Por que o seu agendador de redes sociais continua desconectando contas

Por que meu agendador de redes sociais continua desconectando?

O seu agendador de redes sociais continua desconectando porque ele posta com tokens OAuth que cada rede expira no próprio ritmo, e várias ações comuns na conta matam esses tokens antes de o prazo acabar. Um agendador nunca guarda a sua senha. Ele guarda um token que a rede emitiu quando você clicou em Permitir. Quando esse token para de funcionar, o agendador não tem mais nada com que postar, e você recebe um pedido para reconectar.

As desconexões vêm de duas fontes. Algumas são do calendário: um token chegou ao fim da vida documentada. Outras são eventos: você mudou uma senha, removeu uma permissão ou perdeu o seu papel em uma Página. O segundo grupo é mais difícil de perceber porque pode acontecer no segundo dia.

Duas formas de um token morrer

O calendário

• O token chegou ao fim da vida documentada
• Token de usuário de longa duração da Meta: cerca de 60 dias
• X sem offline.access: duas horas
• Access token do TikTok: 24 horas

Um evento

• Uma senha foi alterada
• Uma permissão foi removida
• O papel em uma Página foi perdido
• Qualquer um deles pode acontecer no segundo dia

Quanto tempo dura o token de cada rede?

Cada rede publica um número diferente, e uma delas nem publica a validade do refresh.

Rede	Access token	Refresh	Fonte
Facebook	Token de usuário de longa duração "about 60 days", expires_in 5183944	Trocar um token válido com fb_exchange_token	developers.facebook.com, Long-lived access tokens
Facebook Page	"do not have an expiration date"	Não é necessário	Mesma página
Instagram	Tokens renovados "valid for 60 days"	ig_refresh_token, o token precisa ter pelo menos 24 horas	developers.facebook.com, Refresh Access Token
LinkedIn	"all access tokens are issued with a 60-day lifespan"	365 dias, só parceiros MDP aprovados	learn.microsoft.com, Authorization Code Flow and Refresh Tokens
X	"two hours unless you've used the offline.access scope"	Emitido com offline.access, validade não publicada	docs.x.com, OAuth 2.0 Authorization Code Flow with PKCE
TikTok	"valid for 24 hours after initial issuance", expires_in 86400	"valid for 365 days after the initial issuance"	developers.tiktok.com, User Access Token Management

Meta

A Meta faz ressalvas sobre o próprio número. A visão geral de access tokens diz "long-lived tokens last about 60 days" e depois avisa "Do not depend on these lifetimes remaining the same", porque "they may change without warning or expire early." Os SDKs da Meta renovam tokens de longa duração "once per day, when the person using your app makes a request to Facebook's servers" e, sem requisições, "the token will expire after about 60 days." Um agendador do lado do servidor não ganha essa renovação diária de graça. A chamada de troca, os 56 segundos que o exemplo da Meta tira dos 60 dias e o token de Página que não expira estão na nota sobre o long lived access token do Facebook.

LinkedIn

O LinkedIn tem o número mais limpo e a barreira mais rígida. Access tokens duram 60 dias e refresh tokens duram 365 dias, mas o LinkedIn escreve que "supports programmatic refresh tokens for all approved Marketing Developer Platform (MDP) partners." Renovar também não estende o ano. A vida do refresh token "remains the same as specified in the initial OAuth flow (365 days)." Uma vez por ano o membro precisa clicar em Permitir de novo, aconteça o que acontecer. A conta dia a dia, e uma divergência de unidades na própria resposta de exemplo do LinkedIn, estão na nota sobre por que um access token do LinkedIn expira depois de 60 dias.

X

O X tem o access token mais curto dos quatro e a menor quantidade de informação sobre renovação. A página de OAuth 2.0 diz "the access token you create through the Authorization Code Flow with PKCE will only stay valid for two hours unless you've used the offline.access scope." Com esse escopo, o X emite um refresh token. Sem ele, "we will not generate a refresh token", e um agendador perderia o acesso duas horas depois de você conectar.

