Cos'è un token di accesso alla Pagina Facebook e perché parte da una persona

Che cos'è un token di accesso a una Pagina Facebook?

Meta definisce il token di accesso a una Pagina Facebook come la credenziale che permette a un'app di agire come una Pagina invece che come una persona. La guida ai token di accesso lo riassume in una riga: "I token di accesso alla Pagina ti permettono di leggere, scrivere e modificare i dati che appartengono a una Pagina Facebook." Pubblicare nel feed di una Pagina, rispondere ai commenti come Pagina e leggere le Page Insights passano tutti da questo token.

Sulla stessa pagina Meta elenca cinque tipi di token, e quello della Pagina è l'unico legato a una singola Pagina:

Il token della Pagina è anche quello che la Pages API richiede espressamente. La panoramica della Pages API di Meta dice "La maggior parte degli endpoint richiede token di accesso alla Pagina", e la tabella degli errori della Pages API ha un codice per chi chiama uno di questi endpoint con qualsiasi altra cosa: 190 con sottocodice 2069032, "Per questa chiamata è richiesto un token di accesso alla Pagina."

Come si ottiene un token di accesso a una Pagina?

Si ottiene un token di accesso a una Pagina scambiandolo con un token di accesso utente. L'istruzione di Meta è lunga due passaggi: "Per ottenerne uno, prima ottieni un token di accesso utente, poi scambialo con un token di accesso alla Pagina tramite la Graph API." Non esiste un endpoint che rilasci un token di Pagina a un'app che non abbia prima fatto accedere una persona.

Lo scambio è una singola chiamata GET sull'edge accounts della persona:

curl -i -X GET "https://graph.facebook.com/{your-user-id}/accounts?access_token={user-access-token}"

Meta afferma che la chiamata "restituisce un elenco di Pagine su cui hai un ruolo, inclusi la categoria della Pagina, i tuoi permessi su ciascuna Pagina e il token di accesso alla Pagina." Ogni oggetto nell'array data contiene access_token, category, category_list, name, id e un array tasks:

{
  "data": [
    {
      "access_token": "EAACEdE...",
      "category": "Brand",
      "name": "Ash Cat Page",
      "id": "1353269864728879",
      "tasks": ["ANALYZE", "ADVERTISE", "MODERATE", "CREATE_CONTENT", "MANAGE"]
    }
  ]
}

La panoramica della Pages API descrive lo stesso flusso in quattro passaggi: ottieni un token di accesso utente "tramite Facebook Login for Business", interroga /me/accounts, salva l'ID della Pagina e il token restituiti, poi "usa l'ID e il token per interrogare il nodo Page". Un solo login può restituire più Pagine. In quel caso Meta consiglia agli sviluppatori di "salvare ogni ID di Pagina e il rispettivo token", perché ogni Pagina riceve la sua stringa.

Perché per pubblicare su una Pagina aziendale serve un login Facebook personale?

Per pubblicare su una Pagina aziendale serve un login personale perché il token della Pagina eredita la propria autorità da una persona. La panoramica di Meta ne indica la condizione: "Per ottenere un token da un utente dell'app, l'utente dell'app deve essere proprietario della Pagina o poter eseguire un Task su di essa." La Pagina in sé non fa mai login da nessuna parte. Lo fa una persona che ha un ruolo su di essa, e il token registra chi era quella persona.

Meta descrive questo legame in due modi leggermente diversi su due pagine attive. La guida ai token di accesso dice che i token di Pagina "sono unici per ogni combinazione di Pagina, amministratore e app." La panoramica della Pages API dice che sono "unici per ogni Pagina, utente dell'app e app." In pratica la lettura è la stessa. Se cambi la Pagina, la persona o l'app, hai un token diverso. Se la persona che ha collegato la Pagina perde il proprio ruolo, le chiamate fatte con il suo token non superano più il controllo sui task che prima le faceva passare. È una delle cause trattate in perché il tuo scheduler per i social media continua a disconnettersi.

