Как получить и обновить токен доступа Instagram API

Какой токен Instagram вам нужен?

Типы токенов Instagram и срок их действия

Даже бессрочный токен страницы может быть аннулирован при определённых условиях — типичные причины видны в подкодах ошибки 190 ниже.

Instagram Login: от кода до долгоживущего токена

1. 1

   Отправьте пользователя в окно входа

   Перенаправьте на https://www.instagram.com/oauth/authorize с client_id, redirect_uri, response_type=code, scope через запятую (например, instagram_business_basic,instagram_business_manage_messages) и случайным state.

2. 2

   Получите код

   Instagram вернёт пользователя на redirect_uri с ?code=...; хвост #_ не является частью кода — отрежьте его. Код действует 1 час и используется один раз.

3. 3

   Обменяйте на короткоживущий токен

   Отправьте POST на https://api.instagram.com/oauth/access_token с полями формы client_id, client_secret, grant_type=authorization_code, redirect_uri и code. В ответе — короткий токен, user_id и выданные разрешения.

4. 4

   Получите долгоживущий токен

   GET https://graph.instagram.com/access_token с grant_type=ig_exchange_token, client_secret и access_token. expires_in — около 5 184 000 секунд, то есть 60 дней.

5. 5

   Сохраните вместе со сроком

   Храните токен в зашифрованном виде вместе с expires_at (текущее время + expires_in) — эта дата понадобится задаче обновления.

Тот же поток в Socialift SDK

import os
from socialift import Instagram

async def instagram_callback(code: str, state: str, expected_state: str) -> dict:
    if state != expected_state:
        raise ValueError("state не совпадает")  # защита от CSRF
    async with Instagram.from_env() as ig:
        bundle = await ig.exchange_code(code, redirect_uri=os.environ["IG_REDIRECT_URI"])
        profile = await ig.profile(bundle.access_token)
    return {
        "username": profile.username,
        "token": bundle.access_token,     # зашифруйте перед сохранением
        "expires_at": bundle.expires_at,  # примерно через 60 дней
    }

Как обновить долгоживущий токен Instagram?

Задача автоматического обновления токенов

from datetime import datetime, timedelta, timezone
from socialift import AuthError, Instagram

async def refresh_instagram_tokens(accounts) -> None:
    soon = datetime.now(timezone.utc) + timedelta(days=10)
    async with Instagram.from_env() as ig:
        for acc in accounts:  # записи из вашей базы
            if acc.expires_at > soon:
                continue
            try:
                bundle = await ig.refresh_token(acc.token)
            except AuthError:
                acc.status = "reconnect_required"  # истёк или отозван
                continue
            acc.token, acc.expires_at = bundle.access_token, bundle.expires_at

Facebook Login: user token → токен страницы → ID аккаунта Instagram

1. 1

   Вход через Facebook

   Проведите пользователя через Facebook Login (в Business-приложениях — с ID конфигурации) и запросите instagram_basic, pages_show_list и разрешения нужной функции.

2. 2

   Обменяйте код

   GET /oauth/access_token на graph.facebook.com с client_id, client_secret, redirect_uri и code вернёт короткоживущий пользовательский токен, который истекает через несколько часов.

3. 3

   Получите долгоживущий user token

   Вызовите тот же эндпоинт с grant_type=fb_exchange_token, client_id, client_secret и fb_exchange_token. Такой токен обычно действует около 60 дней.

4. 4

   Страницы и их токены

   GET /me/accounts с долгоживущим токеном вернёт страницы, где у пользователя есть задачи MANAGE, CREATE_CONTENT, MODERATE или ADVERTISE, вместе с access_token. Полученные так токены страниц бессрочные.

5. 5

   Найдите аккаунт Instagram

   GET /{page-id}?fields=instagram_business_account вернёт ID привязанного профессионального аккаунта Instagram. Именно этот ID используется во всех запросах Instagram.

6. 6

   Вызывайте эндпоинты Instagram

   Отправляйте запросы на graph.facebook.com/{version}/<IG_ID>/... с токеном страницы.

Поток Facebook Login в SDK

import os
from socialift import Facebook, Instagram

async def facebook_callback(code: str) -> list[dict]:
    async with Facebook.from_env() as fb:
        user = await fb.exchange_code(code, redirect_uri=os.environ["FB_REDIRECT_URI"])
        print("выдано:", await fb.granted_scopes(user.access_token))
        pages = await fb.pages(user.access_token)

    accounts = [p for p in pages if p.instagram_id]
    async with Instagram.via_facebook(app_secret=os.environ["FACEBOOK_APP_SECRET"]) as ig:
        for page in accounts:
            profile = await ig.profile(page.access_token, ig_user_id=page.instagram_id)
            print(page.name, "->", profile.username)
    return [{"page_id": p.id, "ig_user_id": p.instagram_id, "page_token": p.access_token} for p in accounts]

Как проверить (отладить) токен Instagram?

Ошибка 190 и другие ошибки токена

В Socialift SDK коды 190 и 102 выбрасывают AuthError, коды 10 и 200–299 — PermissionError; в обоих есть code и subcode из ответа Meta.

Как безопасно хранить токены Instagram

В кабинете Socialift OAuth-токены подключённых аккаунтов шифруются на сервере и не передаются в браузер. В своём бэкенде придерживайтесь тех же правил:

• ▸Секрет приложения и все обмены токенов — только на сервере; секрет никогда не попадает в браузер или мобильное приложение.
• ▸Храните токены в базе в зашифрованном виде вместе с expires_at.
• ▸Не пишите токены в логи и трекеры ошибок — только ID аккаунта и fbtrace_id.
• ▸Генерируйте случайный state на каждый вход и сверяйте его в callback — это защита от CSRF.
• ▸Считайте AuthError сменой состояния («нужно переподключить»), а не временной ошибкой для повтора.
• ▸При отключении аккаунта не только удаляйте запись, но и отзывайте разрешения на стороне Meta (для Facebook Login — fb.revoke).