Как дать команде доступ к соцсетям, не передавая пароль

Чтобы дать доступ к аккаунту в соцсети, не передавая пароль, выдайте каждому участнику команды собственный доступ. Используйте роли самой сети, например делегирование (Delegate) в X (Twitter) или администраторов канала в Telegram, либо инструмент публикации, к которому владелец один раз подключает аккаунт. Пароль знает только владелец. Все остальные входят под своими учётными записями и получают только те права, которые им нужны.

Это руководство о ролях, проверке постов и закрытии доступа, а не о рекламных кабинетах и общих ящиках входящих сообщений.

Чем плох общий пароль

Двухфакторный вход привязывает код к одному телефону или приложению, поэтому команды с общим паролем часто отключают его или пересылают друг другу коды в чате. Когда логин один на всех, нельзя понять, кто именно отправил пост. А закрыть доступ одному человеку нельзя, не сменив пароль для всех.

Пример здесь вымышленный. Rye & Rise, пекарня из трёх человек, ведёт аккаунты в X (Twitter) и Bluesky и канал в Telegram. Владелица, Мира, дала пароль от X (Twitter) Томеку, который пишет посты, и Аде, сезонному фотографу.

Используйте роли самой сети, если они есть

В X (Twitter) есть функция делегирования (Delegate), чтобы давать доступ к аккаунту без пароля. Войдите на x.com в общий аккаунт и откройте раздел аккаунта (Your account), затем раздел безопасности и доступа к аккаунту (Security and account access), затем раздел делегирования (Delegate). Пригласите человека администратором (admin) или соавтором (contributor); он должен принять приглашение. Обе роли могут публиковать и планировать посты; администраторы также могут приглашать делегатов и смотреть статистику постов. Только владелец управляет паролем и подтверждением входа, а смена пароля не удаляет делегатов.

В канале Telegram владелец может назначить администраторов, у каждого из которых свои права. Администраторы пользуются своими аккаунтами Telegram, а не аккаунтом владельца. Владелец может включить подписи администраторов, чтобы было видно, кто из них опубликовал пост.

Для Bluesky и других сетей поищите в их справке, есть ли там роли, или используйте инструмент публикации.

Мира выбирает один инструмент публикации для всех трёх сетей, включая Bluesky. Когда у всех появляется собственный доступ, она меняет пароль от X (Twitter) и включает двухфакторный вход.

Решите, кому какие права нужны

Выдавайте каждому сначала минимальный доступ, добавляйте право, когда его требует реальная задача, а временным помощникам назначайте дату окончания доступа.

Доступ Аде заканчивается вместе с летним сезоном, поэтому Мира записывает эту дату.

Подключите аккаунты один раз через инструмент публикации

В инструменте публикации один человек подключает каждую сеть на её собственной странице входа. Инструмент никогда не видит пароль, а коллеги входят под своими учётными записями. Для Telegram инструменты обычно публикуют через бота, которого вы делаете администратором канала, как показано в руководстве по боту для канала Telegram. Проверьте, может ли инструмент задавать права для каждого человека отдельно, требовать двухфакторный вход и убирать человека из команды без переподключения аккаунтов. Не пользуйтесь инструментами, которые просят основной пароль от аккаунта.

В Studio владельцы команды создают @-имена, от которых она публикует. Права выдаются для каждого @-имени на сайте аккаунта Reunified (reunified.com/profile), а не в приложении, и включают все права из таблицы выше. Тот, у кого есть право «Подключение соцсетей», входит в X (Twitter), Bluesky, Mastodon или Misskey либо добавляет бота Telegram. Владельцы могут требовать двухфакторный вход; участники без него не могут публиковать от @-имён команды, пока не включат его.

Мира подключает все три аккаунта, так что Томеку и Аде больше не нужен ни один пароль от соцсетей.

Добавьте проверку для тех, кто пишет черновики

Делегаты и администраторы каналов публикуют напрямую. Чтобы черновики проверялись до публикации, используйте инструмент с согласованием или договоритесь о порядке работы. Что проверять, перечислено в списке проверок для согласования постов.

В Studio тот, кто может писать черновики, но не может публиковать, видит кнопку «Попросить опубликовать» или «Попросить запланировать». Коллеги с правом публикации получают письмо и находят запрос в разделе «Ожидают». Если опубликовать или запланировать запрос, он считается одобренным, а кнопка «Вернуть» отправляет его обратно, при желании с заметкой.

Аде добавляет черновик с утренними фотографиями. Томек дописывает текст и просит запланировать пост на субботу на 8:00. Мира планирует его и тем самым одобряет. Если цена указана неправильно, она возвращает пост с заметкой.

Закройте доступ, когда человек уходит

Сделайте все эти шаги в один день:

1. Удалите человека из делегатов X (Twitter): в списке людей с делегированным доступом (Members you’ve delegated to) выберите удаление из аккаунта (Remove from account).
2. Удалите его из администраторов канала Telegram.
3. Удалите его из команды в своём инструменте публикации.
4. Смените все пароли, которые он знал. Проверьте, что email, номер телефона и способ двухфакторного входа в каждом аккаунте принадлежат вам.
5. Завершите незнакомые сеансы и отзовите доступ у подключённых приложений, которыми никто не пользуется. X (Twitter) объясняет и то и другое в руководстве о приложениях и сеансах.
6. Решите, кто доделает или отменит его черновики, ожидающие запросы и запланированные посты.
7. Запишите дату и то, какие доступы были закрыты.

В Studio тот, кто управляет участниками, выбирает «Исключить из команды» на сайте аккаунта. Человек сразу теряет доступ к @-именам команды, а в журнале «Активность» появляется запись об этом.

Когда сезон Аде заканчивается, Мира проходит по этому списку и записывает дату. Studio пока недоступен, но вы можете записаться в список ожидания.