多人协作怎么避免Facebook账号风险？一份权限分工清单

多人协作怎么避免Facebook账号风险？用Business Manager搭楼，按岗位给Editor/Advertiser/Analyst/Finance最小权限，Admin留2个，强制两步验证，外包用Partner授权不发密码，季度审计离职当天收权。

多人协作最常见的两个死法

一个 Facebook 主页开始有两三个人一起管之后，账号风险往往不是来自外部黑客，而是来自内部习惯。最常见的两种死法：一是把老板的 Facebook 账号密码直接发到群里，谁用谁登；二是整个 Business Manager 只设了一个管理员，那个人离职、被锁或者个人号被盗，整个业务资产就成了孤岛。LaFactory 的 BM 结构指南讲得很直接：多人协作的安全，不是靠”大家小心点”，而是靠权限结构本身把风险挡在外面。下面这套做法，是把 Meta 官方权限体系用顺的最小集合。

先把 Business Manager 搭成”楼”，不要从个人号投广告

很多小团队图省事，直接从老板的个人 Facebook 主页点”Boost Post”投广告。这一步就把业务风险绑在了个人身份上：广告账户一旦被限，连你的个人号一起受牵连，也没有团队分工和权限审计的余地。正确做法是先在公司主体下建一个 Business Manager（商务管理平台，现在界面里常叫 Business Portfolio），把公共主页、广告账户、Pixel、域名都归到公司这个”楼”里，再让团队成员通过邮箱被邀请进来。雨果跨境的 Meta 资产防范文章也反复提醒：做企业认证、域名验证、支付历史干净，这些都是将来被误判申诉时的”信任信号”。

双层权限：按岗位给角色，别默认给 Admin

Meta 的权限是两层的。第一层是业务角色：Admin 能加人、删人、改账单、甚至删掉整个 BM；Employee 只能看到你分配给他的资产。第二层是资产级任务权限。多人协作时，按岗位给角色，不要”人人都是 Admin”：

岗位	该给的角色	不该给的
内容运营	主页 Editor（发帖、回评论）	广告账户 Admin
广告投手	广告账户 Advertiser（建/改广告）	BM 级 Admin、账单权限
看数据的新人	Analyst（只读报告）	任何编辑权限
财务	Finance Editor（账单与付款方式）	发帖、投广告
外包/代运营	Partner 接入，按需给 Advertiser + Pixel	BM Admin、域名所有权

这套”最小权限”原则参考了 Influencer Marketing Hub 的团队账号安全建议。多给一个 Admin，就是在外面多飘一把万能钥匙。

管理员留 2 个就够，多了反而是风险

这里有两个方向相反的数字。下限是 2 个：只有一个 Admin，那个人离职或被盗，整个 BM 谁都进不去，这是跨境圈反复出现的”孤儿 Admin”事故。上限是越少越好：每个 Admin 都有权删掉其他 Admin——也就是说，任何一个 Admin 被盗，都能把你也踢出去。小团队留 2 个可信 Admin（通常是老板和核心合伙人）就够冗余了，其他岗位全部用 Employee + 资产级权限。ChakraHQ 的权限文档把这条称为”least privilege 原则”：给刚好够用的权限，不是给越多越放心。

强制两步验证，恢复码离线存

在 Business Settings 的 Security Center 里，开启两步验证（2FA）强制策略——至少对所有 Admin 强制，团队规模再大就全员强制。Meta 开启 2FA 时会给 10 个一次性恢复码，把它们打印或存到密码管理器里，不要只存在手机相册。LaFactory 记录过一个真实案例：一家国际 B2B 电商的主 Admin 个人账号被盗，攻击者没有攻破 Meta，只是走了这个 Admin 的个人登录，每天刷掉约一万美元的欺诈广告才被发现。一个有余额的广告账户却没开强制 2FA，等于把钱包丢在人多的街上。

外包和兼职用 Partner 授权，不要发密码

把 Facebook 邮箱密码发给外包或兼职，听起来最省事，实际是事故温床：Meta 看到新设备、新地区、多人轮流登录同一个账号，很容易判可疑，直接在投广告过程中锁号；而且对方实际做了什么你也看不到，想让他走只能改密码碰运气。正确做法是用 Business ID 加 Partner：你在 BM 的 Partners 里输入对方的 Business ID，指定让他碰哪个资产、什么级别，对方从他自己的 BM 里操作你这边的资产，不登录你的账号，你想停随时一键移除。CSDN 关于 Facebook 账号共享的分析也提醒：账号共享只适合短期应急，不适合长期团队协作。

季度审计和离职当天收权

权限给出去容易，收回来容易忘。建议每季度做一次审计：打开 BM 的 People 和 Partners 列表，问自己三个问题——这个人还在团队吗？他还需要这个级别的权限吗？他的 2FA 还绑在自己手机上吗？Graphed 的权限变更指南特别提醒一个坑：在主页层把人删掉之后，还要回 BM portfolio 层再查一遍——有些授权是在 portfolio 层给的，主页层删不干净，人还能进来。员工离职当天要做三件事：BM 里移除他的角色、解绑他作为 Partner 的接入、确认 2FA 不再指向他的手机。把这三件事写进离职清单，比事后补救便宜得多。

多人协作的账号安全没有”100% 不出事”的说法，但按”BM 搭楼、最小权限、两个 Admin、强制 2FA、Partner 授权、季度审计”这套结构走下来，绝大多数常见事故在发生之前就已经被挡住了。

如果你想要一份可直接对照的 Facebook Business Manager 权限分配表与离职收权清单，可以访问官网 facebook18.com，或通过 Telegram 客服 @Facebook181818 咨询。