Conectar redes sociais

A conexão é por OAuth: você entra na tela da própria plataforma e ela devolve um token pra cá. Sua senha nunca passa pelo Piloto. O botão fica desativado quando o administrador ainda não cadastrou as credenciais daquele app social — não é uma falsa tentativa de conexão que termina em erro.

Instagram direto e Instagram via Facebook

Precisa ser uma conta profissional (comercial ou de criador). Conta pessoal não tem a API de publicação. O modo direto usa o login do Instagram; o outro encontra a conta profissional vinculada a uma Página administrada pelo login do Facebook.

Conectar faz duas coisas: guarda o token cifrado e assina o webhook daquela conta. A segunda é a que ninguém vê e a que mais quebra.

O aviso "webhook não assinado"

Se a assinatura por conta falhar, a conta conecta, aparece na lista e publica normalmente — só não recebe evento nenhum. Nada de comentário, nada de DM, sem mensagem de erro em lugar nenhum.

Por isso a tela de Contas mostra isso escrito, com um botão de Tentar assinar de novo. Se você ligou uma automação e ela não dispara, é o primeiro lugar pra olhar.

Facebook Pages

O login encontra as Páginas que você administra e, quando houver, a conta profissional do Instagram vinculada. Publicação, comentários e Messenger dependem das permissões que a Meta concedeu ao aplicativo.

TikTok e TikTok Business

São conexões diferentes, com aplicativos e permissões próprios. O TikTok comum publica vídeo, fotos ou envia rascunho; enquanto o app não passar pela auditoria, a publicação direta fica restrita a conta privada. Métricas pedem video.list; conta conectada antes dele entrar precisa reconectar uma vez. O TikTok Business também pode levar comentários para a Caixa quando o aplicativo recebe as permissões de comentário.

YouTube

O conector pede somente openid e youtube.force-ssl. O openid serve apenas para gerar um HMAC do sub da Conta Google e reconhecer canais da mesma autorização na hora de revogar; o youtube.force-ssl cobre publicação, playlists, métricas e comentários. Antes de agendar, você confirma que possui os direitos do vídeo e que ele segue as Diretrizes da Comunidade. Enquanto o projeto não concluir a auditoria do Google, o YouTube força todo upload feito pelo Piloto a ficar privado.

X, LinkedIn, Pinterest, Threads e Kwai

X, LinkedIn, Pinterest e Threads usam OAuth, token cifrado e as funções que o aplicativo aprovado de cada rede liberar. A tela de Contas informa se a Caixa recebe comentários, DMs ou nenhuma interação naquela modalidade. Kwai ainda está em homologação e permanece indisponível no beta.

Token vencido

Quando a rede fornece um token de renovação, o sistema tenta renovar a conexão antes do vencimento. Quando não fornece ou a autorização foi revogada, a conta pede reconexão e os posts agendados pra ela param — os das outras contas continuam saindo normalmente.