Pourquoi les développeurs ont besoin de l'approbation de l'application pour publier sur TikTok en public

Pourquoi mon application a-t-elle besoin d'une approbation pour publier sur TikTok ?

Votre intégration a besoin de l'approbation de l'application pour publier sur TikTok en public, parce que TikTok enferme chaque client non audité de la Content Posting API dans le mode de visionnage privé. La référence Direct Post énonce la règle dès son premier écran : « All content posted by unaudited clients will be restricted to private viewing mode. » La même page indique la porte de sortie : « to lift the restriction on content visibility, your API client must undergo an audit to verify compliance with our Terms of Service. »

L'API fonctionne donc avant l'approbation. Elle ne publie simplement rien que quelqu'un d'autre puisse voir. L'App Review FAQ de TikTok contient même une question pour les développeurs qui le découvrent à leurs dépens, « Why are my posts private using the Content Posting API? », et la réponse reprend la même phrase.

Que peut faire une application TikTok non auditée ?

Très peu en public. Les Content Sharing Guidelines listent deux restrictions qui s'appliquent tant que l'audit n'est pas validé :

Le plafond d'utilisateurs est celui qui surprend. Il ne limite pas seulement la visibilité. Il limite votre application à cinq utilisateurs qui publient par jour, et chacun d'eux doit passer tout son compte TikTok en privé avant que le post passe.

Si l'un de ces comptes est public, l'appel échoue avant qu'un seul octet de vidéo ne soit transféré. Le tableau des erreurs de Direct Post le classe sous HTTP 403 :

Les posts privés deviennent-ils publics après l'audit ?

Non. Réussir l'audit change ce que votre application peut faire ensuite, pas ce qu'elle a déjà publié. TikTok décrit la marche à suivre manuelle pour le contenu publié avant l'approbation : « To make the contents publicly viewable later on, the account owner must first change their account visibility to public, and then change the privacy settings of each content to 'Everyone.' »

C'est une modification post par post, faite par le créateur dans TikTok. Votre application ne peut pas basculer ces posts à sa place.

L'audit est-il la même chose que l'app review de TikTok ?

Non. Il y a deux étapes distinctes, et elles approuvent des choses différentes.

La première est l'app review, qui accorde le scope. Le guide de démarrage de Direct Post la cite comme prérequis : « Your app must be approved for the video.publish scope, » et « The target TikTok user must have authorized your app for the video.publish scope. » L'App Review FAQ de TikTok indique que cette review « may take several days to two weeks after submission. »

La seconde est l'audit de la Content Posting API, qui lève la restriction au mode privé. Vous en faites la demande via un formulaire sur le site TikTok for Developers, à l'adresse developers.tiktok.com/application/content-posting-api, qui exige une connexion développeur. TikTok ne publie aucun délai pour l'audit dans les documents cités ici.

Une application peut franchir la première étape et rester bloquée derrière la seconde. Cette application dispose de video.publish, appelle /v2/post/publish/video/init/ avec succès, et ne publie rien de public.

Que vérifie l'audit de TikTok ?

Deux choses, d'après les Content Sharing Guidelines : à quoi sert votre application, et comment se comporte son écran de publication.

Les règles sur l'usage prévu excluent une grande partie des outils internes. TikTok indique que les clients API « must not be limited to test applications and should be intended for a wide audience, not limited to internal groups/private use. » Il donne un exemple de ce qui échoue : « A utility tool to help upload contents to the account(s) you or your team manages. » Un autre échec listé est « An app that copies arbitrary contents from other platforms to TikTok. » Les App Review Guidelines ajoutent que « Apps must not be for private or personal use » et « Apps that are still in development or testing will not be approved. »

Les règles d'UX sont assez précises pour en tirer une checklist :

• La page de publication doit afficher le pseudo du créateur, récupéré à jour depuis creator_info.
• Le réglage de confidentialité doit venir de privacy_level_options, et « Users must manually select the privacy status from a dropdown and there should be no default value. »
• Les options Comment, Duet et Stitch doivent être décochées au départ, et grisées quand creator_info indique que le créateur les a désactivées.
• Votre application doit vérifier la vidéo par rapport à max_video_post_duration_sec.
• Un bouton de déclaration de contenu commercial doit être désactivé par défaut, avec les options « Your brand » et « Branded content ».
• L'écran doit afficher « By posting, you agree to TikTok's Music Usage Confirmation » avant le bouton de publication.
• Les utilisateurs doivent voir un aperçu, et le contenu ne doit partir vers TikTok « after the user has expressly consent to the upload. »

La plupart de ces champs viennent d'un seul endpoint, et la note sur creator_info et max_video_post_duration_sec de TikTok détaille ce qu'il renvoie et quelles valeurs changent entre comptes publics et privés.

Côté app review, TikTok veut une preuve en vidéo. TikTok demande « At least one demo video that shows the complete end-to-end flow, » avec « a maximum of 5 videos, up to 50 MB each. » Si l'application n'a jamais été approuvée, « you are required to use a sandbox environment on the Developer Portal to demonstrate the integration. »

Quelles limites restent après l'audit ?

