WhatsApp API Key (Token) Nasıl Alınır? Adım Adım

"WhatsApp API key nasıl alınır?" diye aratan birçok işletme sahibi, karşısına çıkan geliştirici sayfalarında kayboluyor. Kısa cevap şu: WhatsApp Cloud API'de klasik anlamda bir "API key" yok. Onun yerine Meta'nın verdiği bir erişim anahtarı (access token) kullanıyorsunuz. Aşağıda bu anahtarın ne olduğunu, hangi türleri bulunduğunu ve kalıcı olanını nasıl aldığınızı teknik jargona boğmadan anlatıyoruz.

WhatsApp API key ile erişim anahtarı (token) aynı şey mi?

Pratikte evet. İnsanlar "API key" diyor, Meta'nın dokümanları "access token" diyor. İkisi de aynı işi görüyor: yazılımınızın Meta'ya "ben bu WhatsApp hesabı adına mesaj göndermeye yetkiliyim" demesini sağlıyor.

Token, uzun ve rastgele görünen bir karakter dizisi. Yazılımınız WhatsApp'a gönderdiği her isteğe bu diziyi ekliyor, Meta da ona bakarak isteğin kimden geldiğini ve hangi hesaba erişebileceğini anlıyor. Bir nevi kapı kartı gibi düşünün. Kartı kim taşıyorsa kapı ona açılıyor.

WhatsApp Business API'nin ne olduğunu ve uygulamadan farkını merak ediyorsanız önce WhatsApp Business API nedir yazımıza göz atabilirsiniz.

Hangi token türleri var, hangisini kullanmalısınız?

Meta'nın erişim anahtarları rehberinde WhatsApp için üç tür öne çıkıyor. Hangisini kullanacağınız, API'ye kendi işiniz için mi yoksa başka işletmeler adına mı bağlandığınıza göre değişiyor.

Kısacası şu: kendi yazılımınızı WhatsApp'a bağlayacaksanız ihtiyacınız olan şey sistem kullanıcısı token'ı. Halk arasında "kalıcı token" denen de bu.

Geçici token neden yetmiyor?

Meta geliştirici panelinde WhatsApp kurulum ekranını her açtığınızda size yeni bir geçici token veriliyor. Test mesajı için birebir. Ama Meta'nın kendi dokümanı da bu anahtarın çabuk sona erdiğini ve geliştirme için uygun olmadığını açıkça söylüyor.

Bunu canlı sistemde kullanırsanız ne olur? Bir sabah sipariş bildirimleriniz sessizce durur. Çünkü token'ın süresi dolmuştur ve yazılım artık yetkili değildir. Sık gördüğümüz bir senaryo bu.

Kalıcı token adım adım nasıl alınır?

Aşağıdaki adımlar Meta'nın WhatsApp Cloud API başlangıç ve erişim anahtarları dokümanlarına dayanıyor. Ekran adlarını Meta'nın kullandığı İngilizce karşılıklarıyla yazdık; Türkçe arayüzde farklı görünebilir.

Başlamadan önce hazır olması gerekenler

• Meta işletme portföyünüz (Business Manager hesabı). Doğrulama sürecini Meta işletme doğrulama yazımızda anlattık.
• Meta geliştirici hesabı ve WhatsApp kullanım senaryosu eklenmiş bir uygulama (app).
• Bu portföye bağlı bir WhatsApp hesabı ve telefon numarası.
• Portföyde yönetici yetkisi olan bir kullanıcı. Sistem kullanıcısı ayarları bu yetkiyle açılıyor.

Adımlar

1. Sistem kullanıcısı oluşturun. Meta Business Suite'te Business settings bölümüne girin, yan menüden System users'a tıklayın. Add düğmesiyle yeni bir kullanıcı açın, bir ad verin ve rolünü seçin: Admin ya da Employee.
2. Uygulamayı atayın. Oluşturduğunuz kullanıcıyı seçip Assign assets'e tıklayın. Uygulamanızı seçin ve Full control altında Manage app yetkisini açın.
3. WhatsApp hesabını atayın. Aynı ekrandan WhatsApp hesabınızı da bu kullanıcıya verin.
4. Token'ı üretin. Generate token düğmesine basın. Açılan pencerede uygulamanızı seçin, token'ın süre tercihini belirleyin.
5. İzinleri ekleyin. Meta'nın istediği üç izin şunlar: business_management, whatsapp_business_management ve whatsapp_business_messaging. Arama kutusuna "business" yazarsanız hızlıca bulursunuz.
6. Kopyalayın ve saklayın. Token ekranda göründüğünde hemen kopyalayıp güvenli bir yere kaydedin.

