Was ein Facebook Page Access Token ist und warum er bei einer Person beginnt

Was ist ein Facebook Page Access Token?

Meta definiert einen Facebook Page Access Token als die Berechtigung, mit der eine App als Page statt als Person handelt. Der Leitfaden zu Access Tokens fasst es in einer Zeile zusammen: „Page access tokens let you read, write, and modify data belonging to a Facebook Page.“ Beiträge im Feed einer Page veröffentlichen, als Page auf Kommentare antworten und Page Insights lesen, all das läuft über diesen Token.

Meta listet auf derselben Seite fünf Token-Typen auf, und der Page-Token ist der einzige, der an eine einzelne Page gebunden ist:

Der Page-Token ist außerdem derjenige, den die Pages API namentlich verlangt. Metas Überblick zur Pages API sagt „Most endpoints require Page access tokens“, und die Fehlertabelle der Pages API hat einen eigenen Code für den Aufruf eines dieser Endpunkte mit etwas anderem: 190 mit Subcode 2069032, „A Page access token is required for this call.“

Wie bekommen Sie einen Page Access Token?

Einen Page Access Token bekommen Sie, indem Sie einen User Access Token dafür eintauschen. Metas Anleitung umfasst zwei Schritte: „To obtain one, first get a user access token, then exchange it for a Page access token via the Graph API.“ Es gibt keinen Endpunkt, der einer App einen Page-Token ausstellt, ohne dass sie vorher eine Person eingeloggt hat.

Der Tausch ist ein einziges GET auf die accounts-Edge der Person:

curl -i -X GET "https://graph.facebook.com/{your-user-id}/accounts?access_token={user-access-token}"

Meta sagt, der Aufruf „returns a list of Pages you have a role on, including the Page category, your permissions on each Page, and the Page access token.“ Jedes Objekt im Array data enthält access_token, category, category_list, name, id und ein Array tasks:

{
  "data": [
    {
      "access_token": "EAACEdE...",
      "category": "Brand",
      "name": "Ash Cat Page",
      "id": "1353269864728879",
      "tasks": ["ANALYZE", "ADVERTISE", "MODERATE", "CREATE_CONTENT", "MANAGE"]
    }
  ]
}

Der Überblick zur Pages API beschreibt denselben Ablauf in vier Schritten: einen User Access Token „through Facebook Login for Business“ holen, /me/accounts abfragen, die zurückgegebene Page-ID und den Token festhalten und dann „use the ID and token to query the Page node.“ Ein Login kann mehrere Pages zurückgeben. Für diesen Fall rät Meta Entwicklern, „capture each Page ID and its respective token“, weil jede Page ihren eigenen String bekommt.

Warum braucht das Posten auf einer Unternehmens-Page einen persönlichen Facebook-Login?

Das Posten auf einer Unternehmens-Page braucht einen persönlichen Login, weil der Page-Token seine Befugnis von einer Person erbt. Metas Überblick nennt die Bedingung: „In order to get a token from an app User, the app User must own or be able to perform a Task on the Page.“ Die Page selbst loggt sich nirgendwo ein. Eine Person mit einer Rolle auf der Page tut es, und der Token hält fest, wer diese Person war.

Meta beschreibt diese Bindung auf zwei aktuellen Seiten leicht unterschiedlich. Der Leitfaden zu Access Tokens sagt, Page-Tokens „are unique to each Page, admin, and app combination.“ Der Überblick zur Pages API sagt, sie seien „unique to each Page, app User, and app.“ Praktisch läuft beides aufs Gleiche hinaus. Ändern Sie die Page, die Person oder die App, halten Sie einen anderen Token. Verliert die Person, die die Page verbunden hat, ihre Rolle, fehlt den Aufrufen ihres Tokens die Task-Prüfung, die sie bisher durchgelassen hat. Das ist eine der Ursachen, die im Beitrag dazu behandelt werden, warum ein Social-Media-Planer ständig die Verbindung verliert.