Deux plafonds s'appliquent aux clients audités comme non audités, et les guidelines listent les deux :

• Plafond de créateurs : « There will be a 24-hour active creator cap for each API client based on the usage estimates provided in the audit application form. »
• Plafond de publications : « The upper limit may vary among creators (typically around 15 posts per day/ creator account) and is shared across all API Clients using Direct Post. »

Le plafond de créateurs dépend des chiffres que vous saisissez dans le formulaire d'audit, donc des estimations basses reviennent sous forme de plafond bas. Quand vous l'atteignez, l'appel init renvoie 403 reached_active_user_cap. Le plafond de publications renvoie 403 spam_risk_too_many_posts, et comme il est partagé entre toutes les applications, un créateur qui publie depuis trois outils consomme le même quota. L'App Review FAQ de TikTok indique que vous pouvez demander au Support de relever le plafond d'utilisateurs actifs, mais « your app must be in production to request and increase, and not all requests will be approved. »

La limite de taux par jeton reste elle aussi : « Each user access_token is limited to 6 requests per minute » sur l'endpoint init.

L'endpoint Upload a-t-il aussi besoin de l'audit ?

TikTok ne le dit pas. Le guide Upload, qui envoie un brouillon dans la boîte de réception TikTok du créateur via /v2/post/publish/inbox/video/init/, exige l'approbation du scope video.upload et ne reprend pas la note sur la visibilité des clients non audités que portent les pages Direct Post. Avec Upload, le créateur termine le post dans l'éditeur de TikTok, et la documentation de TikTok indique que les utilisateurs « must click on inbox notifications to continue the editing flow in TikTok and complete the post. »

Voyez-y une lacune plutôt qu'une exemption. Les Content Sharing Guidelines placent l'audit sous le titre « Direct Post API - Developer Guidelines », et rien sur la page Upload ne précise si le plafond de 5 utilisateurs s'y applique.

Quelle autre approbation TikTok exige-t-il pour publier ?

La vérification de domaine, si vous envoyez les médias par URL. PULL_FROM_URL échoue avec 403 url_ownership_unverified sauf si vous avez vérifié le domaine ou le préfixe d'URL où se trouve la vidéo. C'est une vérification distincte de l'audit, et réussir l'une ne remplit pas l'autre. La note sur la vérification de domaine PULL_FROM_URL de TikTok explique comment vérifier un préfixe. Si vous envoyez directement le fichier à la place, les règles de découpage de la note sur la limite de taille des chunks de l'API TikTok s'appliquent.

Questions fréquentes

Pourquoi mes posts publiés via l'API TikTok apparaissent-ils comme privés ?

Votre client API n'a pas passé l'audit de la Content Posting API. TikTok limite tout le contenu des clients non audités au mode de visionnage privé, et les posts partent en SELF_ONLY.

Combien d'utilisateurs peuvent publier via une application TikTok non auditée ?

Cinq sur une fenêtre de 24 heures. TikTok exige aussi que chacun de ces comptes soit réglé en privé au moment de la publication.

Que signifie unaudited_client_can_only_post_to_private_accounts ?

Le compte TikTok du créateur est public et votre application n'a pas passé l'audit. TikTok bloque la requête à /publish/video/init/ avec HTTP 403.

Combien de temps dure l'audit de la Content Posting API de TikTok ?

TikTok ne publie aucun délai pour l'audit. Le seul délai publié concerne l'app review, dont TikTok dit qu'elle « may take several days to two weeks after submission. »

Un outil interne pour mes propres comptes peut-il passer l'audit de TikTok ?

Les guidelines de TikTok classent « A utility tool to help upload contents to the account(s) you or your team manages » parmi ce qui n'est pas acceptable. Les applications doivent viser un large public.

Réussir l'audit rendra-t-il publics mes anciens posts privés ?

Non. Le créateur doit passer le compte en public, puis changer le réglage de confidentialité de chaque post sur « Everyone » dans TikTok.

L'approbation de video.publish suffit-elle pour publier en public sur TikTok ?

Pas à elle seule. L'app review accorde le scope video.publish et reste distincte de l'audit de la Content Posting API, qui lève la restriction au mode privé. Une application qui a le scope peut appeler /v2/post/publish/video/init/, mais ses posts restent en SELF_ONLY.

Que se passe-t-il quand mon application TikTok atteint le plafond de créateurs actifs ?

L'appel init renvoie 403 reached_active_user_cap. Le plafond dépend des estimations d'usage fournies dans le formulaire de demande d'audit. Il est possible de demander une hausse au support TikTok, mais l'application doit être en production et toutes les demandes ne sont pas acceptées.

Que doit afficher l'écran de publication pour réussir l'audit de TikTok ?

Il affiche le pseudo du créateur issu de creator_info et une liste déroulante de confidentialité sans valeur par défaut, alimentée par privacy_level_options. Les cases Comment, Duet et Stitch démarrent décochées, et l'option de contenu commercial est désactivée par défaut. La mention de la Music Usage Confirmation de TikTok précède le bouton de publication, et l'utilisateur voit un aperçu.

Faut-il vérifier un domaine pour publier des vidéos sur TikTok par URL ?

Seulement si vous envoyez le média avec PULL_FROM_URL. Sans domaine ou préfixe d'URL vérifié, l'appel échoue avec 403 url_ownership_unverified. Cette vérification est distincte de l'audit, et réussir l'une ne remplace pas l'autre.