Google Ads代投最易被忽视的风险不是烧错预算，而是账户与付款资料的控制权落在代投方手里；用凭证最小权限、付款资料自持与季度权限复核三道护栏，就能把资产侵占风险关进笼子。
为什么代投合作里「控制权」比「投放效果」更先出问题？
很多广告主把Google Ads账户全权交给代投方，只看每周报表里的花费与回收。等到想换供应商、或对账单产生疑问时，才发现登录邮箱、付款资料、甚至API令牌都在对方手里。账户资产的控制权一旦错位，投放效果再好也只是「帮别人养了盘子」。风险控制的第一原则，是把「谁能动账户、谁能动钱、谁能收告警」三件事提前写进合作条款，而不是出事后再补救。
付款资料该由谁持有？代投方垫付藏哪些隐患？
最常见的隐患是代投方用自己名下的信用卡或付款资料为广告主垫付，理由是「方便结算」。一旦合作生变，对方可以停止垫付导致全线停投，也可以主张账户欠款而扣留资产；更极端的情况，代投方在散伙后仍能通过绑定过的付款资料发起扣费。正确做法是付款资料（Payment Profile）始终由广告主自持，代投方仅获得投放操作权限，结算走对公转账或对账单核销，绝不把「付款开关」交给第三方。
API令牌与OAuth授权范围如何做到最小权限？
代投系统、第三方看板、自动化报表往往要向Google Ads申请API访问或OAuth授权。风险点在于权限过大且长期不回收：一个本应只读的令牌被赋予了管理权限，或消失职人员的令牌仍在生效。治理方法是按「只读、仅投放、全管理」分层授权，令牌与OAuth范围登记到资产清单，设定九十天轮换，并在人员变动时立即吊销。最小权限不是不信任，而是把误操作与恶意操作的影响半径压到最小。
恢复邮箱与手机号为什么必须握在自己手里？
Google Ads账号的恢复邮箱、恢复手机号、以及二次验证（2FA）设备，决定了「谁能在忘记密码或异常登录时夺回账户」。如果这些凭证登记在代投方员工个人名下，一旦对方离职或失联，广告主可能永久失去账户。强制要求恢复邮箱使用广告主企业域名邮箱、手机号为企业负责人实名号、2FA交由广告主保管，是低成本却最关键的一道防线。同时把异常消费告警的通知对象也设为广告主自身，避免「钱烧完了才发现」。
季度权限复核该查哪几件事？
风控不是一次性的，而应成为季度例行动作。复核清单包括：当前哪些邮箱与账号有访问权限、各自的角色是否仍为最小必要、付款资料归属是否仍是广告主、API令牌与OAuth应用是否在用且范围合规、恢复凭证是否过期或落在外部个人名下、告警接收人是否准确。把这张清单纳入合作续约的前置条件，代投方卡着账户和钱的空间就会被持续压缩，资产侵占风险自然从合作里摘出来。
代投方用自己卡垫付，为什么有风险？
付款资料在对方名下，合作生变时可停止垫付导致停投，也可能主张欠款扣留资产，散伙后绑定过的资料仍可能被扣费。付款资料应由广告主自持，结算走对公核销。
Google Ads代投该给代投方多大权限？
遵循最小权限：报表与看板用只读令牌，投放操作单独授权，管理类权限仅限必要人员。所有API令牌与OAuth范围登记到资产清单并定期轮换。
恢复邮箱和手机号为什么要握在自己手里？
它们决定谁能在异常登录或忘密时夺回账户。若登记在代投方个人名下，对方离职失联可能导致永久失控。应使用企业域名邮箱与企业负责人实名号，2FA交由广告主保管。
季度权限复核具体查什么？
查访问邮箱与角色是否仍为最小必要、付款资料归属、API令牌与OAuth是否在用且合规、恢复凭证是否落于外部个人、告警接收人是否准确，并把清单列为续约前置条件。
异常消费告警应该发给谁？
必须发给广告主自身，而非仅代投方。这样能在预算异常消耗时第一时间感知，避免「钱烧完了才知道」，也便于及时冻结或调整投放。