Der einzige Weg ohne persönlichen Login ist ein System User. Metas Konfiguration für Facebook Login for Business erlaubt einer App, „a User access token or System-user access token“ anzufordern. Wählen Sie den User-Token, gilt: „your app users will log in using their personal Facebook account.“ Wählen Sie den System-User-Token, gilt: Sie „will be required to log in using a business portfolio“, was laut Meta „is only required if this configuration needs continuous access to business assets, such as Facebook Pages.“ System-User-Tokens setzen voraus, dass das Business-Portfolio die Page besitzt oder freigegeben bekommen hat. Damit passen sie zu Agenturen und internen Teams mit eingerichtetem Business Manager und helfen einem Solo-Creator nicht, dessen Page unter einem persönlichen Profil hängt.

Welche Berechtigungen braucht ein Page Access Token?

Ein Page Access Token braucht zum Posten zwei getrennte Freigaben: Berechtigungen, die die Person der App erteilt, und eine Task, die die Person auf der Page innehat. Meta prüft beides. Der Überblick erklärt die zweite Prüfung: „we will first check if the User has been approved for a task that permits that type of action.“

Das sind die Page-Berechtigungen, die eine Publishing-Integration anfordert, mit Metas eigenen Beschreibungen aus der Berechtigungsreferenz:

Die Tasks im Array tasks entsprechen Aktionen. CREATE_CONTENT erlaubt einer Person „Publish content as the Page on the Page.“ MODERATE deckt das Beantworten und Löschen von Kommentaren ab. ANALYZE deckt Insights ab. MANAGE erlaubt einer Person „Assign and manage Page tasks.“ Meta ergänzt: „If a person is given Admin access to a Page in the UI, that person is able to perform all tasks on that Page.“ Hat die App pages_manage_posts, aber der Person fehlt CREATE_CONTENT, gibt die Pages API 1 mit Subcode 2853006 zurück, „Viewer doesn't have permission to perform this action.“

Bei einem Namen widersprechen sich Metas eigene Leitfäden. Der Get-Started-Leitfaden der Pages API nennt für den ersten Beitrag vier Berechtigungen: pages_manage_metadata, pages_manage_posts, pages_manage_read_engagement und pages_show_list. Die Berechtigungsreferenz hat keinen Eintrag namens pages_manage_read_engagement. Der Leitfaden Manage a Page nennt stattdessen pages_read_engagement, und das ist auch die Abhängigkeit, die die Referenz für pages_manage_posts angibt. Fordern Sie pages_read_engagement an.

Über all dem liegt App Review. Der Überblick sagt: „All Page-related Permissions and Features require approval through the App Review process before your app can use them when your app goes live.“ Apps im Entwicklungsmodus können jede Berechtigung anfordern, aber nur von Personen, die eine Rolle in der App haben.

Läuft ein Facebook Page Access Token ab?

Ein Facebook Page Access Token läuft nach demselben Zeitplan ab wie der User-Token, aus dem er stammt, bis Sie einen langlebigen User-Token verwenden. Ab dann hat der Page-Token kein Ablaufdatum mehr. Beide Hälften dieser Aussage stammen von Meta, nur von verschiedenen Seiten.

Der Überblick zur Pages API fügt eine dritte Aussage hinzu, die nicht in die Tabelle passt. Dort heißt es, Page Access Tokens „have an expiration time“, ohne Einschränkung für den langlebigen Fall. Die Seite zu langlebigen Tokens sagt für Tokens aus einem langlebigen User-Token das Gegenteil. Lesen Sie die Zeile im Überblick als Beschreibung des standardmäßigen kurzlebigen Tokens und prüfen Sie einen echten Token mit debug_token, bevor Sie einer der beiden Seiten trauen. Der Tauschaufruf, der expires_in-Wert von 5183944 und die Felder von debug_token stehen im Beitrag zum langlebigen Facebook Access Token und seiner 60-Tage-Uhr.

„Kein Ablaufdatum“ heißt nicht dauerhaft. Metas allgemeiner Hinweis zu Token-Laufzeiten gilt auch hier. Dort steht „Do not depend on these lifetimes remaining the same“, weil „they may change without warning or expire early.“ Metas Debugging-Leitfaden nennt die dokumentierten Auslöser. Eine Person, die „logged out of your app or changed their password“, erzeugt Code 190, Subcode 460, und eine App, der die Person die Autorisierung entzogen hat, erzeugt Subcode 458. Beides beendet einen Page-Token, der nie ein Datum hatte.

Ändert ein Page Access Token, wie Rate Limits funktionieren?

