WhatsApp API Key (Token) erhalten: Schritt für Schritt

Viele Unternehmerinnen und Unternehmer, die nach „WhatsApp API Key“ suchen, verlieren sich in den Entwicklerseiten, auf die sie stoßen. Die kurze Antwort: Bei der WhatsApp Cloud API gibt es keinen „API Key“ im klassischen Sinn. Stattdessen verwenden Sie einen Zugriffsschlüssel (Access Token), den Meta ausgibt. Im Folgenden erklären wir, was dieser Schlüssel ist, welche Arten es gibt und wie Sie den dauerhaften bekommen, ohne uns in Fachjargon zu verlieren.

Sind WhatsApp API Key und Zugriffsschlüssel (Token) dasselbe?

In der Praxis ja. Die einen sagen „API Key“, die Dokumentation von Meta sagt „Access Token“. Beide erfüllen dieselbe Aufgabe: Sie lassen Ihre Software gegenüber Meta sagen: „Ich bin berechtigt, im Namen dieses WhatsApp-Kontos Nachrichten zu senden.“

Ein Token ist eine lange, zufällig wirkende Zeichenfolge. Ihre Software hängt sie an jede Anfrage an WhatsApp an, und Meta erkennt daran, von wem die Anfrage kommt und auf welches Konto sie zugreifen darf. Stellen Sie sich eine Schlüsselkarte vor. Wer die Karte trägt, dem öffnet sich die Tür.

Wenn Sie wissen möchten, was die WhatsApp Business API ist und wie sie sich von der App unterscheidet, lesen Sie zuerst unseren Beitrag Was ist die WhatsApp Business API.

Welche Token-Arten gibt es, und welche sollten Sie nutzen?

Im Leitfaden von Meta zu Zugriffsschlüsseln treten für WhatsApp drei Arten hervor. Welche Sie verwenden, hängt davon ab, ob Sie die API für Ihr eigenes Geschäft oder im Namen anderer Unternehmen anbinden.

Kurz gesagt: Wollen Sie Ihre eigene Software mit WhatsApp verbinden, brauchen Sie den Token des Systemnutzers. Das ist auch der, den man umgangssprachlich „dauerhaften Token“ nennt.

Warum reicht der temporäre Token nicht?

Jedes Mal, wenn Sie im Meta-Entwicklerpanel den WhatsApp-Einrichtungsbildschirm öffnen, erhalten Sie einen neuen temporären Token. Für eine Testnachricht ist er genau richtig. Aber auch die Dokumentation von Meta sagt klar, dass dieser Schlüssel schnell abläuft und für die Entwicklung nicht geeignet ist.

Was passiert, wenn Sie ihn im Live-System verwenden? Eines Morgens stehen Ihre Bestellbenachrichtigungen still und ohne Meldung. Denn der Token ist abgelaufen, und die Software ist nicht mehr berechtigt. Dieses Szenario sehen wir oft.

Wie bekommen Sie den dauerhaften Token Schritt für Schritt?

Die folgenden Schritte beruhen auf den Dokumenten von Meta zum Einstieg in die WhatsApp Cloud API und zu Zugriffsschlüsseln. Die Bildschirmnamen haben wir mit den englischen Bezeichnungen geschrieben, die Meta verwendet; in einer deutschen Oberfläche können sie anders aussehen.

Was Sie vor dem Start bereithaben sollten

• Ihr Meta-Unternehmensportfolio (Business-Manager-Konto). Den Verifizierungsprozess haben wir im Beitrag Meta-Unternehmensverifizierung erklärt.
• Ein Meta-Entwicklerkonto und eine App, der der WhatsApp-Anwendungsfall hinzugefügt wurde.
• Ein WhatsApp-Konto und eine Telefonnummer, die mit diesem Portfolio verbunden sind.
• Ein Nutzer mit Administratorrechten im Portfolio. Die Einstellungen für Systemnutzer werden mit dieser Berechtigung zugänglich.

Die Schritte

1. Systemnutzer anlegen. Gehen Sie in der Meta Business Suite in den Bereich Business settings und klicken Sie im Seitenmenü auf System users. Legen Sie mit der Schaltfläche Add einen neuen Nutzer an, vergeben Sie einen Namen und wählen Sie die Rolle: Admin oder Employee.
2. App zuweisen. Wählen Sie den angelegten Nutzer aus und klicken Sie auf Assign assets. Wählen Sie Ihre App und schalten Sie unter Full control die Berechtigung Manage app ein.
3. WhatsApp-Konto zuweisen. Weisen Sie auf demselben Bildschirm diesem Nutzer auch Ihr WhatsApp-Konto zu.
4. Token erzeugen. Klicken Sie auf Generate token. Wählen Sie im Fenster, das sich öffnet, Ihre App und legen Sie die Laufzeit des Tokens fest.
5. Berechtigungen hinzufügen. Meta verlangt diese drei Berechtigungen: business_management, whatsapp_business_management und whatsapp_business_messaging. Geben Sie „business“ in das Suchfeld ein, dann finden Sie sie schnell.
6. Kopieren und aufbewahren. Sobald der Token auf dem Bildschirm erscheint, kopieren Sie ihn sofort und speichern ihn an einem sicheren Ort.