L'unico percorso che evita un login personale è l'utente di sistema. La configurazione di Facebook Login for Business di Meta permette a un'app di richiedere "un token di accesso utente o un token di accesso System-user". Se scegli il token utente, "gli utenti della tua app accederanno con il loro account Facebook personale." Se scegli il token dell'utente di sistema, "dovranno accedere usando un portfolio business", cosa che secondo Meta "è necessaria solo se questa configurazione richiede un accesso continuo a risorse business, come le Pagine Facebook." I token degli utenti di sistema dipendono dal fatto che il portfolio business possieda o condivida la Pagina, quindi vanno bene per agenzie e team interni con Business Manager configurato, e non servono a nulla a un creator singolo la cui Pagina è collegata a un profilo personale.

Quali permessi servono a un Page access token?

Per pubblicare, un Page access token ha bisogno di due autorizzazioni distinte: i permessi che la persona approva per l'app e un task che la stessa persona ricopre sulla Pagina. Meta controlla entrambi. La panoramica spiega il secondo controllo: "we will first check if the User has been approved for a task that permits that type of action", cioè prima verifica che l'utente sia stato approvato per un task che consenta quel tipo di azione.

Questi sono i permessi Pagina richiesti da un'integrazione di pubblicazione, con le descrizioni di Meta tratte dal riferimento dei permessi:

I task restituiti nell'array tasks corrispondono ad azioni. CREATE_CONTENT permette a una persona di "Publish content as the Page on the Page", cioè pubblicare contenuti come la Pagina. MODERATE copre le risposte ai commenti e la loro eliminazione. ANALYZE copre gli Insights. MANAGE permette di "Assign and manage Page tasks", cioè assegnare e gestire i task della Pagina. Meta aggiunge che "If a person is given Admin access to a Page in the UI, that person is able to perform all tasks on that Page", quindi chi ha accesso Admin alla Pagina dall'interfaccia può eseguire tutti i task. Se l'app ha pages_manage_posts ma la persona non ha CREATE_CONTENT, la Pages API restituisce 1 con sottocodice 2853006, "Viewer doesn't have permission to perform this action."

Le guide di Meta non concordano su un nome. La guida Get Started della Pages API elenca quattro permessi per il primo post: pages_manage_metadata, pages_manage_posts, pages_manage_read_engagement e pages_show_list. Nel riferimento dei permessi non esiste nessuna voce chiamata pages_manage_read_engagement. La guida Manage a Page elenca invece pages_read_engagement, che è anche la dipendenza indicata dal riferimento per pages_manage_posts. Richiedi pages_read_engagement.

Sopra tutto questo c'è l'App Review. La panoramica dice: "All Page-related Permissions and Features require approval through the App Review process before your app can use them when your app goes live." In altre parole, ogni permesso e funzione legati alle Pagine richiedono l'approvazione dell'App Review prima che l'app vada online. Le app in modalità di sviluppo possono richiedere qualsiasi permesso, ma solo alle persone che hanno un ruolo nell'app.

Un Page access token di Facebook scade?

Un Page access token di Facebook scade con la stessa scadenza del token Utente da cui deriva, finché non usi un token Utente di lunga durata. A quel punto il token Pagina non ha più una data di scadenza. Entrambe le metà di questa frase arrivano da Meta, da pagine diverse.

La panoramica della Pages API aggiunge una terza affermazione che non rientra nella tabella. Dice che i Page access token "have an expiration time", cioè hanno una scadenza, senza nessuna precisazione per il caso di lunga durata. La pagina sui token di lunga durata dice l'opposto per i token derivati da un token Utente di lunga durata. Leggi la frase della panoramica come una descrizione del token di breve durata predefinito e controlla un token reale con debug_token prima di fidarti dell'una o dell'altra pagina. La chiamata di scambio, il valore expires_in di 5183944 e i campi di debug_token sono trattati nell'articolo sul token di accesso Facebook di lunga durata e il suo orologio di 60 giorni.

"Nessuna data di scadenza" non significa permanente. Vale anche qui l'avvertenza generale di Meta sulla durata dei token. Dice "Do not depend on these lifetimes remaining the same", ossia non contare sul fatto che queste durate restino invariate, perché "they may change without warning or expire early", cioè possono cambiare senza preavviso o scadere in anticipo. La guida al debug di Meta indica i casi che documenta. Una persona che "logged out of your app or changed their password" riceve il codice 190, sottocodice 460, mentre un'app a cui la persona ha revocato l'autorizzazione dà il sottocodice 458. Entrambi i casi chiudono un token Pagina che non ha mai avuto una data.

