Was der Scope instagram_business_content_publish wirklich gewährt

Was gewährt instagram_business_content_publish?

Meta definiert instagram_business_content_publish in einem einzigen Satz der Permissions Reference: „The instagram_business_content_publish permission allows an app to create organic feed photo and video posts on behalf of a business user."

Die Zeile zur erlaubten Nutzung zieht die Grenze: „Manage the organic content creation process for Instagram (for example, post photos and videos) on behalf of an Instagram business account."

Zwei Wörter dieser Definition leisten die meiste Arbeit. Organic schließt alles Bezahlte aus, der Scope fasst also weder Ads noch beworbene Beiträge noch Promotion an. On behalf of a business user heißt, dass die Berechtigung nur Konten erreicht, die sie deiner App erteilt haben, und Meta formuliert diese Grenze allgemein in der Übersicht zur Instagram Platform: „a permission only allows access to data created by the app user who granted the permission."

Der Scope reist außerdem nie allein. Meta führt genau eine Abhängigkeit auf, instagram_business_basic, und die ist keine Formsache. Basic trägt die Kontoidentität, Publish trägt den Schreibzugriff. Wer Publish ohne Basic anfordert, hat keine Möglichkeit, die Instagram-User-ID aufzulösen, die jeder Publishing-Endpunkt in seinem Pfad braucht.

Welche Endpunkte verlangen den Scope?

Vier, und Meta druckt dasselbe Berechtigungspaar in die Anforderungstabelle jeder einzelnen Referenzseite.

Endpunkt	Aufgabe	Berechtigungen für Instagram Login
POST /<IG_ID>/media	Erstellt den Medien-Container	instagram_business_basic, instagram_business_content_publish
POST /<IG_ID>/media_publish	Veröffentlicht den Container	instagram_business_basic, instagram_business_content_publish
GET /<IG_CONTAINER_ID>	Liest den Container-Status	instagram_business_basic, instagram_business_content_publish
GET /<IG_ID>/content_publishing_limit	Liest die aktuelle Kontingentnutzung	instagram_business_basic, instagram_business_content_publish

Die dritte Zeile erwischt viele. Nachzusehen, ob ein Container fertig verarbeitet ist, ist ein Lesezugriff, und er braucht trotzdem den Publish-Scope, weil der Container ein Artefakt des Veröffentlichens ist und kein Stück Profildaten. Eine App, die nur Basic angefordert hat, kann nichts erstellen und auch nichts darüber sehen, was sie nicht erstellen konnte.

Die vierte Zeile zählt beim Planen. Das Kontingent zu lesen liegt hinter demselben Scope wie das Ausgeben, eine App kann also nicht prüfen, wie viel Luft ein Konto noch hat, bevor sie um die Erlaubnis zum Posten bittet. Das ist gut zu wissen, wenn du gegen die Container- und Publish-Kontingente baust, die die API pro Konto durchsetzt.

Achte darauf, was auf der Liste fehlt. Nichts zu Captions, Alt-Text, Personen-Tags oder Orten hat eine eigene Berechtigung. Das sind Parameter an POST /<IG_ID>/media, was bedeutet, dass das Caption-Limit von 2.200 Zeichen und seine Tag-Unterregeln vom Endpunkt durchgesetzt werden und nicht von einem Scope, den du separat anfordern kannst.

Wie verhält er sich zu den anderen Instagram-Scopes?

Er gehört zu einem von zwei parallelen Sets, und welches Set gilt, entscheidet dein Login-Flow, nicht deine Feature-Liste.

Business Login for Instagram	Facebook Login for Business
instagram_business_basic	instagram_basic
instagram_business_content_publish	instagram_content_publish
instagram_business_manage_comments	instagram_manage_comments
instagram_business_manage_messages	instagram_manage_messages
Human Agent feature	instagram_manage_insights
	pages_show_list, pages_read_engagement
	Human Agent, Instagram Public Content Access

Das Infix _business_ ist das Erkennungszeichen. Diese Scopes existieren für Apps, in denen sich Nutzer mit Instagram-Zugangsdaten anmelden und graph.instagram.com ansprechen. Die kürzeren Namen existieren für Apps, in denen sich Nutzer mit Facebook-Zugangsdaten anmelden, das professionelle Konto mit einer Facebook-Page verknüpft ist und die Aufrufe an graph.facebook.com gehen.

Die Facebook-Login-Spalte schleppt Ballast mit, den die Instagram-Spalte nicht hat. Veröffentlichen über diesen Flow braucht zusätzlich pages_read_engagement, und Meta hängt eine Bedingung an: Wurde die Rolle des App-Nutzers auf der Page über den Business Manager vergeben, braucht die App außerdem ads_management oder ads_read. Das sind Werbe-Scopes, verlangt für einen organischen Beitrag, allein wegen der Art, wie die Page-Rolle zugewiesen wurde.

