Google rend les passkeys obligatoires dans l’interface de programmation Google Ads (API) pour les nouvelles authentifications. Search Engine Land précise que les jetons de rafraîchissement existants ne sont pas touchés immédiatement. La nuance compte : une boutique qui pilote ses campagnes via un connecteur, un script maison ou une agence n’a pas forcément une panne demain matin, mais elle doit savoir qui détient l’accès et comment il sera renouvelé.
Notre position est simple : les marchands concernés doivent prioriser un inventaire technique court, sans lancer une migration générale dans la panique. Les passkeys renforcent la sécurité, mais elles déplacent aussi le risque vers l’organisation des accès. Un compte publicitaire dépendant d’un seul profil utilisateur, d’un ancien freelance ou d’un poste partagé devient plus fragile quand l’authentification repose davantage sur l’appareil et l’identité.
Refresh tokens inchangés : le répit ne doit pas masquer les comptes oubliés
Le fait que les jetons existants restent valables évite une rupture brutale. C’est rassurant pour les flux de reporting, les règles d’enchères automatisées et les exports de conversions qui alimentent parfois les tableaux de marge. Mais ce répit peut devenir un piège. Les marchands qui attendent le prochain incident découvriront trop tard qu’un prestataire, une application abandonnée ou un ancien compte administrateur tient encore une brique critique.
Une boutique qui dépense 15 000 euros par mois sur Google Ads peut consacrer deux heures cette semaine à lister ses connexions API, ses propriétaires de comptes et ses outils qui poussent des données de conversion. Le test est réussi si chaque flux a un responsable identifié, une méthode de récupération et un accès documenté. Sinon, le coût n’est pas théorique : une coupure de mesure peut dégrader les enchères avant même de bloquer les campagnes.
Passkeys et Google Ads : la sécurité devient un sujet d’exploitation marketing
Les équipes e-commerce ont longtemps traité l’authentification comme un détail informatique. Cette mise à jour rappelle que l’acquisition dépend aussi de petites dépendances techniques. Quand le retour sur dépenses publicitaires (ROAS, Return on Ad Spend) sert à piloter les budgets, l’accès à l’API n’est plus un confort. C’est une pièce du système de décision.
Les marchands sans connexion API directe peuvent simplement surveiller leur agence ou leur outil de gestion de campagnes. Les autres doivent challenger leur setup : comptes nominatifs, passkeys activées sur des appareils maîtrisés, procédure de départ d’un collaborateur, liste des scripts et droits associés. La bonne réaction n’est pas de changer d’outil. Elle consiste à retirer les accès fantômes avant que Google ne transforme une règle de sécurité en problème d’acquisition.