Un Page access token cambia il funzionamento dei rate limit?

Sì. Le chiamate fatte con un Page access token contano contro un limite diverso da quelle fatte con un token Utente. Meta misura le richieste alla Pages API fatte con un token Pagina o system user secondo il proprio rate limit per caso d'uso aziendale, Calls within 24 hours = 4800 * Number of Engaged Users, dove gli utenti coinvolti sono le persone "who engaged with the Page per 24 hours", cioè che hanno interagito con la Pagina nelle 24 ore. Le richieste fatte con token Utente o token app rientrano invece nel rate limit di piattaforma più vecchio. La formula e l'header X-Business-Use-Case-Usage sono spiegati nell'articolo sul rate limit per caso d'uso aziendale di Meta per le Pagine.

Domande frequenti

Qual è l'endpoint che restituisce un Page access token?

GET /{user-id}/accounts, oppure GET /me/accounts, chiamato con un User access token. La risposta contiene un oggetto per ogni Pagina, con access_token, name, id, category e i tasks che la persona può svolgere su quella Pagina.

Si può ottenere un Page access token senza un account Facebook personale?

Solo tramite un utente di sistema. Le configurazioni di Facebook Login for Business di Meta possono richiedere un token di utente di sistema, e per farlo le persone devono accedere con un portfolio aziendale. Perché funzioni, il portfolio deve possedere la Pagina o avere accesso a essa.

Il Page access token è lo stesso per tutti gli admin di una Pagina?

No. Meta afferma che i Page access token "sono unici per ogni combinazione di Pagina, admin e app". Due admin che collegano la stessa app alla stessa Pagina generano due token diversi.

Perché il mio token di Pagina dice che non scade mai, ma ha smesso di funzionare?

Meta afferma che i Page token di lunga durata "scadono o vengono invalidati solo in determinate condizioni". La sua guida al debug collega il subcode 460 a una persona che "è uscita dalla tua app o ha cambiato la password" e il subcode 458 a un'app che la persona non autorizza più. In entrambi i casi il token smette di valere senza che si raggiunga alcuna data di scadenza.

Quale permesso consente a un'app di pubblicare su una Pagina?

pages_manage_posts, che Meta descrive come il permesso che consente a un'app di "creare, modificare ed eliminare i post della tua Pagina". Dipende da pages_read_engagement e pages_show_list, e la persona deve avere anche il task CREATE_CONTENT sulla Pagina.

Che errore ricevi se chiami un endpoint di Pagina con un User token?

La Pages API restituisce il codice 190 con subcode 2069032 e il messaggio "A Page access token is required for this call." Sostituisci il token con quello della Pagina preso dalla risposta di /accounts e riprova.

Qual è la differenza tra un User access token e un Page access token?

Un User access token legge o scrive "i dati Facebook di una persona per suo conto", mentre un Page access token legge, scrive e modifica "i dati appartenenti a una Pagina Facebook". Il User token lo ottieni da una finestra di login e lo scambi con il Page token tramite /accounts. La maggior parte degli endpoint della Pages API richiede il Page token.

Un Page access token richiede la revisione dell'app (App Review)?

Sì, prima che la tua app vada online. Meta afferma che, a quel punto, tutti i permessi e le funzionalità legati alle Pagine richiedono l'approvazione tramite App Review. In modalità sviluppo un'app può richiedere qualsiasi permesso, ma solo alle persone che hanno un ruolo nell'app.

Cosa succede al token di una Pagina quando l'admin che l'ha collegato perde il suo ruolo?

Le chiamate fatte con quel token non superano più il controllo sui task che prima le lasciava passare. I Page token sono unici per ogni combinazione di Pagina, admin e app, quindi il token appartiene a quella persona. Se ti colleghi di nuovo con qualcuno che ha ancora il task giusto, ottieni un token diverso.

Come controlli se un Page access token è ancora valido?

Passalo a debug_token e leggi il risultato, invece di fidarti di una delle due affermazioni di Meta sulla scadenza. Vale anche per i token senza data di scadenza, perché un logout, un cambio di password o una revoca dell'autorizzazione possono invalidarli.