Es gibt noch eine Asymmetrie, die du lesen solltest, bevor du dich festlegst. Metas Tabelle der Page-Aufgaben bildet ab, was ein Nutzer auf einer Page tun darf und was er deiner App erteilen kann, und Content (PROFILE_PLUS_CREATE_CONTENT) wie Full control (PROFILE_PLUS_FULL_CONTROL) erteilen beide instagram_content_publish. Für instagram_business_content_publish existiert keine entsprechende Tabelle, weil bei Business Login for Instagram keine Page dazwischensteht. Unter Facebook Login verliert deine App die Fähigkeit zu veröffentlichen, sobald ein Nutzer die Content-Aufgabe auf der Page verliert, ohne dass sich in deiner App irgendetwas ändert.

Die Token-Laufzeiten sind in beiden Flows gleich. Der Authorization Code gilt eine Stunde, das kurzlebige Access Token, zu dem er wird, gilt eine Stunde, und das langlebige Token, das du dafür eintauschst, gilt 60 Tage und lässt sich vor Ablauf erneuern. Dieser Erneuerungszyklus ist derselbe wie hinter dem 60-Tage-Token von Facebook, und er ist der Teil jedes Instagram-Automatisierungs-Setups, der am ehesten still kaputtgeht.

Token-Lebenszyklus

1

Autorisierungscode. Nach dem Login eine Stunde gültig.

2

Kurzlebiger Access Token. Eine Stunde gültig.

3

Langlebiger Access Token. 60 Tage gültig, vor Ablauf erneuerbar.

Was verlangt das App Review?

Zwei schriftliche Antworten und einen Screencast, und Meta veröffentlicht den genauen Wortlaut für alle drei.

Der Prompt für die Beschreibung des Anwendungsfalls: „Provide specific examples of why your app requires the instagram_business_content_publish permission to create and publish organic feed photo and video posts on behalf of other businesses."

Die Anforderungen an den Screencast, vollständig zitiert:

Demonstrate the complete Instagram login process on your app platform, showing how your app user grants your app this permission

Demonstrate creating a new organic feed photo post on behalf of a business user

Show how to add a caption, hashtags, and other metadata, and post to the business user's Instagram feed

Lies das als Drehplan. Der Reviewer will den Consent-Screen vor der Kamera, einen echten, über deine Oberfläche erstellten Beitrag und ausgefüllte Caption- und Hashtag-Felder, bevor er rausgeht. Eine Aufnahme, die erst nach dem Login startet oder einen bereits veröffentlichten Beitrag zeigt, verfehlt zwei der drei Anforderungen.

Ein Review wird erst ab einer bestimmten Schwelle nötig, und Meta knüpft sie an Eigentum statt an Größe. Standard Access „is intended for apps that will only be used by people who have roles on them", und „If your app only serves your Instagram professional account or an account you manage, Standard Access is all your app needs." Advanced Access ist die Stufe, die „required if your app serves Instagram professional accounts that you don't own or manage" ist, und sie „requires App Review and Business Verification."

Ein interner Poster für ein einziges Konto braucht also kein Review. Alles, wo sich Kunden anmelden, braucht Review plus Business-Verifizierung, und Meta warnt für die Zeit dazwischen: „Because of the limited scope of Standard Access, some features might not work properly until your app has been granted Advanced Access."

Es gibt genau eine Hintertür, und Publishing ist davon ausgenommen. Für Apps, die Reviewer nicht testen können, schreibt Meta: „If reviewers are unable to test your app because it is behind a private intranet, has no user interface, or has not implemented Facebook Login for Business, you can request approval only for the following permissions: instagram_basic, instagram_manage_comments." Keiner der beiden Publishing-Scopes steht auf dieser Liste. Ein kopfloser Publisher ohne Oberfläche hat keinen dokumentierten Weg zu Advanced Access fürs Posten.

Warum sagt der Scope Feed, wenn die API Stories und Reels veröffentlicht?

Weil Meta den Berechtigungstext nie an den Endpunkt angepasst hat. Die Scope-Beschreibung sagt seit ihrer Entstehung „organic feed photo and video posts", während POST /<IG_ID>/media die media_type-Werte CAROUSEL, REELS und STORIES annimmt und die Anforderungstabelle dieser Referenz für alle davon denselben Scope aufführt.

Nichts in der Permissions Reference erwähnt Stories, Reels oder Karussells. Nichts in der Medienreferenz begrenzt den Scope auf Feed-Beiträge. Die beiden Dokumente beschreiben dieselbe Berechtigung in unterschiedlicher Breite, und durchgesetzt wird der Endpunkt.

