Как получить токен доступа страницы Facebook

Коротко: как получить Page access token

Типы токенов Meta и срок их жизни

Какой токен от чьего имени работает и сколько живёт — по документации Meta.

Meta предупреждает: сроки могут измениться без уведомления, а токен — истечь раньше. Полагайтесь на ошибку API, а не на дату.

Как получить бессрочный токен страницы: 5 шагов

1. 1

   Настройте приложение

   Добавьте Facebook Login в Meta App Dashboard и точно укажите redirect URI. В приложении типа Business (Facebook Login for Business) разрешения выбираются в конфигурации, а в ссылку входа передаётся config_id вместо scope.

2. 2

   Отправьте пользователя на вход

   Добавьте в ссылку случайный state (защита от CSRF) и сохраните его в сессии. Минимум — pages_show_list, остальное по задаче (для публикации — pages_manage_posts и т. д.).

3. 3

   Обменяйте code на сервере

   В callback сверьте state, обменяйте code на короткоживущий токен, затем через fb_exchange_token — на долгоживущий. App secret живёт только на сервере — Meta и сама требует генерировать токен на серверной стороне.

4. 4

   Получите токены страниц

   Запросите GET /me/accounts долгоживущим токеном. Для каждой страницы придут id, name, access_token и задачи (tasks), доступные пользователю.

5. 5

   Проверьте и сохраните в зашифрованном виде

   В Access Token Debugger или через debug_token посмотрите expires_at, data_access_expires_at и scopes. Храните токен зашифрованным, не отдавайте во фронтенд и не пишите в логи.

На Python: от входа до токена страницы

В SDK Socialift весь поток — четыре метода: login_url, exchange_code, granted_scopes, pages.

import secrets
from socialift import Facebook

REDIRECT = "https://example.com/facebook/callback"
SCOPES = ["pages_show_list", "pages_read_engagement", "pages_manage_posts"]

def login_link(fb: Facebook) -> tuple[str, str]:
    state = secrets.token_urlsafe(32)  # сохраните в сессии
    return fb.login_url(redirect_uri=REDIRECT, state=state, scopes=SCOPES), state

async def on_callback(code: str) -> None:
    async with Facebook.from_env() as fb:
        user = await fb.exchange_code(code, redirect_uri=REDIRECT)  # ~60 дней
        granted = await fb.granted_scopes(user.access_token)
        missing = set(SCOPES) - set(granted)
        if missing:
            raise RuntimeError(f"Отклонённые разрешения: {missing}")
        for page in await fb.pages(user.access_token):
            save_page(page.id, page.name, page.access_token)  # зашифровать

Какие разрешения нужны для работы со страницей

Зависимости из Permissions Reference: запрашивая разрешение, запрашивайте и его зависимости.

естьнет

Со Standard Access эти разрешения могут выдать только люди с ролью в приложении. Для чужих страниц нужен Advanced Access — через App Review и Business Verification.

Разрешения есть, а пост не публикуется: задачи на странице

Почему токен страницы перестаёт работать

Graph API различает проблемы с токеном по error_subcode. Самые частые:

Основной код обычно 190. В SDK Socialift код 190 превращается в AuthError — ловите его и переводите аккаунт в состояние «нужно переподключить».

Истечение доступа к данным (90 дней) — отдельный механизм

Токен system user: серверная интеграция без человека

Отключение: как правильно отозвать токен

Удалить токен из базы недостаточно — разрешение останется на стороне Facebook.

from socialift import AuthError, Facebook

async def disconnect(user_token: str, account_id: int) -> None:
    async with Facebook.from_env() as fb:
        print("Выданные разрешения:", await fb.granted_scopes(user_token))
        try:
            await fb.revoke(user_token)  # DELETE /me/permissions
        except AuthError:
            pass  # токен уже недействителен — связи на стороне Meta нет
    delete_tokens(account_id)  # удалите пользовательский и Page-токены

Чек-лист для продакшена

• ▸Получайте токен страницы только из долгоживущего пользовательского токена.
• ▸Проверяйте granted_scopes и показывайте отклонённые разрешения в интерфейсе.
• ▸Храните токены зашифрованными; не отдавайте во фронтенд, логи и отчёты об ошибках.
• ▸К каждому запросу добавляется appsecret_proof (SDK делает это автоматически).
• ▸При ошибке 190 переводите аккаунт в «нужно переподключить» и уведомляйте владельца.
• ▸При отключении вызывайте revoke и удаляйте токены из базы.