Warum dein Social-Media-Scheduler ständig Konten trennt

Warum trennt mein Social-Media-Scheduler ständig Konten?

Dass dein Social-Media-Scheduler ständig Konten trennt, liegt an den OAuth-Tokens, mit denen er postet: Jedes Netzwerk lässt sie nach eigenem Zeitplan ablaufen, und mehrere alltägliche Kontoaktionen machen sie ungültig, bevor die Zeit um ist. Ein Scheduler kennt nie dein Passwort. Er hält ein Token, das das Netzwerk ausgestellt hat, als du den Zugriff erlaubt hast. Wenn dieses Token nicht mehr funktioniert, hat der Scheduler nichts anderes, womit er posten könnte, und du bekommst die Aufforderung, das Konto neu zu verbinden.

Die Trennungen haben zwei Quellen. Manche kommen vom Kalender: Ein Token hat das Ende seiner dokumentierten Laufzeit erreicht. Andere kommen von Ereignissen: Du hast ein Passwort geändert, eine Berechtigung entfernt oder deine Rolle auf einer Page verloren. Die zweite Gruppe ist schwerer zu erkennen, weil sie schon am zweiten Tag passieren kann.

Zwei Wege, wie ein Token stirbt

Der Kalender

• Das Token hat das Ende seiner dokumentierten Laufzeit erreicht
• Metas langlebiges User-Token: etwa 60 Tage
• X ohne offline.access: zwei Stunden
• TikTok Access Token: 24 Stunden

Ein Ereignis

• Ein Passwort wurde geändert
• Eine Berechtigung wurde entfernt
• Die Rolle auf einer Page ging verloren
• Jedes davon kann schon an Tag zwei passieren

Wie lange hält das Token jedes Netzwerks?

Jedes Netzwerk veröffentlicht eine andere Zahl, und eines veröffentlicht gar keine Refresh-Laufzeit.

Netzwerk	Access Token	Refresh	Quelle
Facebook	Langlebiges User Token „about 60 days“, expires_in 5183944	Ein gültiges Token mit fb_exchange_token tauschen	developers.facebook.com, Long-lived access tokens
Facebook Page	„do not have an expiration date“	Nicht nötig	Dieselbe Seite
Instagram	Erneuerte Tokens „valid for 60 days“	ig_refresh_token, das Token muss mindestens 24 Stunden alt sein	developers.facebook.com, Refresh Access Token
LinkedIn	„all access tokens are issued with a 60-day lifespan“	365 Tage, nur freigegebene MDP-Partner	learn.microsoft.com, Authorization Code Flow and Refresh Tokens
X	„two hours unless you've used the offline.access scope“	Mit offline.access ausgestellt, Laufzeit nicht veröffentlicht	docs.x.com, OAuth 2.0 Authorization Code Flow with PKCE
TikTok	„valid for 24 hours after initial issuance“, expires_in 86400	„valid for 365 days after the initial issuance“	developers.tiktok.com, User Access Token Management

Meta

Meta relativiert seine eigene Zahl. Die Übersicht zu Access Tokens sagt „long-lived tokens last about 60 days“ und rät dann „Do not depend on these lifetimes remaining the same“, weil „they may change without warning or expire early.“ Metas SDKs erneuern langlebige Tokens „once per day, when the person using your app makes a request to Facebook's servers“, und ohne Requests gilt: „the token will expire after about 60 days.“ Ein serverseitiger Scheduler bekommt diese tägliche Erneuerung nicht geschenkt. Den Tausch-Call, die 56 Sekunden, die Metas Beispiel von 60 Tagen abzieht, und das nicht ablaufende Page Token behandelt die Notiz zum langlebigen Facebook Access Token.

LinkedIn

LinkedIn hat die sauberste Zahl und die strengste Hürde. Access Tokens halten 60 Tage und Refresh Tokens 365 Tage, aber LinkedIn schreibt, dass es „supports programmatic refresh tokens for all approved Marketing Developer Platform (MDP) partners.“ Auch das Erneuern verlängert das Jahr nicht. Die Laufzeit des Refresh Tokens „remains the same as specified in the initial OAuth flow (365 days).“ Einmal im Jahr muss das Mitglied den Zugriff also auf jeden Fall erneut erlauben. Die Rechnung Tag für Tag und eine Einheitenverwechslung in LinkedIns eigener Beispielantwort stehen in der Notiz dazu, warum ein LinkedIn Access Token nach 60 Tagen abläuft.

X

X hat das kürzeste Access Token der vier und die wenigsten Informationen zur Erneuerung. Seine OAuth-2.0-Seite sagt: „the access token you create through the Authorization Code Flow with PKCE will only stay valid for two hours unless you've used the offline.access scope.“ Mit diesem Scope stellt X ein Refresh Token aus. Ohne ihn gilt „we will not generate a refresh token“, und ein Scheduler würde zwei Stunden nach dem Verbinden den Zugriff verlieren.