Wenn Sie prüfen möchten, ob der Token mit den richtigen Berechtigungen erzeugt wurde, können Sie ihn in das Werkzeug Access Token Debugger von Meta einfügen. Das Werkzeug zeigt die Art des Tokens, zu welcher App er gehört, seine Berechtigungen und seinen Ablaufstatus.

Läuft der dauerhafte Token wirklich nie ab?

Nicht ganz. Der Token eines Systemnutzers lässt sich so erzeugen, dass er nicht zeitlich abläuft, aber Meta weist darauf hin, dass diese Schlüssel aus anderen Gründen ungültig werden können. Wählen Sie bei der Erzeugung eine bestimmte Dauer (zum Beispiel 60 Tage), müssen Sie ihn nach Ablauf erneuern.

Was ist besser? Ein unbefristeter Token ist praktisch, es gibt kein Risiko, die Erneuerung zu vergessen. Ein befristeter Token begrenzt dagegen den Schaden, wenn er durchsickert. Kann Ihr Softwareteam die Erneuerung automatisieren, ist die befristete Option die vorsichtigere Wahl.

Wie halten Sie den Token sicher?

Meta ist bei diesen Schlüsseln deutlich: Behandeln Sie sie wie Ihr Passwort. Wer den Token hat, kann von Ihrer Nummer Nachrichten senden und Ihre Vorlagen verwalten. Deshalb empfehlen wir diese Regeln:

• Legen Sie ihn nicht in den Code Ihrer Website. Ein Token in Code, der im Browser läuft, liegt dort, wo ihn alle sehen können. Der Token sollte nur serverseitig bleiben.
• Teilen Sie ihn nicht per E-Mail oder Nachricht. Müssen Sie ihn an eine Agentur oder einen Entwickler weitergeben, nutzen Sie einen sicheren Weg wie einen Passwortmanager.
• Vergeben Sie nicht mehr Rechte als nötig. Greift Ihre App auf wenige Konten zu, kann die Rolle Employee statt Admin genügen.
• Laden Sie ihn nicht in ein Code-Repository. Schreiben Sie den Token nicht in den Code, sondern halten Sie ihn in den geheimen Einstellungen auf dem Server.
• Warten Sie nicht, wenn Sie ein Leck vermuten. Erzeugen Sie einen neuen Token, aktualisieren Sie Ihre Software und widerrufen Sie den alten.

Muss sich ein Unternehmen, das ein Panel nutzt, mit Tokens befassen?

Nein. All diese Schritte gelten für Unternehmen, die ihre eigene Software direkt mit WhatsApp verbinden. Arbeiten Sie über ein fertiges Panel, erzeugen, kopieren und speichern Sie keinen Token.

Chatopya ist ein von Meta zugelassener Tech Provider. Bei der Einrichtung der WhatsApp Business API führen wir die Meta-Unternehmensverifizierung und den Antrag im Namen des Unternehmens durch. Die Einrichtung des Panels dauert etwa 5 Minuten; wurde die Nummer zuvor noch nie bei Meta registriert, kommt die eigene Prüfzeit von Meta dazu. Danach verwalten Sie Nachrichten, Vorlagen und Ihr Team direkt im Panel.

Und wenn Sie Ihr eigenes ERP oder eine Individualsoftware anbinden möchten? In Chatopya werden API-Zugang und ERP-/individuelle Integration im Paket Enterprise angeboten. Die Pakete sehen Sie auf der Seite Preise.

Welche Fehler passieren am häufigsten?

• Mit dem temporären Token live gehen. Am ersten Tag funktioniert alles, am nächsten steht es still.
• Einen Token mit fehlenden Berechtigungen erzeugen. Fehlt eine der drei Berechtigungen, melden manche Vorgänge einen Fehler.
• Den Kontozugriff überspringen. Wurden dem Systemnutzer WhatsApp-Konto und Nachrichtenkonto nicht zugewiesen, nützt der Token allein nichts.
• Den Token einer einzigen Person anvertrauen. Verlässt diese Person das Unternehmen, weiß niemand, wo der Schlüssel liegt. Der eigentliche Vorteil des Systemnutzers ist, dass er an das Unternehmen gebunden ist, nicht an eine Person.

Häufig gestellte Fragen