Die praktische Folge betrifft das Review, nicht die Laufzeit. Dein Screencast wird an den Worten der Permissions Reference gemessen, und diese Worte verlangen einen Foto-Beitrag im Feed. Stattdessen ein Reel oder eine Story zu zeigen heißt, etwas zu zeigen, das die Checkliste des Reviewers nicht benennt. Nimm den Feed-Beitrag auf, den die Anforderungen verlangen, und zeig danach den Rest.

Direkt daneben sitzt eine zweite Unstimmigkeit im Wortlaut. Metas Zeile zur erlaubten Nutzung sagt „post photos and videos", während der Abschnitt Limitations im Content-Publishing-Guide sagt „Filters are not supported" und „Shopping tags are not supported." Der Scope gewährt mehr, als der Endpunkt umsetzt.

Häufig gestellte Fragen

Was ist instagram_business_content_publish?

Es ist die Berechtigung der Instagram Platform, die in Metas Worten „allows an app to create organic feed photo and video posts on behalf of a business user." Es ist der Scope für Business Login for Instagram, genutzt mit dem Host graph.instagram.com.

Braucht instagram_business_content_publish eine weitere Berechtigung daneben?

Ja. Meta führt instagram_business_basic als Abhängigkeit auf, und die Anforderungstabelle jedes Publishing-Endpunkts nennt beide Scopes zusammen.

Was unterscheidet instagram_business_content_publish von instagram_content_publish?

Der Login-Flow. Der erste wird über Business Login for Instagram erteilt, wo sich Nutzer mit Instagram-Zugangsdaten anmelden. Der zweite wird über Facebook Login for Business erteilt und verlangt zusätzlich instagram_basic und pages_read_engagement.

Braucht das Veröffentlichen von Stories oder Reels eine andere Berechtigung?

Nein. Derselbe Scope deckt die media_type-Werte REELS, STORIES und CAROUSEL ab, obwohl die Beschreibung der Berechtigung nur Feed-Beiträge erwähnt.

Braucht eine App, die auf ihr eigenes Instagram-Konto postet, ein App Review?

Nein. Meta hält fest, dass Standard Access genügt, wenn deine App „only serves your Instagram professional account or an account you manage." Advanced Access, App Review und Business-Verifizierung greifen, sobald die App Konten bedient, die dir nicht gehören.

Kann eine kopflose App den Publishing-Scope genehmigt bekommen?

Nicht über die Ausnahme für private Apps. Meta begrenzt diesen Weg auf instagram_basic und instagram_manage_comments, und keiner der Publishing-Scopes steht auf der Liste.

Kann eine App ihr Publishing-Kontingent prüfen, bevor sie den Scope hat?

Das geht nicht. Der Endpunkt GET /<IG_ID>/content_publishing_limit braucht denselben Scope instagram_business_content_publish wie die Endpunkte, die das Kontingent verbrauchen, also ist das verbleibende Kontingent erst sichtbar, wenn die Berechtigung schon erteilt ist.

Brauchen Bildunterschriften und Hashtags eine eigene Berechtigung?

Eine eigene Berechtigung gibt es nicht. Bildunterschriften, Hashtags, Alt-Text, Nutzer-Tags und Standorte sind Parameter von POST /<IG_ID>/media und keine eigenen Scopes, weshalb das Zeichenlimit für Bildunterschriften und seine Tag-Regeln vom Endpunkt selbst durchgesetzt werden und nicht von einer separat anfragbaren Berechtigung.

Warum braucht Facebook Login for Business manchmal eine Werbeberechtigung, nur um zu veröffentlichen?

Das Veröffentlichen über diesen Flow braucht bereits pages_read_engagement neben instagram_content_publish und instagram_basic. Kam die Rolle des App-Nutzers auf der Page aus dem Business Manager, verlangt Meta zusätzlich ads_management oder ads_read, eine Bedingung, die an die Art der Rollenvergabe gekoppelt ist und nichts mit dem Beitrag selbst zu tun hat.

Was muss der App-Review-Screencast für diesen Scope zeigen?

Drei Dinge: den Instagram-Login-Bildschirm, auf dem der Nutzer die Berechtigung erteilt, einen organischen Feed-Fotopost, der live über die Oberfläche der App erstellt wird, und die Felder für Bildunterschrift und Hashtags, ausgefüllt bevor der Beitrag veröffentlicht wird. Eine Aufnahme, die erst nach dem Login beginnt oder einen bereits veröffentlichten Beitrag zeigt, verfehlt zwei dieser drei Anforderungen.