où il fallait sécuriser la connexion qu’elle utilisait pour faire ce travail.

Et c’est là que le VPN risquait de remettre un identifiant commun au milieu d’un système que nous avions justement passé du temps à assainir.

Je n’avais aucune envie de lui répondre : « Voici maintenant l’adresse mail principale du VPN de l’agence, son mot de passe et la procédure si le code de vérification arrive chez moi pendant que je suis en rendez-vous. »

J’ai donc essayé autre chose.

J’ai partagé le VPN comme nous essayions déjà de partager les comptes clients

J’ai ouvert OnlydogVPN sur mon ordinateur. Le service est plus petit que notre fournisseur habituel. Il propose moins de régions et possède moins de recul public. Pour une agence qui a besoin de sortir précisément dans une longue liste de villes, le grand réseau garde un avantage évident.

Ce matin-là, ce n’était pas mon problème. Mon problème était l’onboarding d’un appareil. Le service permet de relier un autre appareil avec un code de vérification plutôt qu’en lui transmettant une combinaison classique d’adresse mail et de mot de passe.

J’ai généré le code. La graphiste l’a saisi sur son ordinateur. Connexion active. C’était presque décevant tellement il y avait peu de choses à raconter. Je n’avais pas créé un nouveau compte. Je n’avais pas copié notre mot de passe dans Slack. Je n’avais pas ajouté le login VPN au coffre partagé.

Elle n’avait pas besoin d’accéder à ma boîte mail pour terminer l’installation. Et surtout, elle n’avait toujours obtenu aucun secret appartenant à un client. Le VPN venait enfin de se comporter comme le reste de notre système d’accès : on autorise un appareil sans distribuer la clé de toute la maison.

Le vrai test a commencé quand elle a ouvert le premier compte client

Un bouton « connecté » ne m’intéressait pas beaucoup. Je voulais voir si le travail prévu pouvait réellement commencer. Elle a ouvert TikTok Business Center avec son propre accès. Le compte du client était là. Les créations également.

Elle a remplacé la dernière vidéo, vérifié le texte et programmé la campagne. Puis elle a ouvert notre compte manager Google Ads. Deuxième client visible. Troisième client visible. Les autres comptes auxquels elle n’était pas affectée n’étaient pas devenus accessibles parce qu’un VPN venait d’être activé.

Et c’était exactement comme cela que les choses devaient fonctionner. Le VPN protégeait la connexion. Les plateformes continuaient à décider ce qu’elle avait le droit de faire. C’est à ce moment-là que j’ai compris pourquoi je m’étais longtemps trompé de catégorie.

Un VPN pour agence n’a pas à devenir un gestionnaire de comptes clients. Nous avions déjà des Business Managers, des comptes manager et des rôles pour cela. Il doit simplement éviter d’abîmer le système d’accès que nous avons construit autour d’eux. À 9 h 56, la dernière création était programmée.

Le client n’avait envoyé aucun code. Je n’avais envoyé aucun mot de passe VPN. La graphiste avait pu faire son travail. C’était le résultat que je cherchais.

Je pensais qu’une grosse agence avait surtout besoin de beaucoup de connexions simultanées

C’est vrai jusqu’à un certain point. Si cinq personnes doivent travailler en même temps, un VPN limité à deux appareils pose évidemment problème.

Mais « combien d’appareils ? » n’est que la première question. La suivante est plus importante :

comment le prochain appareil entre-t-il dans le système ?

Avec le mot de passe de l’agence ? Avec l’accès à une boîte mail commune ? Avec un identifiant qu’il faudra révoquer ou changer lorsqu’un freelance part ? Ou avec une autorisation ponctuelle qui évite de faire circuler le secret principal ?

Cette différence paraît minuscule avec deux personnes assises dans le même bureau. Elle devient très visible avec des freelances, des alternants, des collaborateurs distants et des missions qui commencent un lundi pour se terminer trois semaines plus tard.

Chaque nouveau login partagé crée une petite dette. Quelqu’un doit savoir où il se trouve. Quelqu’un doit se souvenir de qui l’a reçu. Quelqu’un devra probablement le modifier plus tard. Et lorsqu’une équipe gère déjà les accès de quinze clients, le meilleur outil est souvent celui qui refuse d’ajouter sa propre dette à la pile.

Le VPN ne doit pas devenir votre technique de gestion multi-compte

Je garderais pourtant une séparation très claire. Je n’utiliserais pas un VPN pour contourner les systèmes de sécurité des plateformes ou pour faire croire qu’une agence est composée de quinze utilisateurs différents.

Je ne créerais pas non plus une IP différente par client simplement parce que les comptes appartiennent à des entreprises différentes.

Si Google, TikTok ou une autre plateforme propose un accès manager, partenaire ou membre, c’est cette couche-là qui doit séparer les responsabilités.

Le VPN se trouve en dessous. Il protège l’appareil et sa connexion. Cette distinction rend aussi les problèmes beaucoup plus faciles à comprendre. Si Clara ne peut pas ouvrir le compte Client A mais que Mehdi le peut, je regarde ses autorisations.

Si personne ne peut charger correctement les outils depuis le coworking, je regarde le réseau. Je n’essaie plus de résoudre un problème d’identité avec une nouvelle adresse IP. Et je n’essaie plus de résoudre un problème de réseau avec le mot de passe du client.

Le meilleur résultat a été qu’un mot de passe a disparu de notre procédure

À la fin de la matinée, je suis retourné dans notre documentation interne. Nous avions une procédure pour onboarder un freelance : adresse professionnelle ; gestionnaire de mots de passe ; accès aux outils internes ; rôles sur les comptes clients nécessaires ; VPN.

À côté de VPN, l’ancienne ligne indiquait où récupérer le compte partagé. Je l’ai supprimée. C’était un changement minuscule. Mais dans une agence qui passe déjà sa journée à décider qui peut accéder à quoi, retirer une information sensible de la procédure vaut parfois davantage qu’ajouter cinquante serveurs au produit.

Notre grand fournisseur reste plus ancien et dispose de davantage de régions. Mais ce n’était plus la comparaison qui m’intéressait. Je pensais chercher un VPN capable de supporter beaucoup de comptes clients. En réalité, les comptes clients étaient déjà gérés ailleurs.

Le bon VPN, pour cette agence, a été celui qui a permis à la graphiste de publier pour le client sans jamais recevoir ni le mot de passe du client, ni celui du VPN.