Warum Entwickler eine App-Freigabe für TikTok-Posts brauchen

Warum braucht meine App eine Freigabe zum Posten auf TikTok?

Ihre Integration braucht eine App-Freigabe für TikTok-Posts, um öffentlich zu posten, weil TikTok jeden nicht auditierten Client der Content Posting API in den privaten Sichtbarkeitsmodus sperrt. Die Direct-Post-Referenz nennt die Regel gleich auf dem ersten Bildschirm: „All content posted by unaudited clients will be restricted to private viewing mode.“ Dieselbe Seite nennt den Ausweg: „to lift the restriction on content visibility, your API client must undergo an audit to verify compliance with our Terms of Service.“

Die API funktioniert also vor der Freigabe. Sie veröffentlicht nur nichts, was irgendjemand sonst sehen kann. TikToks App Review FAQ hat sogar eine Frage für Entwickler, die das auf die harte Tour merken, „Why are my posts private using the Content Posting API?“, und die Antwort ist derselbe Satz.

Was kann eine nicht auditierte TikTok-App?

Öffentlich sehr wenig. Die Content Sharing Guidelines nennen zwei Einschränkungen, die gelten, bis das Audit bestanden ist:

Das Nutzerlimit ist das, was Leute überrascht. Es begrenzt nicht nur die Sichtbarkeit. Es begrenzt Ihre App auf fünf postende Nutzer pro Tag, und jeder dieser Nutzer muss sein ganzes TikTok-Konto auf privat stellen, bevor der Post durchgeht.

Wenn eines dieser Konten öffentlich ist, scheitert der Call, bevor ein einziges Byte Video übertragen wird. Die Fehlertabelle von Direct Post führt das unter HTTP 403:

Werden die privaten Posts nach dem Audit öffentlich?

Nein. Das bestandene Audit ändert, was Ihre App als Nächstes tun kann, nicht, was sie schon gepostet hat. TikTok beschreibt den manuellen Weg für Inhalte, die vor der Freigabe gepostet wurden: „To make the contents publicly viewable later on, the account owner must first change their account visibility to public, and then change the privacy settings of each content to 'Everyone.'“

Das ist eine Bearbeitung pro Post, die der Creator in TikTok selbst vornimmt. Ihre App kann diese Posts nicht für ihn umstellen.

Ist das Audit dasselbe wie TikToks App Review?

Nein. Es gibt zwei getrennte Hürden, und sie genehmigen verschiedene Dinge.

Die erste ist das App Review, das den Scope vergibt. Der Getting-Started-Guide für Direct Post nennt es als Voraussetzung: „Your app must be approved for the video.publish scope“ und „The target TikTok user must have authorized your app for the video.publish scope.“ TikToks App Review FAQ sagt, dieses Review „may take several days to two weeks after submission.“

Die zweite ist das Audit der Content Posting API, das die Beschränkung auf private Posts aufhebt. Sie beantragen es über ein Formular auf der Seite TikTok for Developers unter developers.tiktok.com/application/content-posting-api, für das Sie einen Entwickler-Login brauchen. TikTok veröffentlicht in keiner der hier zitierten Docs einen Zeitrahmen für das Audit.

Eine App kann die erste Hürde nehmen und trotzdem an der zweiten hängen. Diese App hat video.publish, ruft /v2/post/publish/video/init/ erfolgreich auf und postet nichts Öffentliches.

Was prüft das TikTok-Audit?

Zwei Dinge, laut den Content Sharing Guidelines: wofür Ihre App gedacht ist und wie sich ihr Posting-Bildschirm verhält.