X veröffentlicht nicht, wie lange das Refresh Token selbst hält. Die Scope-Liste beschreibt offline.access als „Stay connected to your account until you revoke access“, ein Versprechen zum Widerruf, keine Zahl. Wenn dir ein Tool sagt, X-Tokens hielten eine bestimmte Anzahl von Tagen, stammt diese Zahl nicht von dieser Seite.

TikTok

TikTok kombiniert ein Access Token, das einen Tag hält, mit einem Refresh Token, das ein Jahr hält. Das Access Token ist „valid for 24 hours after initial issuance“, und TikTok sagt, es „can be refreshed without user consent“, also lässt ein Scheduler einen Hintergrundjob laufen, der es täglich erneuert. Das Refresh Token hält „365 days after the initial issuance“, und das App Review FAQ wiederholt die Obergrenze: „User Access Tokens can be extended to a maximum of one year.“

TikTok ergänzt eine Regel, an der nachlässige Integrationen scheitern. Beim Erneuern gilt: „The returned refresh_token may be different than the one passed in the payload. You must use the newly-returned token if the value is different than the previous one.“ TikTok sagt nicht, was danach mit dem alten Wert passiert, ein Scheduler, der den neuen ignoriert, verlässt sich also auf Verhalten, das TikTok nie dokumentiert hat.

Warum wurde mein Konto nach einer Passwortänderung getrennt?

Weil Meta die Session beendet. Metas Fehlertabelle der Graph API hat einen eigenen Subcode, 460 „Password Changed“, und als Lösung nennt sie, dass die Person „must log in to the app again.“ Metas Session-Dokumentation nennt denselben Auslöser, wenn sie eine Person beschreibt, die „reports their account as hacked, or changes their password as a precaution.“

Die anderen drei Netzwerke erwähnen Passwortänderungen auf den hier zitierten OAuth-Seiten nicht. LinkedIn, X und TikTok dokumentieren Ablauf und Widerruf, aber keine dieser Seiten sagt, was eine Passwortänderung mit einem bestehenden Token macht.

Warum wurde es nach einer Änderung der App-Berechtigungen getrennt?

Eine entzogene Berechtigung beendet den Zugriff, den sie gewährt hat, und bei LinkedIn kann schon eine neu hinzugefügte Berechtigung alles beenden.

• Meta liefert Code 10 oder 200-299 mit dem Hinweis „Permission is either not granted or has been removed.“
• LinkedIn schreibt: „If you request a different scope than the previously granted scope, all the previous access tokens are invalidated.“ Ein Scheduler, der in einem Update eine neue LinkedIn-Berechtigung hinzufügt, trennt jedes LinkedIn-Konto, das er verwaltet.
• TikTok lässt Leute einen Teil einer Anfrage genehmigen: „Users have the rights to only agree to a subset of scopes you requested from them.“ Ein Token ohne video.publish scheitert mit 401 scope_not_authorized.
• Wenn du die App selbst trennst, endet die Freigabe bei allen vier. Meta sagt, Leute „can also choose to disconnect your app from their Facebook account.“ LinkedIn beschreibt eine Berechtigung, die „manually revoked by the member“ wurde. offline.access bei X hält „until you revoke access.“ TikToks Revoke-Endpoint, POST https://open.tiktokapis.com/v2/oauth/revoke/, entfernt die App von der Seite „Manage app permissions“ des Nutzers.

Warum wurde meine Facebook Page getrennt, obwohl noch jemand anderes Zugriff hat?

Weil Page Tokens einer Person gehören, nicht der Page. Meta sagt „Page access tokens are unique to each Page, admin, and app combination“, und um eins zu erzeugen, gilt: „The person requesting the token must have a role on the Page.“ Verliert die Person, die die Page verbunden hat, diese Rolle, stirbt das Token mit. Metas Fehler dafür ist Subcode 492 „Invalid Session“: „User associated with the Page access token does not have an appropriate role on the Page.“

LinkedIn funktioniert bei Unternehmensseiten genauso. Die Berechtigung w_organization_social ist „Restricted to organizations where the authenticated member has one of the following company page roles: ADMINISTRATOR, DIRECT_SPONSORED_CONTENT_POSTER, CONTENT_ADMIN.“ Entfernst du das Mitglied aus diesen Rollen, hören die Posts auf die Seite auf, obwohl das eigene Token des Mitglieds noch gültig ist.

Die Lösung ist in beiden Fällen, die Verbindung über ein Konto neu herzustellen, das die Rolle aktuell hat, und nicht dieselbe Person erneut zu verbinden.

Wie finde ich heraus, welche Ursache ein Konto getrennt hat?