O X não publica quanto tempo dura o próprio refresh token. A lista de escopos descreve offline.access como "Stay connected to your account until you revoke access", o que é uma promessa sobre revogação, não um número. Se uma ferramenta diz que tokens do X duram um número específico de dias, esse número não veio dessa página.

TikTok

O TikTok combina um access token de um dia com um refresh token de um ano. O access token é "valid for 24 hours after initial issuance", e o TikTok diz que ele "can be refreshed without user consent", então um agendador roda uma tarefa em segundo plano para renová-lo todo dia. O refresh token dura "365 days after the initial issuance", e o FAQ de App Review repete o teto: "User Access Tokens can be extended to a maximum of one year."

O TikTok acrescenta uma regra que quebra integrações descuidadas. Na renovação, "The returned refresh_token may be different than the one passed in the payload. You must use the newly-returned token if the value is different than the previous one." O TikTok não diz o que acontece com o valor antigo depois disso, então um agendador que ignora o novo está contando com um comportamento que o TikTok nunca documentou.

Por que minha conta desconectou depois que mudei a senha?

Porque a Meta mata a sessão. A tabela de erros da Graph API da Meta tem um subcódigo dedicado, 460 "Password Changed", e a correção listada é que a pessoa "must log in to the app again." A documentação de sessões da Meta cita o mesmo gatilho quando descreve alguém que "reports their account as hacked, or changes their password as a precaution."

As outras três redes não mencionam troca de senha nas páginas de OAuth citadas aqui. LinkedIn, X e TikTok documentam expiração e revogação, mas nenhuma dessas páginas diz o que uma troca de senha faz com um token existente.

Por que desconectou depois que mudei as permissões do app?

Remover uma permissão encerra o acesso que ela concedia e, no LinkedIn, adicionar uma pode encerrar tudo.

• A Meta devolve o código 10 ou 200-299 com a nota "Permission is either not granted or has been removed."
• O LinkedIn escreve: "If you request a different scope than the previously granted scope, all the previous access tokens are invalidated." Um agendador que adiciona uma nova permissão do LinkedIn em uma atualização desconecta todas as contas do LinkedIn que tem.
• O TikTok deixa as pessoas aprovarem parte de um pedido: "Users have the rights to only agree to a subset of scopes you requested from them." Um token sem video.publish falha com 401 scope_not_authorized.
• Desconectar o app você mesmo encerra a autorização nas quatro. A Meta diz que as pessoas "can also choose to disconnect your app from their Facebook account." O LinkedIn descreve uma permissão "manually revoked by the member." O offline.access do X dura "until you revoke access." O endpoint de revogação do TikTok, POST https://open.tiktokapis.com/v2/oauth/revoke/, remove o app da página "Manage app permissions" do usuário.

Por que minha Página do Facebook desconectou se outra pessoa ainda tem acesso?

Porque tokens de Página pertencem a uma pessoa, não à Página. A Meta diz "Page access tokens are unique to each Page, admin, and app combination", e gerar um exige que "The person requesting the token must have a role on the Page." Se a pessoa que conectou a Página perde esse papel, o token morre junto. O erro da Meta para isso é o subcódigo 492 "Invalid Session": "User associated with the Page access token does not have an appropriate role on the Page."

O LinkedIn funciona do mesmo jeito para páginas de empresa. A permissão w_organization_social é "Restricted to organizations where the authenticated member has one of the following company page roles: ADMINISTRATOR, DIRECT_SPONSORED_CONTENT_POSTER, CONTENT_ADMIN." Tire o membro desses papéis e os posts na página param, mesmo que o token do próprio membro continue válido.

A correção nos dois casos é reconectar a partir de uma conta que tenha o papel hoje, não reconectar a mesma pessoa de novo.

Como saber qual causa desconectou uma conta?

