Por que desenvolvedores precisam de aprovação do app para postar no TikTok publicamente

Por que meu app precisa de aprovação para postar no TikTok?

A sua integração precisa de aprovação do app para postar no TikTok publicamente porque o TikTok trava todo cliente não auditado da Content Posting API no modo de visualização privada. A referência de Direct Post declara a regra logo na primeira tela: "All content posted by unaudited clients will be restricted to private viewing mode." A mesma página indica a saída: "to lift the restriction on content visibility, your API client must undergo an audit to verify compliance with our Terms of Service."

Ou seja, a API funciona antes da aprovação. Ela só não publica nada que outra pessoa consiga ver. O FAQ de App Review do TikTok tem até uma pergunta para desenvolvedores que descobrem isso do jeito difícil, "Why are my posts private using the Content Posting API?", e a resposta é a mesma frase.

O que um app do TikTok não auditado pode fazer?

Muito pouco em público. As Content Sharing Guidelines listam duas restrições que valem até a auditoria ser aprovada:

O limite de usuários é o que pega as pessoas de surpresa. Ele não limita só a visibilidade. Ele limita o seu app a cinco usuários postando por dia, e cada um desses usuários precisa mudar a conta inteira do TikTok para privada antes de o post passar.

Se qualquer uma dessas contas for pública, a chamada falha antes de um único byte de vídeo ser enviado. A tabela de erros de Direct Post lista isso sob HTTP 403:

Os posts privados viram públicos depois da auditoria?

Não. Passar na auditoria muda o que o seu app pode fazer daqui para frente, não o que ele já postou. O TikTok descreve o caminho manual para o conteúdo postado antes da aprovação: "To make the contents publicly viewable later on, the account owner must first change their account visibility to public, and then change the privacy settings of each content to 'Everyone.'"

Isso é uma edição post a post, feita pelo criador dentro do TikTok. O seu app não pode mudar esses posts por ele.

A auditoria é a mesma coisa que a revisão de app do TikTok?

Não. São duas barreiras separadas, e elas aprovam coisas diferentes.

A primeira é a revisão de app, que concede o escopo. O guia de primeiros passos de Direct Post a lista como pré-requisito: "Your app must be approved for the video.publish scope," e "The target TikTok user must have authorized your app for the video.publish scope." O FAQ de App Review do TikTok diz que essa revisão "may take several days to two weeks after submission."

A segunda é a auditoria da Content Posting API, que remove a restrição de só privado. Você se candidata por um formulário no site TikTok for Developers em developers.tiktok.com/application/content-posting-api, que exige login de desenvolvedor. O TikTok não publica um prazo para a auditoria em nenhuma das documentações citadas aqui.

Um app pode passar pela primeira barreira e continuar parado na segunda. Esse app tem video.publish, chama /v2/post/publish/video/init/ com sucesso e não publica nada público.

O que a auditoria do TikTok checa?

Duas coisas, segundo as Content Sharing Guidelines: para que serve o seu app e como a tela de postagem se comporta.

As regras de uso pretendido excluem muita ferramenta interna. O TikTok diz que clientes de API "must not be limited to test applications and should be intended for a wide audience, not limited to internal groups/private use." Ele dá um exemplo do que reprova: "A utility tool to help upload contents to the account(s) you or your team manages." Outra reprovação listada é "An app that copies arbitrary contents from other platforms to TikTok." As App Review Guidelines acrescentam que "Apps must not be for private or personal use" e "Apps that are still in development or testing will not be approved."

As regras de UX são específicas o bastante para virar um checklist:

• A página de postagem precisa mostrar o apelido do criador, buscado na hora em creator_info.
• A configuração de privacidade precisa vir de privacy_level_options, e "Users must manually select the privacy status from a dropdown and there should be no default value."
• Os toggles de Comment, Duet e Stitch precisam começar desmarcados, e ficar desativados quando creator_info disser que o criador os desligou.
• O seu app precisa checar o vídeo contra max_video_post_duration_sec.
• Um toggle de divulgação de conteúdo comercial precisa estar desligado por padrão, com as opções "Your brand" e "Branded content".
• A tela precisa mostrar "By posting, you agree to TikTok's Music Usage Confirmation" antes do botão de publicar.
• Os usuários precisam ver uma prévia, e o conteúdo só pode ir para o TikTok "after the user has expressly consent to the upload."

A maior parte desses campos vem de um único endpoint, e a nota sobre creator_info e max_video_post_duration_sec do TikTok mostra o que ele devolve e quais valores mudam entre contas públicas e privadas.

O lado da revisão de app quer prova em vídeo. O TikTok pede "At least one demo video that shows the complete end-to-end flow," com "a maximum of 5 videos, up to 50 MB each." Se o app nunca foi aprovado, "you are required to use a sandbox environment on the Developer Portal to demonstrate the integration."

Quais limites continuam depois da auditoria?