Ja. Aufrufe mit einem Page Access Token zählen gegen ein anderes Limit als Aufrufe mit einem User-Token. Meta misst Anfragen an die Pages API mit einem Page- oder System-User-Token über sein Business Use Case Rate Limit, Calls within 24 hours = 4800 * Number of Engaged Users, wobei Engaged Users Personen sind, „who engaged with the Page per 24 hours.“ Anfragen mit User- oder App-Tokens fallen stattdessen unter das ältere Platform Rate Limit. Die Formel und der Header X-Business-Use-Case-Usage werden im Beitrag zum Business Use Case Rate Limit von Meta für Pages erklärt.

Häufig gestellte Fragen

Welcher Endpunkt gibt einen Page Access Token zurück?

GET /{user-id}/accounts oder GET /me/accounts, aufgerufen mit einem User Access Token. Die Antwort enthält ein Objekt pro Page mit access_token, name, id, category und den tasks, die die Person auf dieser Page ausführen darf.

Bekommt man einen Page Access Token ohne persönliches Facebook-Konto?

Nur über einen System User. Metas Konfigurationen für Facebook Login for Business können einen System-User-Token anfordern, für den sich Personen mit einem Business-Portfolio einloggen müssen. Damit das funktioniert, muss das Portfolio die Page besitzen oder Zugriff darauf haben.

Ist ein Page Access Token für alle Admins einer Page gleich?

Nein. Meta sagt, Page Access Tokens „are unique to each Page, admin, and app combination.“ Zwei Admins, die dieselbe App mit derselben Page verbinden, erzeugen zwei verschiedene Tokens.

Warum läuft mein Page-Token angeblich nie ab und funktioniert trotzdem nicht mehr?

Meta sagt, langlebige Page-Tokens „only expire or are invalidated under certain conditions.“ Der Debugging-Leitfaden verknüpft Subcode 460 mit einer Person, die „logged out of your app or changed their password“, und Subcode 458 mit einer App, die die Person nicht mehr autorisiert. Beides beendet den Token, ohne dass je ein Datum erreicht wird.

Mit welcher Berechtigung darf eine App auf einer Page veröffentlichen?

Mit pages_manage_posts, das laut Meta einer App erlaubt, „create, edit and delete your Page posts.“ Die Berechtigung hängt von pages_read_engagement und pages_show_list ab, und die Person braucht zusätzlich die Task CREATE_CONTENT auf der Page.

Welchen Fehler bekommen Sie, wenn Sie einen Page-Endpunkt mit einem User-Token aufrufen?

Die Pages API gibt Code 190 mit Subcode 2069032 und der Meldung „A Page access token is required for this call.“ zurück. Setzen Sie den Page-Token aus der Antwort von /accounts ein und versuchen Sie es erneut.

Was ist der Unterschied zwischen einem User Access Token und einem Page Access Token?

Ein User Access Token liest oder schreibt „a person's Facebook data on their behalf“, ein Page Access Token liest, schreibt und ändert „data belonging to a Facebook Page“. Den User-Token bekommen Sie über einen Login-Dialog und tauschen ihn über /accounts gegen den Page-Token. Die meisten Endpunkte der Pages API verlangen den Page-Token.

Braucht ein Page Access Token eine App-Prüfung?

Ja, bevor Ihre App live geht. Meta sagt, dass alle Page-bezogenen Berechtigungen und Funktionen dann eine Freigabe über den App-Review-Prozess brauchen. Im Entwicklungsmodus kann eine App jede Berechtigung anfordern, aber nur von Personen, die eine Rolle in der App haben.

Was passiert mit einem Page-Token, wenn der Admin, der ihn verbunden hat, seine Rolle verliert?

Die Aufrufe dieses Tokens bestehen die Task-Prüfung nicht mehr, die sie vorher durchgelassen hat. Page-Tokens sind einzigartig für jede Kombination aus Page, Admin und App, der Token gehört also zu dieser Person. Verbinden Sie die Page erneut mit jemandem, der noch die passende Task hat, bekommen Sie einen anderen Token.

Wie prüfen Sie, ob ein Page Access Token noch gültig ist?

Lassen Sie ihn durch debug_token laufen und lesen Sie das Ergebnis, statt einer der beiden Ablaufangaben von Meta zu vertrauen. Das gilt auch für Tokens ohne Ablaufdatum, denn eine Abmeldung, eine Passwortänderung oder ein Entzug der App-Berechtigung kann sie beenden.