Token'ın doğru izinlerle üretildiğini kontrol etmek isterseniz Meta'nın Access Token Debugger aracına yapıştırabilirsiniz. Araç token'ın türünü, hangi uygulamaya ait olduğunu, izinlerini ve bitiş durumunu gösteriyor.

Kalıcı token gerçekten hiç bitmez mi?

Tam olarak değil. Sistem kullanıcısı token'ı zamana bağlı olarak sona ermeyecek şekilde üretilebiliyor, ama Meta bu anahtarların başka sebeplerle geçersiz kalabileceğini de belirtiyor. Üretirken belirli bir süre (örneğin 60 gün) seçerseniz o süre sonunda yenilemeniz gerekiyor.

Hangisi daha iyi? Süresiz token pratik, yenilemeyi unutma riski yok. Süreli token ise sızarsa zararı sınırlı tutuyor. Yazılım ekibiniz yenilemeyi otomatik yapabiliyorsa süreli seçenek daha temkinli bir tercih.

Token'ı nasıl güvende tutarsınız?

Meta bu anahtarlar için net konuşuyor: şifreniz gibi davranın. Elinde token olan biri, sizin numaranızdan mesaj gönderebilir, şablonlarınızı yönetebilir. Bu yüzden şu kuralları öneriyoruz:

• Sitenizin koduna koymayın. Tarayıcıda çalışan kodda duran token herkesin görebileceği yerdedir. Token yalnızca sunucu tarafında kalmalı.
• E-posta ya da mesajla paylaşmayın. Ajansa veya yazılımcıya iletmeniz gerekiyorsa şifre yöneticisi gibi güvenli bir yol kullanın.
• Gereğinden fazla yetki vermeyin. Uygulamanız birkaç hesaba erişecekse Admin yerine Employee rolü yeterli olabilir.
• Kod deposuna yüklemeyin. Token'ı kodun içine yazmak yerine sunucudaki gizli ayarlarda tutun.
• Sızıntıdan şüphelenirseniz beklemeyin. Yeni token üretin, yazılımınızı güncelleyin ve eskisini iptal edin.

Panel kullanan bir işletme token'la uğraşır mı?

Hayır. Bütün bu adımlar, WhatsApp'a kendi yazılımını doğrudan bağlayan işletmeler için. Hazır bir panel üzerinden çalışıyorsanız token üretmiyor, kopyalamıyor, saklamıyorsunuz.

Chatopya, Meta onaylı bir Tech Provider. WhatsApp Business API kurulumunda Meta işletme doğrulamasını ve başvuruyu işletme adına biz yürütüyoruz. Panel kurulumu yaklaşık 5 dakika sürüyor; numara daha önce Meta'ya hiç kaydedilmediyse Meta'nın kendi inceleme süresi ekleniyor. Sonrasında mesajlarınızı, şablonlarınızı ve ekibinizi doğrudan panelden yönetiyorsunuz.

Peki kendi ERP'nizi ya da özel yazılımınızı bağlamak isterseniz? Chatopya'da API erişimi ve ERP/özel entegrasyon Enterprise paketinde sunuluyor. Paketleri fiyatlandırma sayfasında görebilirsiniz.

En sık yapılan hatalar neler?

• Geçici token'la canlıya çıkmak. İlk gün her şey çalışıyor, ertesi gün duruyor.
• Eksik izinle token üretmek. Üç izinden biri eksikse bazı işlemler hata veriyor.
• Hesap erişimini atlamak. Sistem kullanıcısına WhatsApp hesabı ve mesajlaşma hesabı atanmadıysa token tek başına işe yaramıyor.
• Token'ı tek kişiye emanet etmek. O kişi işten ayrıldığında anahtarın nerede durduğunu kimse bilmiyor. Sistem kullanıcısının asıl avantajı, bir kişiye değil işletmeye bağlı olması.

Sık sorulan sorular

#WhatsApp #WhatsApp Business API #Cloud API #token #güvenlik