Blog
Los tokens de Facebook no caducan solos: por qué dejan de publicarse tus posts
Es la avería más repetida de cualquier herramienta que publique en redes por API, y casi siempre se diagnostica mal. El token de página no ha expirado: lo ha invalidado alguien, casi siempre sin querer.
La creencia: sesenta días y a reconectar
La cifra de los 60 días es real, pero es de otro token. Cuando alguien autoriza una aplicación en Facebook, Meta entrega primero un token de usuario de corta duración que vive un par de horas. La aplicación lo cambia enseguida por uno de larga duración, y ese sí caduca a los 60 días.
Solo que ese no es el token con el que se publica. Es el que sirve para preguntar "¿qué páginas administra esta persona?" y para pedir, por cada una, su propio token de página. Es ese segundo token el que se guarda y el que firma cada publicación.
Y los tokens de página derivados de un token de usuario de larga duración no tienen fecha de caducidad. Ninguna. Meta lo documenta, aunque sea lo primero que se olvida cuando algo falla.
Entonces, ¿por qué se cae un canal?
Porque el token no muere de viejo: lo matan. Y la lista de formas de matarlo es corta, cotidiana, y ninguna tiene pinta de problema técnico en el momento en que ocurre.
- Alguien cambió la contraseña de Facebook
- Meta invalida todas las sesiones y todos los tokens emitidos para esa cuenta. Es la causa número uno y la más difícil de relacionar con el síntoma: quien cambió la contraseña rara vez es quien se entera de que los posts no salen.
- Se retiró la aplicación desde Configuración
- En "Aplicaciones y sitios web" de Facebook, o en las integraciones empresariales del Business Manager. Suele pasar en una limpieza de buena fe: se retiran aplicaciones que ya no se usan y de paso cae la que publica.
- Quien conectó perdió su rol en la página
- El token de página vale mientras quien lo pidió siga administrando esa página. Si esa persona se va de la empresa y se le retiran los accesos, los canales que conectó se van con ella.
- La página cambió de Business Manager
- Mover un activo entre cuentas empresariales rehace los permisos. Por dentro es como si la página fuera otra distinta.
- Meta detectó algo raro
- Un inicio de sesión desde un país nuevo, una verificación en dos pasos que se activa o se desactiva, una alerta de seguridad. Ante la duda, Meta invalida y ya volverá a autorizar quien tenga que hacerlo.
El problema no es la avería, es cuándo te enteras
Un token invalidado no avisa. No hay ningún evento, ningún correo, ninguna señal el día en que ocurre. La primera noticia llega cuando la herramienta intenta publicar y Meta contesta algo parecido a "Error validating access token: the session has been invalidated".
Es decir: te enteras a la hora exacta a la que tenía que salir el post, que es exactamente el peor momento. Y si el canal era el de un cliente, te enteras después que él.
Por eso conviene mirarlo al revés. Reconectar un canal cuesta treinta segundos y no tiene ninguna dificultad. Lo caro es el rato que pasa entre que el token muere y alguien se da cuenta. Una herramienta que avisa en cuanto una publicación falla, y que deja el canal marcado en la lista, convierte un problema de tres días en uno de tres minutos.
Y los demás canales no funcionan igual
Aquí es donde la intuición engaña más, porque cada plataforma tiene su propio régimen y casi ninguno se parece al de Facebook. Esto es lo que hay detrás de cada uno:
- Instagram, si va enganchado a Facebook
- Se comporta igual que Facebook, porque es el mismo token de página. Muere por las mismas cinco razones y por ninguna otra.
- Instagram con su propio inicio de sesión
- Este sí caduca: 60 días. La aplicación tiene que renovarlo antes de que se cumplan, y solo puede hacerlo si el token tiene ya más de 24 horas de vida. Si nadie lo renueva dentro de esa ventana no hay recuperación posible: toca volver a autorizar.
- LinkedIn, perfil personal
- El caso más incómodo. Con los permisos de autoservicio, LinkedIn no entrega token de refresco: el token vive 60 días y se acabó. No hay forma de renovarlo por programa, ni buena ni mala. Toca reconectar a mano cada dos meses, y quien diga lo contrario no lo ha comprobado.
- LinkedIn, páginas de empresa
- Con la API de gestión de comunidad aprobada sí hay token de refresco y la renovación es automática. Es el mismo LinkedIn con dos comportamientos distintos según con qué aplicación te hayas conectado.
- TikTok
- El token dura menos de un día y se renueva a diario, así que mientras el mecanismo funcione ni te enteras. El riesgo es el contrario: cuando la renovación falla varias veces seguidas, muchas implementaciones dejan de intentarlo y el canal queda muerto en silencio, esperando que alguien lo reconecte.
- YouTube y el resto de Google
- El token de refresco no caduca... si la aplicación está publicada. Mientras siga en modo de pruebas, Google lo invalida a los siete días. Es la causa de la mitad de los "funcionaba y de pronto dejó de funcionar" en integraciones de Google.
Qué hacer para que no te pille
No hay ningún truco técnico que evite esto, porque no es un fallo: es cómo funciona la seguridad de las plataformas, y está bien que funcione así. Lo que sí se puede es dejar de tropezar en lo evitable.
Conecta los canales con una cuenta que administre las páginas de verdad y que no vaya a desaparecer con la próxima baja. Avisa a quien lleve la seguridad de que cambiar la contraseña de esa cuenta va a tumbar la programación, para que al menos sea una decisión y no una sorpresa. Y no retires aplicaciones "que no suenan" en las limpiezas del Business Manager sin mirar antes qué hacen.
Lo demás es cuestión de instrumentación: que el fallo se vea en cuanto ocurre, en la lista de canales, sin tener que abrir cada red para comprobarlo. Que es justo lo que un calendario compartido hace bien y una hoja de cálculo no puede hacer.
Preguntas
¿Puedo saber cuándo caduca el token de un canal antes de que falle?
En los canales que caducan de verdad (Instagram con inicio de sesión propio, LinkedIn personal) sí: la fecha se conoce al conectar y se puede avisar con antelación. En Facebook e Instagram enganchado a Facebook no, porque no hay fecha: el token es válido hasta que alguien lo invalida, y eso no se puede prever.
¿Reconectar un canal borra las publicaciones que ya tenía programadas?
No debería. Reconectar renueva la autorización de un canal que ya existe, no crea uno nuevo, así que el calendario se mantiene intacto. Lo que sí conviene mirar es si alguna publicación se quedó por el camino mientras el canal estuvo caído, porque esas hay que reprogramarlas a mano.
¿Es más seguro conectar cada red con una cuenta distinta?
Es más resistente, que no es lo mismo. Si todos los canales cuelgan de la misma autorización, revocarla los tumba todos a la vez. Repartir limita el daño, pero multiplica las cuentas que hay que mantener vivas. Para una agencia lo razonable es una cuenta de trabajo dedicada por cliente o por marca, nunca la cuenta personal de quien lleve las redes ese mes.