Die Regeln zum Einsatzzweck schließen viele interne Tools aus. TikTok sagt, API-Clients „must not be limited to test applications and should be intended for a wide audience, not limited to internal groups/private use.“ Es nennt ein Beispiel für das, was durchfällt: „A utility tool to help upload contents to the account(s) you or your team manages.“ Ein weiteres aufgeführtes Negativbeispiel ist „An app that copies arbitrary contents from other platforms to TikTok.“ Die App Review Guidelines ergänzen „Apps must not be for private or personal use“ und „Apps that are still in development or testing will not be approved.“

Die UX-Regeln sind konkret genug, um daraus eine Checkliste zu bauen:

• Die Posting-Seite muss den Nickname des Creators anzeigen, frisch aus creator_info geladen.
• Die Privatsphäre-Einstellung muss aus privacy_level_options kommen, und „Users must manually select the privacy status from a dropdown and there should be no default value.“
• Die Schalter für Comment, Duet und Stitch müssen anfangs deaktiviert sein, und ausgegraut, wenn creator_info meldet, dass der Creator sie abgeschaltet hat.
• Ihre App muss das Video gegen max_video_post_duration_sec prüfen.
• Ein Schalter für die Kennzeichnung kommerzieller Inhalte muss standardmäßig aus sein, mit den Optionen „Your brand“ und „Branded content“.
• Der Bildschirm muss vor dem Veröffentlichen-Button „By posting, you agree to TikTok's Music Usage Confirmation“ anzeigen.
• Nutzer müssen eine Vorschau sehen, und Inhalte dürfen erst an TikTok gehen, „after the user has expressly consent to the upload.“

Die meisten dieser Felder kommen von einem einzigen Endpoint, und die Notiz zu TikTok creator_info und max_video_post_duration_sec geht durch, was er zurückgibt und welche Werte sich zwischen öffentlichen und privaten Konten unterscheiden.

Das App Review will Belege als Video. TikTok verlangt „At least one demo video that shows the complete end-to-end flow“, mit „a maximum of 5 videos, up to 50 MB each.“ Wenn die App noch nie freigegeben wurde, gilt: „you are required to use a sandbox environment on the Developer Portal to demonstrate the integration.“

Welche Limits bleiben nach dem Audit?

Zwei Obergrenzen gelten für auditierte und nicht auditierte Clients gleichermaßen, und die Guidelines nennen beide:

• Creator-Limit: „There will be a 24-hour active creator cap for each API client based on the usage estimates provided in the audit application form.“
• Posting-Limit: „The upper limit may vary among creators (typically around 15 posts per day/ creator account) and is shared across all API Clients using Direct Post.“

Das Creator-Limit hängt an den Zahlen, die Sie ins Audit-Formular eintragen, niedrige Schätzungen kommen also als niedrige Obergrenze zurück. Wenn Sie es erreichen, liefert der Init-Call 403 reached_active_user_cap. Das Posting-Limit liefert 403 spam_risk_too_many_posts, und weil es über alle Apps geteilt wird, verbraucht ein Creator, der aus drei Tools postet, dasselbe Kontingent. TikToks App Review FAQ sagt, Sie können den Support bitten, das Limit für aktive Nutzer anzuheben, aber „your app must be in production to request and increase, and not all requests will be approved.“

Auch das Rate Limit pro Token bleibt: „Each user access_token is limited to 6 requests per minute“ am Init-Endpoint.

Braucht der Upload-Endpoint auch das Audit?

TikTok sagt es nicht. Der Upload-Guide, der über /v2/post/publish/inbox/video/init/ einen Entwurf in den TikTok-Posteingang des Creators schickt, verlangt die Freigabe des Scopes video.upload und wiederholt den Hinweis zur Sichtbarkeit bei nicht auditierten Clients nicht, den die Direct-Post-Seiten tragen. Bei Upload stellt der Creator den Post in TikToks eigenem Editor fertig, und TikToks Docs sagen, Nutzer „must click on inbox notifications to continue the editing flow in TikTok and complete the post.“

Behandeln Sie das als Lücke, nicht als Ausnahme. Die Content Sharing Guidelines stellen das Audit unter die Überschrift „Direct Post API - Developer Guidelines“, und nichts auf der Upload-Seite sagt, ob das Limit von 5 Nutzern dort gilt.

Welche weitere Freigabe verlangt TikTok fürs Posten?