Lies den Fehler, nicht das Symptom. Metas Subcodes trennen die meisten Ursachen, allerdings überschneiden sich 463 und 467:

Meta-Subcode	Name	Ursache
458	App Not Installed	Der Nutzer hat sich nicht bei der App angemeldet
460	Password Changed	Passwort zurückgesetzt
463	Expired	Login-Status oder Token abgelaufen, widerrufen oder anderweitig ungültig
467	Invalid Access Token	Abgelaufen, widerrufen oder anderweitig ungültig
492	Invalid Session	Page-Rolle verloren

TikTok liefert 401 access_token_invalid für „invalid or has expired“ und 401 scope_not_authorized für einen fehlenden Scope. LinkedIns Refresh-Endpoint liefert 400 invalid_request mit „The provided authorization grant or refresh token is invalid, expired or revoked.“ Wenn dein Scheduler dir den rohen Fehler zeigt, gleich ihn mit diesen Listen ab, bevor du neu verbindest. Ein Fehler wegen der Page-Rolle, bei dem du die falsche Person neu verbindest, kommt sofort wieder.

Posts, die aus anderen Gründen als Tokens scheitern, behandeln die Notizen zu geplanten Facebook-Posts, die nicht funktionieren, und zu geplanten LinkedIn-Posts, die nicht funktionieren.

Häufig gestellte Fragen

Warum fordert mich mein Scheduler etwa alle zwei Monate auf, Facebook neu zu verbinden?

Metas langlebiges User Token hält „about 60 days“, und laut Meta lässt sich ein abgelaufenes Token nicht gegen ein neues tauschen. Die Person muss sich erneut anmelden.

Warum trennt LinkedIn die Verbindung, obwohl der Scheduler Tokens erneuert?

LinkedIns Refresh Token hält 365 Tage ab der ersten Autorisierung und wird bei Nutzung nicht zurückgesetzt. Refresh Tokens gibt es außerdem nur für freigegebene Partner der Marketing Developer Platform.

Wie lange hält ein X Refresh Token?

X veröffentlicht keine Laufzeit dafür. Seine OAuth-2.0-Seite dokumentiert nur das Access Token mit zwei Stunden und sagt, dass ein Refresh Token ausgestellt wird, wenn du offline.access anforderst.

Warum hat TikTok die Verbindung einen Tag nach dem Verbinden getrennt?

Das TikTok Access Token hält 24 Stunden, also muss der Scheduler es jeden Tag mit dem Refresh Token erneuern. Ist dieser Erneuerungsjob nicht gelaufen, hat der Scheduler nach Ablauf der 24 Stunden kein funktionierendes Access Token mehr. TikTok sagt außerdem, dass das neue refresh_token zu verwenden ist, wenn der Refresh-Aufruf ein anderes zurückgibt, dokumentiert aber nicht, was mit dem alten Wert passiert.

Trennt eine Änderung meines Facebook-Passworts meinen Scheduler?

Ja. Metas Fehlertabelle führt Subcode 460 „Password Changed“, und die Person muss sich erneut bei der App anmelden.

Warum wurde eine Facebook Page nach einem Teamwechsel getrennt?

Das Page Token hing an einer Person, die keine Rolle mehr auf der Page hat. Meta liefert Subcode 492, und jemand mit einer aktuellen Page-Rolle muss die Page neu verbinden.

Laufen Facebook-Page-Tokens ab?

Meta schreibt, Page-Tokens „do not have an expiration date“, sie hängen also nicht an der 60-Tage-Uhr. Sie können trotzdem früher enden. Page Access Tokens sind „unique to each Page, admin, and app combination“, daher beendet der Verlust der Rolle auf der Page das Token mit Subcode 492.

Warum wurden alle LinkedIn-Konten nach einem Update des Schedulers getrennt?

LinkedIn schreibt: "Wenn ein anderer Scope angefordert wird als der zuvor gewährte, werden alle bisherigen Access Tokens ungültig." Fügt ein Scheduler in einem Update eine neue LinkedIn-Berechtigung hinzu, trennt das jedes LinkedIn-Konto, das er verwaltet. Alle Konten müssen dann neu verbunden werden.

Was bedeutet der TikTok-Fehler scope_not_authorized?

Dem Token fehlt eine Berechtigung, die der Aufruf braucht. TikTok schreibt, "Nutzer können nur einer Teilmenge der angeforderten Scopes zustimmen", eine Person kann also weniger freigeben, als der Scheduler verlangt hat. Ein Token ohne video.publish scheitert mit 401 scope_not_authorized.

Was ist der Unterschied zwischen den Meta-Subcodes 463 und 467?

Sehr wenig, wenn man Metas eigene Tabelle liest. Subcode 463 „Expired“ deckt einen Login-Status oder ein Access Token ab, das „has expired, been revoked, or is otherwise invalid.“ Subcode 467 „Invalid Access Token“ verwendet denselben Wortlaut nur für das Access Token. Keiner der beiden Codes verrät, ob der Kalender oder ein Ereignis das Token beendet hat, also prüfe zuerst, ob kürzlich ein Passwort, eine Berechtigung oder eine Rolle geändert wurde, bevor du annimmst, dass das Token einfach abgelaufen ist.