Leia o erro, não o sintoma. Os subcódigos da Meta separam a maioria das causas, embora 463 e 467 se sobreponham:

Subcódigo da Meta	Nome	Causa
458	App Not Installed	O usuário não fez login no app
460	Password Changed	Senha redefinida
463	Expired	Status de login ou token expirado, revogado ou inválido por outro motivo
467	Invalid Access Token	Expirado, revogado ou inválido por outro motivo
492	Invalid Session	Papel na Página perdido

O TikTok devolve 401 access_token_invalid para "invalid or has expired" e 401 scope_not_authorized para um escopo ausente. O endpoint de refresh do LinkedIn devolve 400 invalid_request com "The provided authorization grant or refresh token is invalid, expired or revoked." Se o seu agendador mostra o erro bruto, compare-o com essas listas antes de reconectar. Um erro de papel na Página corrigido reconectando a pessoa errada volta na hora.

Posts que falham por motivos que não são tokens estão nas notas sobre posts agendados no Facebook que não funcionam e posts agendados no LinkedIn que não funcionam.

Perguntas frequentes

Por que meu agendador pede para reconectar o Facebook mais ou menos a cada dois meses?

O token de usuário de longa duração da Meta dura "about 60 days", e a Meta diz que um token expirado não pode ser trocado por um novo. A pessoa precisa fazer login de novo.

Por que o LinkedIn desconecta mesmo quando o agendador renova os tokens?

O refresh token do LinkedIn dura 365 dias a partir da primeira autorização e não reinicia quando é usado. Refresh tokens também são limitados a parceiros aprovados da Marketing Developer Platform.

Quanto tempo dura um refresh token do X?

O X não publica uma validade para ele. A página de OAuth 2.0 documenta só o access token de duas horas e diz que um refresh token é emitido quando você pede offline.access.

Por que o TikTok desconectou um dia depois de conectar?

O access token do TikTok dura 24 horas, então o agendador precisa renová-lo com o refresh token todo dia. Se essa tarefa de renovação não rodou, o agendador fica sem um access token válido assim que as 24 horas passam. O TikTok também diz para usar o novo refresh_token sempre que a chamada de renovação devolver um diferente, mas não documenta o que acontece com o valor antigo.

Mudar a senha do Facebook desconecta meu agendador?

Sim. A tabela de erros da Meta lista o subcódigo 460 "Password Changed", e a pessoa precisa fazer login no app de novo.

Por que uma Página do Facebook desconectou depois de uma mudança na equipe?

O token da Página estava ligado a uma pessoa que não tem mais papel na Página. A Meta devolve o subcódigo 492, e alguém com um papel atual na Página precisa reconectá-la.

Os tokens de Página do Facebook expiram?

A Meta diz que tokens de Página "não têm data de expiração", então não seguem o relógio de 60 dias. Ainda assim, podem morrer antes. Tokens de Página "são únicos para cada combinação de Página, administrador e app", então perder o papel na Página encerra o token, com o subcódigo 492.

Por que todas as contas do LinkedIn desconectaram depois de uma atualização do agendador?

O LinkedIn escreve: "Se você solicitar um escopo diferente do concedido antes, todos os access tokens anteriores são invalidados." Se um agendador adiciona uma nova permissão do LinkedIn em uma atualização, ele desconecta todas as contas do LinkedIn que gerencia. Depois, cada conta precisa ser reconectada.

O que significa o erro scope_not_authorized do TikTok?

O token não tem uma permissão de que a chamada precisa. O TikTok escreve que "os usuários têm o direito de aceitar apenas um subconjunto dos escopos solicitados", então uma pessoa pode aprovar menos do que o agendador pediu. Um token sem video.publish falha com 401 scope_not_authorized.

Qual é a diferença entre os subcódigos 463 e 467 da Meta?

Muito pouca, pela própria tabela da Meta. O subcódigo 463 "Expired" cobre um status de login ou access token que "has expired, been revoked, or is otherwise invalid." O subcódigo 467 "Invalid Access Token" usa as mesmas palavras só para o access token. Nenhum dos dois códigos diz se foi o calendário ou um evento que encerrou o token, então confira se houve uma mudança recente de senha, permissão ou papel antes de concluir que o token chegou ao fim da validade.