Pourquoi votre outil de planification des réseaux sociaux se déconnecte sans cesse de vos comptes

Pourquoi mon outil de planification des réseaux sociaux se déconnecte-t-il sans cesse ?

Si votre outil de planification des réseaux sociaux se déconnecte sans cesse, c'est parce qu'il publie avec des jetons OAuth que chaque réseau fait expirer selon son propre calendrier, et que plusieurs actions de compte ordinaires tuent ces jetons avant la fin du délai. Un outil de planification ne détient jamais votre mot de passe. Il détient un jeton que le réseau a émis quand vous avez cliqué sur Autoriser. Quand ce jeton cesse de fonctionner, l'outil n'a plus rien pour publier, et vous recevez une demande de reconnexion.

Les déconnexions ont deux origines. Certaines viennent du calendrier : un jeton a atteint la fin de sa durée de vie documentée. D'autres viennent d'événements : vous avez changé de mot de passe, retiré une permission ou perdu votre rôle sur une Page. Le second groupe est plus difficile à repérer, parce qu'il peut survenir dès le deuxième jour.

Deux façons dont un jeton meurt

Le calendrier

• Le jeton a atteint la fin de sa durée documentée
• Jeton utilisateur longue durée de Meta : environ 60 jours
• X sans offline.access : deux heures
• Jeton d'accès TikTok : 24 heures

Un événement

• Un mot de passe a été changé
• Une permission a été retirée
• Le rôle sur une Page a été perdu
• Chacun peut arriver dès le deuxième jour

Combien de temps dure le jeton de chaque réseau ?

Chaque réseau publie un chiffre différent, et l'un d'eux ne publie aucune durée de rafraîchissement.

Réseau	Jeton d'accès	Rafraîchissement	Source
Facebook	Jeton utilisateur longue durée « about 60 days », expires_in 5183944	Échanger un jeton valide avec fb_exchange_token	developers.facebook.com, Long-lived access tokens
Page Facebook	« do not have an expiration date »	Inutile	Même page
Instagram	Jetons rafraîchis « valid for 60 days »	ig_refresh_token, le jeton doit avoir au moins 24 heures	developers.facebook.com, Refresh Access Token
LinkedIn	« all access tokens are issued with a 60-day lifespan »	365 jours, partenaires MDP approuvés uniquement	learn.microsoft.com, Authorization Code Flow and Refresh Tokens
X	« two hours unless you've used the offline.access scope »	Émis avec offline.access, durée non publiée	docs.x.com, OAuth 2.0 Authorization Code Flow with PKCE
TikTok	« valid for 24 hours after initial issuance », expires_in 86400	« valid for 365 days after the initial issuance »	developers.tiktok.com, User Access Token Management

Meta

Meta nuance son propre chiffre. La présentation des jetons d'accès indique « long-lived tokens last about 60 days, » puis vous dit « Do not depend on these lifetimes remaining the same » parce que « they may change without warning or expire early. » Les SDK de Meta rafraîchissent les jetons longue durée « once per day, when the person using your app makes a request to Facebook's servers, » et sans requêtes « the token will expire after about 60 days. » Un outil de planification côté serveur ne bénéficie pas gratuitement de ce rafraîchissement quotidien. L'appel d'échange, les 56 secondes que l'exemple de Meta retire aux 60 jours et le jeton de Page sans expiration sont traités dans la note sur le jeton d'accès longue durée de Facebook.

LinkedIn

LinkedIn a le chiffre le plus net et la barrière la plus stricte. Les jetons d'accès durent 60 jours et les jetons de rafraîchissement 365 jours, mais LinkedIn écrit qu'il « supports programmatic refresh tokens for all approved Marketing Developer Platform (MDP) partners. » Le rafraîchissement ne prolonge pas non plus l'année. La durée de vie du jeton de rafraîchissement « remains the same as specified in the initial OAuth flow (365 days). » Une fois par an, le membre doit cliquer à nouveau sur Autoriser quoi qu'il arrive. Le calcul jour par jour, et une incohérence d'unités dans l'exemple de réponse de LinkedIn lui-même, sont dans la note sur pourquoi un jeton d'accès LinkedIn expire après 60 jours.

X

X donne le jeton d'accès le plus court des quatre et le moins d'informations sur son renouvellement. Sa page OAuth 2.0 indique « the access token you create through the Authorization Code Flow with PKCE will only stay valid for two hours unless you've used the offline.access scope. » Avec ce scope, X émet un jeton de rafraîchissement. Sans lui, « we will not generate a refresh token, » et un outil de planification perdrait l'accès deux heures après la connexion.

