Как безопасно хранить и обновлять OAuth-токены соцсетей

Где и как хранить OAuth-токены?

Сколько живёт access token: таблица по платформам

По официальной документации на 2026-09-17. Всегда считайте срок из expires_in в ответе — не зашивайте цифры из таблицы в код.

естьнетТаблицу можно прокрутить вбок

Стратегия refresh: когда и как обновлять токены

1. 1

   Храните срок

   При каждом обновлении записывайте expires_at и (если есть) refresh_expires_at. Они уже есть в TokenBundle.

2. 2

   Планируйте по окну

   Например, раз в час: TikTok — осталось меньше 4 часов, Instagram Login — меньше 10 дней (токен не моложе 24 часов), LinkedIn с refresh token — меньше 7 дней.

3. 3

   Один токен — один обновляющий

   Ставьте блокировку на строку. В TikTok и amoCRM refresh token меняется: если два воркера обновят параллельно, второй получит ошибку со старым токеном.

4. 4

   Пишите атомарно

   Новые access и refresh сохраняйте в одной транзакции. Если запись упала, новый refresh token потерян, и аккаунт отключится.

5. 5

   Разделяйте ошибки

   AuthError — ставьте статус reauth_required и отправляйте пользователю ссылку на переподключение. RateLimitError или TransportError — повторите позже.

6. 6

   Где нет refresh — предупреждайте заранее

   Для токена пользователя Facebook или LinkedIn без refresh напоминайте о переподключении за 7–14 дней до истечения.

Воркер обновления (Socialift SDK)

На провайдера достаточно одного клиента: токен передаётся аргументом в каждый метод и в клиенте не хранится.

from socialift import ApiError, AuthError, Instagram, LinkedIn, RateLimitError, TikTok

async def refresh_row(row, tt: TikTok, ig: Instagram, li: LinkedIn) -> None:
    try:
        if row.provider == "tiktok":
            bundle = await tt.refresh_token(decrypt(row.refresh_token_enc))
        elif row.provider == "instagram":
            bundle = await ig.refresh_token(decrypt(row.access_token_enc))
        else:
            bundle = await li.refresh(decrypt(row.refresh_token_enc))
    except RateLimitError:
        raise  # повторить позже
    except ApiError as exc:
        if not isinstance(exc, AuthError) and exc.status != 400:
            raise
        await db.set_status(row.id, "reauth_required")
        return
    await db.save_bundle(  # одна транзакция
        row.id,
        access_token_enc=encrypt(bundle.access_token),
        refresh_token_enc=encrypt(bundle.refresh_token) if bundle.refresh_token else None,
        expires_at=bundle.expires_at,
    )

Шифрование токенов: Fernet и ротация ключей

cryptography — собственная зависимость SDK. Fernet даёт аутентифицированное шифрование (AES-128-CBC + HMAC-SHA256), MultiFernet позволяет менять ключи.

import os
from cryptography.fernet import Fernet, MultiFernet

# TOKEN_KEYS="новый_ключ,старый_ключ" — шифруем первым
_keys = MultiFernet([Fernet(k) for k in os.environ["TOKEN_KEYS"].split(",")])

def encrypt(token: str) -> bytes:
    return _keys.encrypt(token.encode())

def decrypt(blob: bytes) -> str:
    return _keys.decrypt(blob).decode()

def reencrypt(blob: bytes) -> bytes:
    """Фоновая миграция после смены ключа: перешифровывает запись новым ключом."""
    return _keys.rotate(blob)

Как спроектировать таблицу токенов для multi-tenant?

App secret, client secret и ключи шифрования в эту таблицу не пишутся — они живут в secret manager или переменных окружения.

Что такое appsecret_proof и зачем он нужен?

Как понять, что доступ отозван?

Минимальные разрешения и управление секретами

• ▸Запрашивайте только нужные функции scope — App Review и аудит проверяют то же самое.
• ▸Пользователь может отклонить часть разрешений — сохраняйте фактически выданные: fb.granted_scopes(token), в LinkedIn li.introspect(token).
• ▸Отдельные приложения и ключи для каждой среды (dev, staging, prod); продовые токены не должны попадать в dev-базу.
• ▸Заранее продумайте смену app secret: от него зависят appsecret_proof и проверка подписи вебхуков — обновляйте все сервисы одновременно.
• ▸Не пишите токены в логи, Sentry и аналитику; маскируйте их и в текстах ошибок.
• ▸Строку сеанса Telegram-аккаунта (export_session()) шифруйте так же, как токены.
• ▸Меняйте ключ шифрования минимум раз в год и при уходе сотрудника (MultiFernet или KMS).
• ▸Показывайте в кабинете аккаунты, которым нужно переподключение — тихий обрыв обходится дороже всего.