Dois tetos valem tanto para clientes auditados quanto para não auditados, e as diretrizes listam os dois:

• Teto de criadores: "There will be a 24-hour active creator cap for each API client based on the usage estimates provided in the audit application form."
• Teto de postagens: "The upper limit may vary among creators (typically around 15 posts per day/ creator account) and is shared across all API Clients using Direct Post."

O teto de criadores está ligado aos números que você digita no formulário da auditoria, então estimativas baixas voltam como um teto baixo. Quando você o atinge, a chamada de init devolve 403 reached_active_user_cap. O teto de postagens devolve 403 spam_risk_too_many_posts e, como é compartilhado entre todos os apps, um criador que posta por três ferramentas gasta a mesma cota. O FAQ de App Review do TikTok diz que você pode pedir ao Support para aumentar o teto de usuários ativos, mas "your app must be in production to request and increase, and not all requests will be approved."

O limite de requisições por token também continua: "Each user access_token is limited to 6 requests per minute" no endpoint de init.

O endpoint de Upload também precisa da auditoria?

O TikTok não diz. O guia de Upload, que envia um rascunho para a caixa de entrada do criador no TikTok por /v2/post/publish/inbox/video/init/, exige aprovação para o escopo video.upload e não repete a nota sobre visibilidade de clientes não auditados que as páginas de Direct Post trazem. Com Upload, o criador termina o post dentro do próprio editor do TikTok, e a documentação do TikTok diz que os usuários "must click on inbox notifications to continue the editing flow in TikTok and complete the post."

Trate isso como uma lacuna, não como uma isenção. As Content Sharing Guidelines colocam a auditoria sob o título "Direct Post API - Developer Guidelines", e nada na página de Upload diz se o limite de 5 usuários vale ali.

Que outra aprovação o TikTok exige para postar?

Verificação de domínio, se você envia mídia por URL. PULL_FROM_URL falha com 403 url_ownership_unverified, a menos que você tenha verificado o domínio ou o prefixo de URL onde o vídeo está. É uma checagem separada da auditoria, e passar em uma não satisfaz a outra. A nota sobre verificação de domínio do PULL_FROM_URL no TikTok explica como verificar um prefixo. Se você enviar o arquivo diretamente, valem as regras de chunks da nota sobre o limite de tamanho de chunk da API do TikTok.

Perguntas frequentes

Por que meus posts pela API do TikTok aparecem como privados?

O seu cliente de API não passou na auditoria da Content Posting API. O TikTok restringe todo conteúdo de clientes não auditados ao modo de visualização privada, e os posts saem como SELF_ONLY.

Quantos usuários podem postar por um app do TikTok não auditado?

Cinco em uma janela de 24 horas. O TikTok também exige que cada uma dessas contas esteja definida como privada no momento da postagem.

O que significa unaudited_client_can_only_post_to_private_accounts?

A conta do criador no TikTok é pública e o seu app não passou na auditoria. O TikTok bloqueia a requisição em /publish/video/init/ com HTTP 403.

Quanto tempo leva a auditoria da Content Posting API do TikTok?

O TikTok não publica um prazo para a auditoria. O único tempo de revisão publicado é o da revisão de app, que o TikTok diz que "may take several days to two weeks after submission."

Uma ferramenta interna para as minhas próprias contas passa na auditoria do TikTok?

As diretrizes do TikTok listam "A utility tool to help upload contents to the account(s) you or your team manages" como inaceitável. Os apps precisam ser pensados para um público amplo.

Passar na auditoria deixa públicos os meus posts privados anteriores?

Não. O criador precisa mudar a conta para pública e depois alterar a configuração de privacidade de cada post para "Everyone" dentro do TikTok.

A aprovação do video.publish basta para postar em público no TikTok?

Sozinha, não. A revisão do app concede o escopo video.publish e é separada da auditoria da Content Posting API, que remove a restrição de só privado. Um app com o escopo consegue chamar /v2/post/publish/video/init/, mas os posts continuam em SELF_ONLY.

O que acontece quando meu app do TikTok atinge o limite de criadores ativos?

A chamada init retorna 403 reached_active_user_cap. O limite depende das estimativas de uso informadas no formulário de solicitação da auditoria. Dá para pedir ao suporte do TikTok que aumente, mas o app precisa estar em produção e nem todo pedido é aprovado.

O que a tela de postagem precisa mostrar para passar na auditoria do TikTok?

Ela mostra o apelido do criador vindo de creator_info e um menu de privacidade sem valor padrão, preenchido com privacy_level_options. Os botões de Comment, Duet e Stitch começam desmarcados, e a opção de conteúdo comercial começa desligada. O aviso da Music Usage Confirmation do TikTok aparece antes do botão de publicar, e o usuário vê uma prévia.

Preciso verificar um domínio para postar vídeos no TikTok por URL?

Só se você enviar a mídia com PULL_FROM_URL. Sem um domínio ou prefixo de URL verificado, a chamada falha com 403 url_ownership_unverified. Essa checagem é separada da auditoria, e passar em uma não substitui a outra.