X ne publie pas la durée de vie du jeton de rafraîchissement lui-même. La liste des scopes décrit offline.access comme « Stay connected to your account until you revoke access, » ce qui est une promesse sur la révocation, pas un chiffre. Si un outil vous dit que les jetons X durent un nombre précis de jours, ce chiffre ne vient pas de cette page.

TikTok

TikTok associe un jeton d'accès valable un jour à un jeton de rafraîchissement d'un an. Le jeton d'accès est « valid for 24 hours after initial issuance, » et TikTok indique qu'il « can be refreshed without user consent, » donc un outil de planification lance une tâche de fond pour le renouveler chaque jour. Le jeton de rafraîchissement dure « 365 days after the initial issuance, » et l'App Review FAQ répète le plafond : « User Access Tokens can be extended to a maximum of one year. »

TikTok ajoute une règle qui casse les intégrations négligentes. Au rafraîchissement, « The returned refresh_token may be different than the one passed in the payload. You must use the newly-returned token if the value is different than the previous one. » TikTok ne dit pas ce que devient l'ancienne valeur ensuite, donc un outil de planification qui ignore la nouvelle compte sur un comportement que TikTok n'a jamais documenté.

Pourquoi mon compte s'est-il déconnecté après un changement de mot de passe ?

Parce que Meta met fin à la session. Le tableau des erreurs de la Graph API de Meta a un sous-code dédié, 460 « Password Changed », et la solution indiquée est que la personne « must log in to the app again. » La documentation de Meta sur les sessions cite le même déclencheur quand elle décrit une personne qui « reports their account as hacked, or changes their password as a precaution. »

Les trois autres réseaux ne mentionnent pas les changements de mot de passe sur les pages OAuth citées ici. LinkedIn, X et TikTok documentent l'expiration et la révocation, mais aucune de ces pages ne dit ce qu'un changement de mot de passe fait à un jeton existant.

Pourquoi s'est-il déconnecté après que j'ai modifié les permissions de l'application ?

Retirer une permission met fin à l'accès que cette permission accordait, et sur LinkedIn, en ajouter une peut tout couper.

• Meta renvoie le code 10 ou 200-299 avec la mention « Permission is either not granted or has been removed. »
• LinkedIn écrit : « If you request a different scope than the previously granted scope, all the previous access tokens are invalidated. » Un outil de planification qui ajoute une nouvelle permission LinkedIn lors d'une mise à jour déconnecte tous les comptes LinkedIn qu'il gère.
• TikTok laisse les utilisateurs approuver une partie d'une demande : « Users have the rights to only agree to a subset of scopes you requested from them. » Un jeton sans video.publish échoue avec 401 scope_not_authorized.
• Déconnecter l'application vous-même met fin à l'autorisation sur les quatre. Meta indique que les utilisateurs « can also choose to disconnect your app from their Facebook account. » LinkedIn décrit une permission « manually revoked by the member. » Le scope offline.access de X dure « until you revoke access. » L'endpoint de révocation de TikTok, POST https://open.tiktokapis.com/v2/oauth/revoke/, retire l'application de la page « Manage app permissions » de l'utilisateur.

Pourquoi ma Page Facebook s'est-elle déconnectée alors que quelqu'un d'autre y a toujours accès ?

Parce que les jetons de Page appartiennent à une personne, pas à la Page. Meta indique « Page access tokens are unique to each Page, admin, and app combination, » et en générer un exige que « The person requesting the token must have a role on the Page. » Si la personne qui a connecté la Page perd ce rôle, le jeton meurt avec lui. L'erreur de Meta pour ce cas est le sous-code 492 « Invalid Session » : « User associated with the Page access token does not have an appropriate role on the Page. »

LinkedIn fonctionne de la même façon pour les pages entreprise. La permission w_organization_social est « Restricted to organizations where the authenticated member has one of the following company page roles: ADMINISTRATOR, DIRECT_SPONSORED_CONTENT_POSTER, CONTENT_ADMIN. » Retirez le membre de ces rôles et les publications sur la page s'arrêtent, même si le jeton du membre reste valide.

Dans les deux cas, la solution consiste à reconnecter depuis un compte qui détient actuellement le rôle, pas à reconnecter à nouveau la même personne.

Comment savoir quelle cause a déconnecté un compte ?

