Token de acesso da API do Instagram

A Meta emite primeiro um token de curta duração ao final da autorização OAuth. Esse token pode ser trocado — em uma chamada server-side que exige o segredo do seu app — por um token de longa duração, que é o que uma integração de produção efetivamente usa para publicar de forma contínua.

Essa troca é intencionalmente feita no servidor: a documentação da Meta é explícita em dizer que a requisição de troca inclui o segredo do app e por isso nunca deve rodar em código de cliente (browser ou binário de app que possa ser decompilado).

Segundo a documentação oficial da Instagram Platform, um token de longa duração é válido por 60 dias a partir da emissão (ou da última renovação). Ele pode ser renovado enquanto tiver pelo menos 24 horas desde a última emissão e ainda não tiver expirado; se passar dos 60 dias sem renovação, o token expira de vez e não pode mais ser renovado — nesse ponto, a única saída é o cliente autorizar a conexão de novo.

Vale registrar que esse número (60 dias) é o que a documentação da Meta descreve hoje para o token de usuário do Instagram; políticas de expiração de plataforma podem mudar, então trate o valor exato como algo a confirmar direto na documentação da Meta antes de codificar uma regra rígida em cima dele.

Ao conectar uma conta pela URL de conexão hospedada do PostGate, a página hospedada coleta e guarda esse token por você — o seu produto nunca precisa manipular o segredo do app nem armazenar o token bruto. O endpoint de saúde do perfil expõe o que importa operacionalmente: status da conexão, escopos concedidos, expiração do token e a flag reconnect_required.

Um token inválido ou expirado costuma aparecer como um erro de autenticação na resposta da própria Meta — algo que nenhuma nova tentativa de requisição resolve, porque o problema é a credencial, não a chamada. O guia de erros abaixo detalha os códigos mais comuns dessa categoria.