Die Domain-Verifizierung, wenn Sie Medien per URL schicken. PULL_FROM_URL scheitert mit 403 url_ownership_unverified, sofern Sie die Domain oder das URL-Präfix, unter dem das Video liegt, nicht verifiziert haben. Das ist eine vom Audit getrennte Prüfung, und wer die eine besteht, erfüllt damit nicht die andere. Die Notiz zur TikTok-Domain-Verifizierung für PULL_FROM_URL erklärt, wie Sie ein Präfix verifizieren. Wenn Sie die Datei stattdessen direkt hochladen, gelten die Chunking-Regeln aus der Notiz zum Chunk-Größenlimit der TikTok API.

Häufig gestellte Fragen

Warum werden meine TikTok-API-Posts als privat angezeigt?

Ihr API-Client hat das Audit der Content Posting API nicht bestanden. TikTok beschränkt alle Inhalte nicht auditierter Clients auf den privaten Sichtbarkeitsmodus, und Posts gehen als SELF_ONLY raus.

Wie viele Nutzer können über eine nicht auditierte TikTok-App posten?

Fünf innerhalb von 24 Stunden. TikTok verlangt außerdem, dass jedes dieser Konten zum Zeitpunkt des Postens auf privat gestellt ist.

Was bedeutet unaudited_client_can_only_post_to_private_accounts?

Das TikTok-Konto des Creators ist öffentlich, und Ihre App hat das Audit nicht bestanden. TikTok blockiert den Request an /publish/video/init/ mit HTTP 403.

Wie lange dauert TikToks Audit der Content Posting API?

TikTok veröffentlicht keinen Zeitrahmen für das Audit. Die einzige veröffentlichte Prüfdauer gilt für das App Review, das laut TikTok „may take several days to two weeks after submission.“

Kann ein internes Tool für meine eigenen Konten das TikTok-Audit bestehen?

TikToks Guidelines führen „A utility tool to help upload contents to the account(s) you or your team manages“ als nicht zulässig. Apps müssen für ein breites Publikum gedacht sein.

Macht das bestandene Audit meine früheren privaten Posts öffentlich?

Nein. Der Creator muss das Konto auf öffentlich stellen und dann in TikTok die Privatsphäre-Einstellung jedes Posts auf „Everyone“ ändern.

Reicht die Freigabe für video.publish, um öffentlich auf TikTok zu posten?

Für sich allein nicht. Die App Review vergibt den Scope video.publish und ist vom Audit der Content Posting API getrennt, das die Beschränkung auf privat aufhebt. Eine App mit dem Scope kann /v2/post/publish/video/init/ aufrufen, ihre Posts bleiben aber SELF_ONLY.

Was passiert, wenn meine TikTok-App das Limit aktiver Creator erreicht?

Der Init-Aufruf liefert 403 reached_active_user_cap. Das Limit richtet sich nach den Nutzungsschätzungen im Audit-Antragsformular. Eine Erhöhung lässt sich beim TikTok-Support anfragen, die App muss dafür aber in Produktion sein, und nicht jede Anfrage wird genehmigt.

Was muss die Posting-Oberfläche zeigen, damit das TikTok-Audit klappt?

Sie zeigt den Nickname des Creators aus creator_info und ein Dropdown für die Privatsphäre ohne Standardwert, gefüllt aus privacy_level_options. Die Schalter für Comment, Duet und Stitch starten unmarkiert, und der Schalter für kommerzielle Inhalte ist standardmäßig aus. Vor dem Veröffentlichen-Button steht der Hinweis auf TikToks Music Usage Confirmation, und Nutzer sehen vorab eine Vorschau.

Muss ich eine Domain verifizieren, um Videos per URL auf TikTok zu posten?

Nur wenn Sie Medien per PULL_FROM_URL schicken. Ohne verifizierte Domain oder verifiziertes URL-Präfix scheitert der Aufruf mit 403 url_ownership_unverified. Diese Prüfung ist vom Audit getrennt, und das eine ersetzt das andere nicht.