Lisez l'erreur, pas le symptôme. Les sous-codes de Meta séparent la plupart des causes, même si 463 et 467 se recoupent :

Sous-code Meta	Nom	Cause
458	App Not Installed	L'utilisateur ne s'est pas connecté à l'application
460	Password Changed	Mot de passe réinitialisé
463	Expired	Statut de connexion ou jeton expiré, révoqué ou invalide pour une autre raison
467	Invalid Access Token	Expiré, révoqué ou invalide pour une autre raison
492	Invalid Session	Rôle sur la Page perdu

TikTok renvoie 401 access_token_invalid pour « invalid or has expired » et 401 scope_not_authorized pour un scope manquant. L'endpoint de rafraîchissement de LinkedIn renvoie 400 invalid_request avec « The provided authorization grant or refresh token is invalid, expired or revoked. » Si votre outil de planification vous montre l'erreur brute, comparez-la à ces listes avant de reconnecter. Une erreur de rôle sur la Page « corrigée » en reconnectant la mauvaise personne reviendra aussitôt.

Les publications qui échouent pour d'autres raisons que les jetons sont traitées dans les notes sur les posts Facebook programmés qui ne fonctionnent pas et les posts LinkedIn programmés qui ne fonctionnent pas.

Questions fréquentes

Pourquoi mon outil de planification me demande-t-il de reconnecter Facebook environ tous les deux mois ?

Le jeton utilisateur longue durée de Meta dure « about 60 days », et Meta indique qu'un jeton expiré ne peut pas être échangé contre un nouveau. La personne doit se reconnecter.

Pourquoi LinkedIn se déconnecte-t-il même quand l'outil de planification rafraîchit les jetons ?

Le jeton de rafraîchissement de LinkedIn dure 365 jours à partir de la première autorisation et ne se réinitialise pas à l'usage. Les jetons de rafraîchissement sont aussi réservés aux partenaires approuvés du Marketing Developer Platform.

Combien de temps dure un jeton de rafraîchissement X ?

X ne publie pas sa durée de vie. Sa page OAuth 2.0 ne documente que le jeton d'accès de deux heures et indique qu'un jeton de rafraîchissement est émis quand vous demandez offline.access.

Pourquoi TikTok s'est-il déconnecté un jour après la connexion ?

Le jeton d'accès TikTok dure 24 heures, donc l'outil de planification doit le renouveler chaque jour avec le jeton de rafraîchissement. Si cette tâche de rafraîchissement ne s'est pas exécutée, l'outil n'a plus de jeton d'accès valide une fois les 24 heures écoulées. TikTok demande aussi d'utiliser le nouveau refresh_token chaque fois que l'appel de rafraîchissement en renvoie un différent, mais ne documente pas ce que devient l'ancienne valeur.

Changer mon mot de passe Facebook déconnecte-t-il mon outil de planification ?

Oui. Le tableau des erreurs de Meta liste le sous-code 460 « Password Changed », et la personne doit se reconnecter à l'application.

Pourquoi une Page Facebook s'est-elle déconnectée après un changement dans l'équipe ?

Le jeton de Page était lié à une personne qui n'a plus de rôle sur la Page. Meta renvoie le sous-code 492, et quelqu'un qui détient actuellement un rôle sur la Page doit la reconnecter.

Les jetons de Page Facebook expirent-ils ?

Meta indique que les jetons de Page "n'ont pas de date d'expiration", ils ne dépendent donc pas de l'horloge de 60 jours. Ils peuvent pourtant s'arrêter plus tôt. Les jetons de Page sont "uniques pour chaque combinaison de Page, d'administrateur et d'application", donc perdre son rôle sur la Page met fin au jeton, avec le sous-code 492.

Pourquoi tous les comptes LinkedIn se sont-ils déconnectés après une mise à jour de l'outil de planification ?

LinkedIn écrit : "Si vous demandez un scope différent de celui accordé précédemment, tous les jetons d'accès précédents sont invalidés." Quand un outil ajoute une nouvelle permission LinkedIn dans une mise à jour, il déconnecte tous les comptes LinkedIn qu'il gère. Chaque compte doit ensuite être reconnecté.

Que signifie l'erreur TikTok scope_not_authorized ?

Le jeton n'a pas une permission dont l'appel a besoin. TikTok écrit que "les utilisateurs ont le droit d'accepter seulement un sous-ensemble des scopes demandés", donc une personne peut accorder moins que ce que l'outil a demandé. Un jeton sans video.publish échoue avec 401 scope_not_authorized.

Quelle est la différence entre les sous-codes Meta 463 et 467 ?

Très peu, d'après le propre tableau de Meta. Le sous-code 463 « Expired » couvre un statut de connexion ou un jeton d'accès qui « has expired, been revoked, or is otherwise invalid. » Le sous-code 467 « Invalid Access Token » reprend les mêmes mots pour le seul jeton d'accès. Aucun des deux codes ne dit si c'est le calendrier ou un événement qui a mis fin au jeton, alors vérifiez les changements récents de mot de passe, de permissions ou de rôles avant de conclure que le jeton a simplement expiré.